はじめに
本書では、自治体・教育委員会の管理職と情報システム担当者に向けて、Microsoft 365の3構成で実施する設定・点検・異常時対応を整理します。E5/A5とE3/A3で、製品に任せられる作業と、人が繰り返す作業の違いを説明します。目的は、自組織の機密情報の漏洩を防ぐことです。そのための仕組みと運用を設計し、継続して実行できるようにします。
まず「日常の運用負担の違い」で、人が繰り返す作業の差を確認します。次に「共通で実施すること」と、採用する構成の章を読みます。E5/A5、E3/A3＋SASE、E3/A3の各章では、実施する作業と完了の確認方法を示します。機能比較、SASEの選定条件、領域別の詳しい運用と限界は、後半で確認できます。
本稿でいう「運用」は、設定・点検・異常時の対応を続けることです。「端末」はパソコンなどの機器、「アプリ」は業務に使うソフトやサービスを指します。
調査日：2026年11月1日。Microsoftの公式公開資料を基にした一般的な設計例です。実テナント（組織ごとのサービス利用・管理環境）や実機、実際の契約で検証した結果ではありません。費用比較と、特定組織が法令・ガイドラインに適合するかどうかの判定は対象外です。
管理職向けの結論：製品選定後の運用設計と継続運用まで確認する
製品を選んだことと、安全を守れる運用ができたことは別です。 選定した機能を誰が設定・点検し、異常時に誰が判断・停止し、担当者が不在でも誰が引き継ぐかを設計します。設計書を作るだけでなく、主担当と代行が実際に手順を実行し、必要な時間内に対応できることを確かめます。
Microsoft 365側の分類・調査・権限管理をまとめて自動化し、繰り返し行う作業を減らしたい場合は、E5/A5を第一候補にします。 自動ラベル付け、端末の侵害（不正侵入や乗っ取りなどの被害）を検知・調査するEDR、メールの自動調査、期限付きの特権管理などを組み合わせられます。これにより、人が毎件判断したり、記録を突き合わせたりする負担や、対応を待つ時間を減らせる可能性があります。[SRC-002][SRC-004][SRC-008][SRC-010]
「機密情報」は、見せる相手や持ち出し方を制限する必要がある情報です。「権限」は、情報を見る、変更する、設定を変えるなどの操作を行える範囲を指します。「特権」は、管理者などが使う強い権限を指します。「ラベル」は情報の取扱区分を示す目印で、詳しい仕組みは後で説明します。
自動化は、製品を選ぶ理由であると同時に、選定後の作業を続けやすくする手段です。何を自動処理し、結果をどう確認し、失敗したら誰に引き継ぐかを決めます。判断や例外対応（通常のルールでは処理できない場合の対応）は、人の仕事として残します。機能を有効にしただけで、担当者の仕事がなくなるわけではありません。
ただし、この推奨は「同じ対象を同じ安全水準で守るための、Microsoft 365側の作業」を比べたものです。E5/A5でも、設定、機器や利用者への適用、当番、結果確認が必要です。一般インターネットや庁内アプリへの接続保護まで、すべてが含まれるわけではありません。すべての業務で、必要な作業量が必ず最も少なく、危険も最も小さくなるという実測結果は、本稿にはありません。
「工数」は、作業に必要な時間や手間です。「残留リスク」は、対策をしても残る危険です。
| 構成 | 選定時の位置付け | 主に残る仕事 |
|---|---|---|
| Microsoft 365 E5/A5 | Microsoft側の高度な検知・分類・調査と、その連携を活用する第一候補 | 分類基準、誤判定、未保護対象、承認待ち、例外、復旧、通信の不足を管理する |
| Microsoft 365 E3/A3＋SASE | 通信・接続の保護を強化する構成。Microsoft側の機能差は別に補う | 手動分類、権限の期限追跡、調査・記録照合に加え、SASEの経路・除外・証明書を管理する |
| Microsoft 365 E3/A3 | 基本保護と既存設備を活用し、必要な保護を維持できる範囲に対象を絞る構成 | Microsoft側の補完に加え、SASEに任せない通信・接続の保護を既存対策等で実現する |
製品を導入しただけでは、退職者の利用停止も、機密情報の共有制限も完了しません。設定を実際の対象へ適用し、通知を受け取り、停止や復旧の結果を確認する運用が必要です。ゼロトラストは、庁内のネットワークや組織所有の端末だからという理由だけで信頼する考え方ではありません。[SRC-001]
