情報セキュリティ・Microsoft365活用メモ
アカウント管理は「誰がアクセスしているか」を、デバイス管理は「どの端末からアクセスしているか」を管理するものです。守っている対象が違うため、どちらか一方だけでは会社の情報は守れません。2つの違いと、Microsoft365を使う中小企業がどこから手を付ければよいかを整理します。
結論：「人」と「端末」は別々に管理が必要です
Microsoft365のアカウントに多要素認証を設定していても、社員が使っているPCのOS更新や暗号化ができているとは限りません。逆に、会社でセキュリティ設定済みのPCを貸与していても、退職者のアカウントが使えるままなら、社外から情報にアクセスされる可能性が残ります。
アカウント管理とデバイス管理の違い
| 視点 | アカウント管理 | デバイス管理 |
|---|---|---|
| 管理するもの | ユーザー・ID | PC・スマートフォンなどの端末 |
| 確認したいこと | 誰がアクセスしているか | どの端末からアクセスしているか |
| 代表的な対策 | 多要素認証、アカウント停止、権限の整理 | OS更新、ディスク暗号化、セキュリティ設定の配布 |
| 退職時 | アカウントを停止し、権限を外す | 会社の端末を回収し、データと設定を確認する |
| 紛失時 | 不正なサインインを防ぎ、サインイン状態を無効にする | 端末内の会社データを消去・保護する |
Microsoft365では何を使うのか
Microsoft365では、「誰」の管理をMicrosoft Entra IDが、「どの端末」の管理をMicrosoft Intuneが受け持ちます。さらに条件付きアクセスを使うと、「正しい社員で、かつ会社のルールを満たした端末からのときだけ許可する」という組み合わせの制御ができます。
注意したいのはプランです。IntuneとEntra ID P1（条件付きアクセスに必要）は、Microsoft 365 Business Premiumには含まれますが、Business BasicとBusiness Standardには含まれません。デバイス管理まで行うかどうかが、プラン選びの分かれ目になります。
bitgateの推奨：先に「管理する端末の範囲」を決める
bitgateが中小企業におすすめしている進め方は、設定より先に「会社としてどこまでの端末を管理するか」を決めることです。会社支給のPCだけで仕事をするなら整理は簡単ですが、私物のPCやスマートフォンからのアクセスを認めるなら、そのルール（BYOD）も必要です。そのうえで、デバイス管理が必要と判断した会社にはBusiness Premiumへの切り替えを検討していただきます。
- 端末の範囲：会社が管理する端末と、私物端末の扱いを決める
- 私物端末のルール：許可する操作（閲覧のみ等）と禁止する操作を決める
- 入社・異動・退職：アカウントと端末の処理を1枚の手順にまとめる
- 紛失時：連絡先と最初にやることを決めておく
- 管理外の端末：管理されていない端末からのアクセスをどこまで認めるか決める
まとめ
パスワードや多要素認証は「アカウント」の対策です。その先にある「デバイス」まで見て、はじめて会社の情報を守る形になります。どちらか一方を選ぶのではなく、「人」と「端末」の両方を管理することが第一歩です。
今のMicrosoft365の設定確認、管理する端末の範囲の決め方、私物端末のルール、プランの選び方まで、初回1時間の相談は無料です。
関連：Microsoft365の多要素認証（MFA）、中小企業が導入でつまずきやすい3つのポイント｜Microsoft365導入・活用支援