Office 365 はセキュリティ設定しない限りサイバー攻撃したい放題です大手広告会社
約 4,500人

資格情報がブラックマーケットに公開
いつでも情報漏洩できる状況

メーカー系子会社
約 160人古いプロトコルを用いた外部からの不正なサインインが発生

コンサル会社
約150名

アカウントを乗っ取られ、受信メールが攻撃者のメールに自動転送

企業の大小に関わらず攻撃が発生
全て、セキュリティ設定の不足によるもの©TOSYS CORPORATION Livestyle2

Microsoft 365
簡易版セキュリティチェックシート©TOSYS CORPORATION Livestyle

貴社のクラ
ウドセキ
ュ
リ
テ
ィ
は大丈夫
です
か3

目次
重要度

内容頁

A

Office 365にアクセスするときに、会社のPCやIPアドレス以外の場合の制御はできていますか？

P5

A

レガシー認証と呼ばれる、古いプロトコルからのアクセスを完全にブロックしていますか？

P6

B

BitLockerやウイルススキャンを自由に無効化できないようにしていますか？

P7

B

サインインリスクを検知した時に自動的にパスワードリセットや多要素認証要求されますか？

P8

A

フィッシングメールに対して自動でリスク有無の調査をしていますか？

P9

B

会社が認めていないSaaSを監視できていますか？

P10※Defender ATPのライセンスも必要です

ライセンス別確認項目
EMS E3 相当のライセンスご契約のお客様
EMS E5 相当のライセンスご契約のお客様©TOSYS CORPORATION Livestyle4Office 365にアクセスするときに、会社のPCやIPアドレス以外の場合の制御はできていますか？
簡易確認方法・私用のPC(スマホ)/私用のWi-Fiを用意します。
・ブラウザからOffice 365にアクセスし、普段利用する資格情報でサインインをします。
・ポップアップが表示され、多要素認証の要求やサインインできない事を確認します。

簡易確認方法(管理者向け)
・管理者にてAzure ポータルにサインインします。
・[Azure Active Directory][セキュリティ]-[条件付きアクセス]をクリックします。
・ポリシー内にアクセス制御をしていて、状態が「オン」のポリシーが存在するか確認します。

制御していない場合社外から不正なアクセスが自由にできる可能性大です©TOSYS CORPORATION Livestyle5

レガシー認証と呼ばれる、古いプロトコルからのアクセスを完全にブロックしていますか？
簡易確認方法・iPhoneを用意し、以下URLの手順に従って、メール設定をします。
https://support.apple.com/ja-jp/HT201729※手順3では「手動構成」を選択し、Server欄には「outlook.office365.com」を入力ください。
・メールアプリを開いた際に、受信できない、できたとしても管理者で制御されている旨のメールが送信される事を確認します。

簡易確認方法(管理者向け)
・管理者にてAzure ポータルにサインインします。
・[Azure Active Directory][セキュリティ]-[条件付きアクセス]をクリックします。
・以下URLと同等設定であるポリシーを確認します。
https://support.live-style.jp/?p=5186

制御していない場合古いプロトコルから不正アクセスできる可能性大です※サイバー攻撃に利用されるケースが非常に高い方法です。
©TOSYS CORPORATION Livestyle6ウイルススキャンやBitLockerを自由に無効化できないようにしていますか？
簡易確認方法・会社のPCでコントロールパネルを開き、「Bitlockerドライブの暗号化」をクリックします。
・Bitlockerを無効にします。
・一定期間（最大1日）経過後に有効を促すポップアップが表示されるか確認します。

簡易確認方法(管理者向け)
・管理者にてAzure ポータルにサインインします。
・[Intune]-[デバイス構成]-[プロファイル] をクリックします。
・プロファイルの種類が[Endpoint Protection]であるポリシーを選択します・ポリシー内の[Windows 暗号化]-[デバイスの暗号化]が「必須」となっていることを確認します。

制御していない場合ユーザー依存で、脆弱性や紛失時のリスクが発生します©TOSYS CORPORATION Livestyle7

サインインリスクを検知した時に、自動的にアクセスブロックや多要素認証要求されますか？
簡易確認方法・私用のPC(スマホ)/私用のWi-Fiを用意します。
・ブラウザからOffice 365にアクセスし、普段利用する資格情報でサインインをします。
・ポップアップが表示され、多要素認証の要求やサインインできない事を確認します。

簡易確認方法(管理者向け)
・管理者にてAzure ポータルにサインインします。
・[Azure Active Directory][セキュリティ]-[IdentityProtection]をクリックします。
・ユーザーリスクポリシーとサインインリスクポリシーをクリックし、ポリシーがONである事を確認します。

制御していない場合不正アクセスの制御ができていない可能性があります©TOSYS CORPORATION Livestyle8フィッシングメールに対して自動でリスク有無の調査をしていますか？
簡易確認方法・自身の受信メールに送付された本文にURLがある任意のメールを開きます。
・URLをマウスオーバーし、「https://jpn01.safelinks.…」から始まるURLが表示される事を確認します。
※メールがテキスト形式の場合はマウスオーバー不要です

簡易確認方法(管理者向け)
・Office 365 セキュリティ/コンプライアンスセンターにアクセスします。
・[脅威の管理]-[ポリシー]-[ATPの安全なリンク]をクリックします。
・「Default」以外のポリシーがある事を確認します。

制御していない場合フィッシングメールにより資格情報漏洩の可能性有です©TOSYS CORPORATION Livestyle9

会社が認めていないSaaSを監視できていますか？

簡易確認方法(管理者向け)
・管理者にてMCAS ポータルにサインインします。
(https://portal.cloudappsecurity.com)
・[検出]-[検出されたアプリ]をクリックします。
・利用しているSaaSの一覧が表示される事を確認します。

制御していない場合許可していないSaaSからデータが漏洩する可能性有©TOSYS CORPORATION Livestyle10目次に記載の重要度
A

１つ以上

B

２つ以上で資格情報、データ漏洩の可能性が極めて高い状況です

対策に以下をご検討ください◆更に詳しくセキュリティ健康診断を行う
弊社はじめ、一部の企業で実施している「脅威対策可視化アセスメント」の実施をご検討ください◆早速セキュリティ設定を行う
ご契約されているベンダーに構築をご依頼下さい。
ご契約ベンダーで難しい場合は、まずは弊社にご相談いただければ幸いです。
©TOSYS CORPORATION Livestyle11ここちよいクラウドサービスを。
お客様の成長を支えるIT基盤 ベストな環境をご提供

株式会社TOSYS
クラウドサービス部 Livestyleサービス窓口
TEL： 0120-742-500
E-mail： sales@team.live-style.jp©TOSYS CORPORATION Livestyle
URL： https://www.live-style.jp 12