選定時には、必要な保護と、候補製品で実現できる範囲を確認します。選定後には、機能の設定と、不足を補う作業を具体化します。異常時の判断・記録・復旧も、運用として具体化します。運用開始後も、実行結果と未処理を確認し、機能・業務・担当の変更に合わせて見直します。人の注意や日次点検を、接続時の自動遮断と同等に扱ってはいけません。
日常の運用負担の違い：E5/A5は繰り返す手作業を減らし、E3/A3は補完作業が増える
同じ情報に同じ保護要件を求める場合、E5/A5は繰り返す手作業を減らしやすくなります。標準E3/A3では、不足する機能を補う作業が増えやすくなります。 違いは、作業の名前や表の行数ではなく、誰が毎回実行するかにあります。
以下は、代表的な仕事の比較です。E5/A5の自動処理は、利用権と対応条件を確認し、必要な対象へ設定した場合に使えるものです。
| 同じ仕事 | E5/A5 | E3/A3＋SASE | E3/A3 |
|---|---|---|---|
| 機密文書を内容に応じて分類する | 対応文書の分類・ラベル付けを製品に任せる。人は基準を決め、結果や例外を点検する | 利用者が基準に沿って判断し、ラベルを付ける。管理者が分類漏れを点検する | 利用者が基準に沿って判断し、ラベルを付ける。管理者が分類漏れを点検する |
| 強い権限を期限後に使えなくする | 設定した期限で、製品が強い権限を自動的に無効にする。人は必要性や承認を判断する | 担当者が申請・期限・回収を追跡し、不要な権限が残っていないか確認する | 担当者が申請・期限・回収を追跡し、不要な権限が残っていないか確認する |
| 不審なメールの影響を調べる | 対応対象の自動調査を使い、人が承認待ち・失敗・処理結果を確認する | 自動調査がない範囲では、担当者が通報や記録から関連メール・利用者への影響を調べる | 自動調査がない範囲では、担当者が通報や記録から関連メール・利用者への影響を調べる |
| 機器・本人確認・メールの記録を突き合わせる | 対応する製品の調査情報を関連付け、人が影響と対処を判断する | 担当者が、取得できるMicrosoft側とSASE側の記録を照合する | 担当者が、取得できる記録を照合する |
| 例外や業務再開を判断する | 人が判断する。製品任せにはできない | 人が判断する。製品任せにはできない | 人が判断する。製品任せにはできない |
自動化で減るのは、対応する対象で作業の実行や記録の照合を繰り返す負担です。運用開始時の設定、分類基準の判断、結果点検、例外処理、復旧は残ります。初期設定の手間と、運用開始後の手作業を分けて評価します。[SRC-002][SRC-007][SRC-008][SRC-010][SRC-011]
後の構成別表は同じ8領域を扱いますが、毎回の作業を行う人や製品は異なります。E5/A5では、製品が処理し、担当者が結果・例外を確認する形を増やせます。E3/A3では、利用者や担当者が分類・照合・期限追跡を繰り返す場面が増えます。補完にも申請システムや利用できるAPI（サービスの機能を別のプログラムから使う仕組み）による自動化は使えますが、上位機能の利用権が増えるわけではありません。
手作業を増やせば、足りない保護を必ず実現できるわけではありません。 未取得の記録や、実行できない接続拒否は、人の点検だけでは作れません。必要な保護を維持できなければ、追加機能・体制・利用範囲を見直します。
E3/A3＋SASEでも、Microsoft側の分類・調査・権限管理の補完は残ります。通信保護の一部をSASEに任せられる一方、経路・検査除外・障害対応の運用も必要です。SASEを含む総負担が増えるか減るかは、既存対策と保護範囲によります。本稿は、全業務の総工数や危険度の順位を実測したものではありません。
共通で実施すること：守る情報・担当・試験・継続点検を決める
どの構成でも、この章の作業と、採用する構成の章の作業を組み合わせて実施します。 以下は、必要な保護を維持するための設計例です。自組織の保護対象・契約・体制に合わせて具体化します。
製品選定やガイドラインの確認だけで、機密情報を守る目的を達成したとは判断しません。適用される法令・規程や、遵守が必要なガイドラインは満たす必要があります。そのうえで、実際の情報の扱い方に合わせて、漏洩を防ぐ設定と運用が働くかを確かめます。
| 共通で実施すること | 主に行う人 | 完了を確認する方法 |
|---|---|---|
| 守る情報、保存場所、利用者、共有・送信・持ち出しの許可範囲を決める | 情報責任者・業務責任者 | 情報の種類ごとに、許可する扱い方と禁止する扱い方が明確になっている |
