情報セキュリティ・Microsoft365活用メモ
ゼロトラストは、製品を入れれば完成するものではありません。中小企業が最初にやるべきことは、社員が「信用する前に確認する」と迷わず判断できるルール、つまり情報セキュリティポリシーを決めることです。本記事ではこれを「従業員のゼロトラスト」と呼び、ルールの決め方とシステムへの落とし込み方を整理します。
ゼロトラストとは「確認してから信用する」考え方
ゼロトラストは、社内ネットワークの中だから安全とはみなさず、アクセスのたびに確認する考え方です。Microsoftは「明示的に確認する」「最小限の権限にする」「侵害を前提にする」の3つを原則としています。多要素認証やデバイス管理はこの考え方を実現する手段ですが、メールの依頼を信じるかどうかを判断するのは、最後は社員です。
「気をつけて」では社員は判断できません
社長からのメールだからすぐ対応する、Microsoft365のログイン画面に見えたのでパスワードを入れる、身に覚えのない多要素認証の通知を承認してしまう。社員に悪意はなく、問題は「この場合はどうするか」が会社として決まっていないことです。「怪しいメールに注意」の「怪しい」の基準は人によって違います。
情報セキュリティポリシーで決めておくこと
- パスワードや認証コードは誰にも教えない
- 自分がサインインしていないときの多要素認証の通知は承認しない
- 振込先の変更など重要な依頼は、別の連絡手段で確認する
- 会社の情報にアクセスしてよい端末と、私物端末の扱い
- 生成AIに入力してよい情報と、いけない情報
- 不審なメールの報告先と、端末を紛失したときの連絡先
あわせて「迷ったら止めて確認する」ことを会社のルールとして認めてください。確認した結果が本物でも構いません。確認して仕事を止めたら怒られる職場では、社員は確認しなくなります。
ルールをシステムで支える
| ポリシーで定めること | Microsoft365での実現例 |
|---|---|
| アカウントは本人しか使えない | 多要素認証（Microsoft Entra ID） |
| 会社が認めた端末からだけアクセスさせる | Microsoft Intuneと条件付きアクセス（Business Premiumなど） |
| 必要な人だけが必要な情報を見る | SharePoint・Teamsのアクセス権の整理 |
| 不審な操作を見逃さない | サインインログ・監査ログの確認 |
bitgateの推奨：製品より先にポリシーを1枚作る
bitgateが中小企業におすすめする順番は、「ポリシーを決める → 社員が理解する → 日常業務で実践する → できるところをシステムで強制・補完する」です。最初から分厚い規程を作る必要はありません。上の項目をA4で1〜2枚にまとめ、全員に説明するところから始めてください。IPAが公開している「中小企業の情報セキュリティ対策ガイドライン」のひな形も参考になります。人は間違えるので、システムは「間違えても被害が広がらない仕組み」として後から重ねていきます。
自社に合ったポリシーの作成、社員への説明、多要素認証や端末管理の設定まで、bitgateがご支援します。初回1時間の相談は無料です。