| 各作業の主担当・代行・実施時期・期限・完了条件・失敗時の引継ぎ先を決める | 運用責任者 | 担当者不在や時間外でも、必要な権限を持つ人が引き受けて処理できる |
| 契約・利用権・対応対象・割当て・設定を確認する | ID・端末・情報・アプリ・通信の各管理者 | 必要な利用者・機器・情報・アプリで保護が実際に働き、対象外を把握している |
| 正常な利用、禁止した利用、通知不達、承認待ち、実行失敗、復旧を試す | 主担当・代行 | 承認した無害なテストデータ・接続先で、許可・拒否・停止・復旧の結果を確認できる |
| 実行記録・未処理・対応時間・作業量・例外を点検し、不足を見直す | 運用責任者・業務責任者 | 必要な保護を維持できない場合に、追加対策・体制変更・利用範囲の制限を判断している |
各構成の表は、設定だけでなく、運用開始後の点検と異常時対応も含みます。「条件付きアクセス」は、本人や機器の状態を確認して利用を許可・拒否する仕組みです。「DLP」は機密情報の持ち出しを検査・制限する機能、「EDR」は機器の侵害を検知・調査する機能です。
D01～D08は本稿の保護目的の整理番号です。各構成の作業表と、後半の「詳細解説」の同じ番号を照合して、担当・時期・記録・補完の限界を確認します。表だけで、すべての業務の危険を漏れなく評価したことにはなりません。
E5/A5で実施すること：自動化を設定し、人に残る結果・例外の点検を続ける
E5/A5でも、上位機能を有効にしただけでは運用は完成しません。 管理者が必要な対象へ適用し、自動処理の結果・誤判定・未処理・対象外を点検します。人が判断する案件と、処理に失敗した案件の引継ぎ先も決めます。
| 保護目的 | 実施すること | 完了を確認する方法 |
|---|---|---|
| D01 本人確認・権限 | リスクに応じた条件付きアクセスと、強い権限を必要な時間だけ有効にするPIMを設定・点検する。権限の必要性・承認者・除外を決める | 条件未達の利用を拒否し、期限後に強い権限が使えなくなる。異動・退職時は対象アプリの停止も確認する |
| D02 機器の安全 | Endpoint P2のEDRと基本保護を対象機器へ適用する。必要な機器リスク情報をIntune・条件付きアクセスへ連携し、未登録・未報告・保護停止を点検する | 必要な検知・調査情報を取得できる。接続拒否・端末分離・復旧後の再評価を試験し、対象外を明記する |
| D03 情報の分類・持ち出し | 情報責任者が分類基準を決める。対応対象へ自動ラベル付けと必要なDLPを適用し、誤分類・見逃し・未処理を点検する | 許可した共有・送信は通り、禁止した操作は拒否される。自動分類の対象外と、印刷・撮影・取得済みコピーへの別対策を確認する |
| D04 メールへの攻撃 | メールP2の自動調査を運用し、承認待ち・自動完了・失敗・対象外を分けて確認する。通報と訓練も続ける | 関連メール・利用者の影響を確認し、権限のある担当者が対処できる。削除・隔離等の実行結果まで確認する |
| D05 アプリ・自動連携 | 必要なDefender for Cloud AppsのAPI接続や、Defender for Identityの対応センサーを設定する。アプリ・連携の所有者と権限も点検する | 必要なアプリ・認証の情報が取得でき、未監視の対象が分かる。未承認の連携や不要な権限の停止結果を確認する |
| D06 通信・接続 | 一般Web・庁内アプリ等の保護範囲を確認し、不足する通信には追加対策を用意する。経路・検査除外・証明書・障害時の手順を維持する | 必要な通信で許可・拒否が働く。E5/A5に全SASE機能が含まれるとは扱わず、保護を回避する経路や障害時の代替業務を試す |
| D07 記録・横断対処 | Audit Premium等の記録対象・保存期間を設定する。対応する製品の情報をXDRで関連付け、通知・収集停止・対処の失敗を点検する | 必要な記録を検索でき、調査・停止の根拠を残せる。自動対処の対象と条件を確認し、実際に利用が止まった結果を確かめる |
| D08 復旧・運営 | 保存・復元・業務再開の手順を設計し、主担当と代行で試す。教育、例外期限、変更承認、運用負荷の点検を続ける | 情報と設定が戻り、保護の回復を確認してから業務責任者が再開を承認する。時間外や担当交代後も運用を引き継げる |
機能の利用権・対応条件は、後半の契約条件と機能比較で確認します。上位機能を使える対象でも、人による分類基準の判断、承認、例外対応、復旧の責任は残ります。[SRC-002][SRC-003][SRC-004][SRC-006][SRC-007][SRC-008][SRC-010][SRC-011][SRC-012]
E3/A3＋SASEで実施すること：Microsoft側の補完作業を続け、SASEの接続制御も運用する
Microsoft 365側は標準E3/A3として運用し、SASEが保護する通信を別に設定・点検します。 SASEを追加しても、自動ラベル付け、Entra ID P2、EDR等の利用権が自動的に増えるわけではありません。SASEが代わりに実施できる作業と、人や別の対策で補う作業を分けます。
| 保護目的 | 実施すること | 完了を確認する方法 |
|---|---|---|
| D01 本人確認・権限 | P1の条件付きアクセスと、契約したSASEの接続条件を連携させる。強い権限の申請・承認・期限・回収を別の仕組みで追う | 必要な利用者だけが接続でき、期限後に不要な権限が残らない。ID停止後のSASE接続と対象アプリの利用停止を別に確認する |
| D02 機器の安全 | Endpoint P1の基本保護・登録・更新・未報告を点検する。通報・管理情報・確認できる通信から調査し、不審端末を分離する | 必要な検知・調査・接続拒否を満たせるか試す。SASEの機器確認をEDRと同じとは扱わず、不足にはEDRの追加または機密業務への利用制限を判断する |
| D03 情報の分類・持ち出し | 利用者の手動分類・相談・分類漏れ点検を運用する。基本クラウドDLPと、契約したSASEの送信制限を対象別に設定する | Microsoft側の共有制限とSASE側の送信制限がそれぞれ働く。端末内コピー・USB・印刷・Teams本文等の不足を別の対策や取扱制限で補う |
| D04 メールへの攻撃 | E3はP1の保護を使い、A3は実契約を確認する。P2の自動調査がない範囲では、担当者が通報・記録から関連メールと影響を調べる | 必要な削除・隔離・ID停止を担当者へ引き継ぎ、結果を確認する。SASEのWeb検査だけでメール調査・削除まで済んだとは扱わない |
| D05 アプリ・自動連携 | アプリ台帳と取得できる記録を照合する。契約したCASBが、通信・API処理・保存済み情報のどこまで確認できるかを試す | 未承認の連携・過剰権限・所有者不明を処理し、停止結果を残す。見えない対象は追加対策またはアプリ・連携の限定で扱う |
| D06 通信・接続 | SASEの必要な機能を保護経路へ適用する。許可先・検査除外・証明書・クライアント・コネクターを維持し、Entra IDとの連携と障害時の分担を試す | 庁内・学校・自宅・携帯回線等で、必要な通信を検査し、未承認の直接接続を拒否する。担当者不在・通知不達・障害時も停止と復旧を確認する |
| D07 記録・横断対処 | Audit Standard等の必要な記録を収集・保管する。担当者がMicrosoft側とSASE側の記録を照合し、対象別に停止を実行する | 必要な期間の記録と停止結果を確認できる。未取得の記録や、SASEだけでは調べられない機器内部の情報を明記する |
| D08 復旧・運営 | 共通の復元・再開・教育・例外管理に加え、SASEの更新・委託先との引継ぎ・障害時の代替業務を試す | Microsoft側とSASE側の保護が戻り、業務責任者が再開を承認する。複数の事業者への依頼と処理結果を追跡できる |
SASEの選定では、後半の「SASEの製品選定」にあるEntra ID連携の確認項目を使います。SSO（シングルサインオン）は、一度の本人確認で連携した複数のサービスを利用する仕組みです。ログインできることだけでなく、必要な接続を拒否・停止できることが条件です。Microsoft側の不足を継続して補えなければ、追加機能・体制・利用範囲を見直します。[SRC-004][SRC-005][SRC-008][SRC-009][SRC-014][SRC-016][SRC-030]
E3/A3で実施すること：基本保護に加え、分類・調査・権限追跡の補完を続ける
標準E3/A3の基本機能と既存対策を使い、不足する分類・調査・権限追跡・通信保護を補います。 SASEを使わない通信も、必要な許可・拒否を実際に行える仕組みが必要です。「利用者が気を付ける」「一覧を作る」だけでは、その代わりになりません。
| 保護目的 | 実施すること | 完了を確認する方法 |
|---|---|---|
| D01 本人確認・権限 | P1の条件付きアクセスを設定・点検する。強い権限の申請・承認・付与・期限・回収を追い、不審な利用を必要な停止へ引き継ぐ | 条件未達の利用を拒否し、不要な権限を回収できる。異動・退職時はIDだけでなく対象アプリの利用停止も確認する |
| D02 機器の安全 | Endpoint P1の基本保護・登録・更新・未報告を点検する。通報・保護情報・管理情報から調査し、利用できる接続条件と必要な手動停止を運用する | 不審端末の分離・接続拒否・復旧を試せる。必要な検知・調査を満たせなければ、EDR等の追加または機密業務への利用制限を判断する |
| D03 情報の分類・持ち出し | 手動分類の基準・相談・ラベル付け・分類漏れ点検を運用する。基本クラウドDLP、共有先・保存場所・送信方法の制限を設定する | 許可した共有・送信は通り、禁止した操作は拒否される。内容検査も活用し、ラベルだけに依存しない。対象外の持ち出しは別対策や取扱制限で補う |
| D04 メールへの攻撃 | E3はP1を使い、A3は実契約を確認する。通報と取得できる記録で関連メール・利用者への影響を調べ、対処を判断する | 必要な削除・隔離・ID停止を担当者が実行し、結果を確認する。調査できない範囲と時間外の引継ぎ先を明記する |
| D05 アプリ・自動連携 | アプリの所有者・目的・権限・終了条件を台帳に記録し、取得できる記録と照合する。未承認の連携や不要な権限を処理する | 必要な停止を実行し、連携が使えなくなったことを確認する。記録不足で確認できない対象は、追加対策または利用範囲の限定を判断する |
| D06 通信・接続 | P1のWeb保護や既存の接続制御で、許可先・入口・経路を制限する。不要な直接接続、検査除外、障害時の代替業務を確認する | 必要な通信の許可・拒否が実際に働く。既存対策で満たせなければ、接続保護の追加または対象業務の制限を判断する |
| D07 記録・横断対処 | Audit Standard等で必要な記録を収集し、必要に応じて別の場所へ保管する。担当者が記録を照合し、対象別の調査と停止を行う | 必要な期間の記録を検索でき、各対象の停止結果が残る。収集できない記録を、人の点検だけで補えたとは扱わない |
| D08 復旧・運営 | 保存・復元・再開・当番・教育・例外・変更の手順を運用する。分類・照合・承認待ちの負荷を測り、繁忙・不在・時間外も試す | 情報と設定を戻し、保護の回復を確認してから業務責任者が再開を承認する。補完作業を継続できなければ、体制や利用範囲を見直す |
補完には、利用できるAPIや申請システムによる自動化も使えます。ただし、人員を増やしても、取得していない記録や実行できない接続拒否は作れません。必要な保護を維持できない場合は、基本構成だけで安全を満たしたことにしません。[SRC-002][SRC-005][SRC-006][SRC-008][SRC-009][SRC-013][SRC-014]
比較する構成と契約条件：E5/A5、E3/A3＋SASE、E3/A3
比較する契約・利用者・端末の範囲
対象は Microsoft 365 であり、Office 365単体ではありません。E3/E5は自治体の職員、A3/A5は教育委員会・学校の教職員向けを中心に比較します。「E3/A3」と並べて書く箇所は共通する考え方を示し、利用権まで完全に同じだという意味ではありません。
「ライセンス」「利用権」は、契約上、その機能を使える権利を指します。契約するだけでなく、使う人や機器への割当ても確認します。
ここでは標準ライセンスに含まれる機能を比較します。E3/A3へMicrosoftの上位機能や他社EDRを別に追加した場合は、追加後の機能で改めて評価します。例では管理されたWindows 11端末を想定します。ただし、macOS・Linux・モバイル・共有端末・サーバーで同じ機能が使えるとは仮定しません。
児童生徒向け特典や端末専用ライセンスは、教職員と別に確認します。たとえばIntune（機器の設定や管理を行うサービス）の端末専用ライセンスには、条件付きアクセスやアプリ保護ポリシー等の制約があります。条件付きアクセスは、本人や機器の状態などを確認して利用を許可する仕組みです。アプリ保護ポリシーは、アプリで扱う業務情報を守るルールを指します。教職員が管理画面を使えることだけで、児童生徒や全端末に上位機能の利用権があるとは判断できません。[SRC-017]
2026年の変更を反映して比較する
| 確認事項 | 今回の比較での扱い |
|---|---|
| E3のメール保護 | Defender for Office 365 P1は2026年7月1日からMicrosoft 365 E3に含まれると公式資料に記載されている。E3をSafe Links・Safe Attachmentsなしと扱わない |
| A3のメール保護 | 上記のE3追加告知をA3へ読み替えない。A3の実際のメール保護・追加契約を確認する |
| Intuneの追加機能 | 2026年7月からE3/E5へ追加される機能の説明がある。教育向けの資料・契約とは区別し、A3/A5に一律に含まれる・含まれないと断定しない |
| 端末の旧AIR | 2026年9月1日以降、独立した自動調査画面・手動開始としては提供せず、検知・対処を既定のウイルス対策へ組み込むという告知がある。旧説明も併存するため、旧AIRだけをE5/A5の工数削減理由にしない |
メールのP2にあるAIR（自動で調査し、対応を支援する機能）は、上記の端末AIRと別の機能です。機能表、変更のお知らせ、実際に使える機能が食い違う場合は、契約、サービスプラン、利用者や機器への割当て、実際の動作を確認します。確認できるまでは、採用するかどうかの判断を保留します。[SRC-009][SRC-010][SRC-017][SRC-018][SRC-020]
本稿で想定するSASEの働き
SASEは、通信の仕組みと、通信を守る仕組みをクラウド上でまとめて提供する考え方です。クラウドは、事業者が提供するコンピューターやサービスをインターネットなどのネットワーク経由で使う仕組みです。通信を守る部分をSSEと呼びます。そこにSD-WANなど、拠点間の通信を制御する機能を組み合わせたものをSASEとして区別します。本稿の3構成比較ではSASE製品を指定せず、主に次の保護機能を比較します。[SRC-016]
次の表の「経路」は、通信が通る道筋です。「暗号化」は、通信の内容をそのままでは読めない形にすることです。「検査除外」は、通信を検査の対象から外す設定を指します。
| 働き | 守る対象・操作 | 製品選定時に確認する境界 |
|---|---|---|
| SWG：安全なWeb接続 | 危険なサイトやダウンロードを検査・制限する | 対応する通信・アプリ・端末、暗号化通信の検査、検査除外 |
| CASB：クラウド利用の把握・制御 | 未承認サービス、共有、ダウンロード等を把握・制限する | 通信経由かAPI連携か、個人用アカウントや保存済み情報が見えるか |
| ZTNA：アプリ単位の接続許可 | 本人・機器等の条件で、必要なアプリへの接続を許可する | アプリ内の権限とは別。直接接続や別経路を閉じられるか |
| FWaaS：通信の許可・拒否 | クラウド側で通信先・ポート等を制御する | 庁内外・拠点・携帯回線・自動処理が保護経路を通るか |
| 通信DLP：送信内容の制限 | 通信中の機密情報を検査して送信を制限する | 対応形式・暗号化・除外・経路。SASEという名称だけで搭載を仮定しない |
CASBも通信DLPも、契約、接続方法、対象によって守れる範囲が変わります。検査する通信経路を通らないAPI処理（アプリ同士で自動的に情報をやり取りする処理）、端末内のコピー、USB、印刷、撮影まで、すべて保護できるわけではありません。
SASEを追加しても、Microsoftの自動ラベル付け、Entra ID P2、Endpoint P2、メールP2の利用権が自動的に増えるわけではありません。 EDRは機器内部の侵害を検知・調査する機能であり、SASEによる通信検査とは役割が異なります。
E5/A5にはDefender for Cloud Appsなどがあり、SASEと重なる保護もあります。一方、一般インターネット向けSWGやPrivate Accessの全機能を、E5/A5やEntra ID P2だけに含まれるものとして扱いません。Microsoftサービス向けの接続機能はP1/P2に含まれるものがあるため、「E3には接続保護が一切ない」とも説明しません。[SRC-004][SRC-015]
SASEの製品選定：Entra IDとの連携で、必要な接続を拒否・停止できるか
SASEの選定では、Entra IDとの連携で何を制御できるかを確認します。 機密情報への不要なアクセスを、実際に拒否・停止できることが重要です。Entra IDは、Microsoft 365などの本人確認と権限管理を支えるサービスです。
「Entra ID対応」という説明だけで、必要な制御が揃っていると判断しません。SSO（シングルサインオン）は、一度の本人確認で連携した複数のサービスを利用する仕組みです。ログインできることと、必要な接続条件を適用できることは別です。
| 確認する項目 | 製品・契約で確認すること | 採用前の試験 |
|---|---|---|
| 本人確認・利用権限 | 多要素認証と利用者・グループの情報を、本人確認と接続先の許可にどう使うか | 必要な接続だけを許可し、権限のない利用者の接続を拒否する |
| 端末の状態・危険度 | 端末の管理状態、安全基準への適合、危険度のうち、どの情報を接続条件に使えるか | 正常な端末を許可し、接続条件を満たさないテスト用端末を拒否する |
| 異動・退職・侵害時の停止 | アカウント停止・権限変更の反映方法、反映までの時間、利用中の接続を停止する方法 | 新規ログインの拒否と、利用中のSASE接続・対象アプリの利用停止を別に確認する |
| 制御の回避防止 | 通常の業務利用が、別アカウント・直接接続で保護を回避しない構成にできるか | 許可した経路で利用でき、未承認の経路では接続できないことを確認する |
MicrosoftのGlobal Secure Accessは、Entra IDの条件付きアクセスと通信制御を組み合わせる設計です。他社製品では、認証連携やアプリごとの条件付きアクセスの対応範囲を個別に確認します。[SRC-015][SRC-030]
端末が管理されていることと、侵害を受けていないことは同じではありません。必要な判断に使う情報を、IntuneやEDR等から取得できるかも確認します。SASEを追加しただけで、Entra ID P2やEDRの利用権まで増えたとは扱いません。[SRC-002][SRC-004][SRC-006]
Entra IDのアカウントを無効にしても、対象アプリ独自のログイン状態が直ちに終了するとは限りません。ID管理者・SASE管理者・アプリ管理者は、どの操作で、どの対象を、いつまでに止めるかを決めます。担当者不在や通知が届かない場合も試験します。[SRC-014]
SASEへの接続許可と、アプリ内で機密文書を閲覧・共有できる権限は別です。対象となる文書やアプリの権限・共有設定も確認します。試験には、承認したテスト用アカウント・無害なデータ・接続先を使います。
必要な機能の利用権、対応端末・アプリ、情報が更新されるまでの時間も確認します。必要な対象で制御できない場合は、追加対策または利用範囲の制限を判断します。
MicrosoftでSASEを構成する：SSEと拠点ネットワークを分けて組み合わせる
Microsoftのソリューションで検討する中心は、Entra Internet Access、Entra Private Access、Defender for Cloud Appsを組み合わせたSSEです。 Global Secure Accessは、Entra Internet AccessとEntra Private Accessをまとめて呼ぶ名前で、管理画面も統合されています。SD-WANや拠点回線まで自動的に揃う製品ではありません。一般のサイトへの接続を守る、庁内アプリへの接続を絞る、情報の持ち出しを防ぐなど、必要な役割ごとに次の候補を評価します。[SRC-015]
| 必要な役割 | Microsoftの候補 | 対応できること | 導入・運用上の条件 |
|---|---|---|---|
| SWG：一般Web・SaaSへの接続保護 | Microsoft Entra Internet Access | Webカテゴリ・ドメインによる許可・拒否、脅威情報による危険な接続先の制限、TLS検査による暗号化通信の検査 | Internet Accessの利用権が別途必要。対象の通信を保護経路へ転送し、TLS検査用の証明書・信頼設定・除外を維持する |
| ZTNA：庁内・校務アプリへの限定接続 | Microsoft Entra Private Access | TCP/UDPの対象アプリに、条件付きアクセスを組み合わせて接続を許可する | Private Accessの利用権が別途必要。対応端末・アプリ、コネクターの稼働・冗長化、直接接続による迂回を確認する |
| CASB：クラウド利用・共有の把握と制御 | Microsoft Defender for Cloud Apps | クラウド利用の発見、APIで接続したアプリの保存済み情報の確認、対応するブラウザーセッションの操作制御 | E5/A5では対象の利用権を確認して展開する。標準E3/A3では追加契約等が必要。API接続と対応アプリを確認し、Internet Accessとの二重プロキシを避ける |
| 通信DLP：送信内容の検査・制限 | Entra Internet Accessのコンテンツ制御＋Microsoft Purview Network Data Security | ファイル形式だけの許可・拒否と、Purviewで機密内容を検査する制御を使い分ける | 内容検査にはTLS検査と、必要なPurview上位機能・Internet Accessの利用権が必要。資料にプレビュー表記があるため、提供状態と対応する操作を確認する |
| FWaaS：拠点からの通信制御 | Global Secure Access cloud firewall | Remote Networksを使う拠点のインターネット通信を、IPアドレス・ポート・TCP/UDPの条件で許可・拒否する | 調査時点ではGlobal Secure Accessクライアント経由に非対応。宛先ドメインのルールにも非対応。拠点接続の提供状態と適用範囲を確認する |
| Azureへ経路を集約した通信の制御 | Azure Firewall | Azureのネットワークへ経路を通した通信を検査・制限する | Azure側の別サービスとして導入し、必要な機能に合うSKUと経路を設計する。全職員の端末通信を自動的に保護するわけではない |
| 拠点ネットワーク・SD-WAN連携 | Azure Virtual WAN＋対応するSD-WAN/VPN機器 | 拠点・Azure間の接続と経路を集約し、対応するパートナー機器との接続設定を自動化する | Azureの契約、拠点機器、回線が別に必要。Global Secure Accessだけで拠点のSD-WAN機器や経路制御を置き換えたことにはならない |
表の「コネクター」は、組織内のアプリとクラウドをつなぐソフトです。「冗長化」は、故障しても別の機器などで続けられるようにすることです。「二重プロキシ」は、同じ通信を別の中継サービスで重ねて検査する状態を指します。「プレビュー」は、正式提供前の機能を試せる提供形態です。ブラウザーは、サイトを閲覧するためのソフトです。
根拠：SWGは[SRC-015][SRC-022]、ZTNAは[SRC-015][SRC-029]、CASBは[SRC-004][SRC-021]、通信DLPは[SRC-021][SRC-023][SRC-024]、拠点のcloud firewallは[SRC-025]、Azureの通信制御・拠点接続は[SRC-026][SRC-027]を参照します。
E5/A5を購入しただけで、一般インターネット向けInternet AccessとPrivate Accessの利用権まで得られるわけではありません。 両製品はそれぞれ単体、またはMicrosoft Entra Suiteに含まれる形で提供され、利用者にはEntra ID P1/P2も必要です。一方、対応するMicrosoftサービス向けのInternet Access機能はEntra ID P1/P2に含まれます。この限定範囲を、一般Web向けSWGと混同しません。[SRC-015]
たとえばE5/A5を基盤に、一般Webを守るならInternet Access、庁内・校務アプリへの接続を絞るならPrivate Accessを追加候補にします。標準E3/A3を基盤にする場合は、これらに加え、必要なDefender for Cloud AppsやPurview上位機能の利用権を別に確認します。Purviewの資料では、Global Secure Accessとのネットワーク連携にPurview E5相当とInternet Access相当の利用権の組合せが示されています。A3/A5へ企業向けの契約条件を一律に読み替えず、対象者への割当てまで確認します。[SRC-004][SRC-015][SRC-024]
Webの危険な接続先を拒否する機能と、通信中のファイルを高度に検査する機能も別です。公式資料には、Internet AccessへNetskopeの高度な脅威対策・DLPを連携する構成があります。これは他社サービスの利用条件を確認して追加する構成であり、「Microsoft製品だけの標準機能」とは扱いません。端末内部の侵害を調べるEDRも、通信検査とは別に設計します。[SRC-021][SRC-028]
選定後、通信管理者は自宅・庁内・学校・携帯回線で通信が通る経路と、検査の対象外を確認します。アプリ管理者はPrivate Accessのコネクターが停止した場合や、ブラウザー以外で利用する場合を試験します。cloud firewallは、ルールに一致しない通信を許可します。そのため、通信管理者は「ルールを作った」だけで不要な通信を拒否できたとせず、ルールに一致しない通信も確認します。運用責任者は、証明書の更新手順、誤って接続を止めた場合の対応、通知が届かない場合の対応、担当者が不在の場合の対応を試験します。障害時に利用範囲を絞って業務を続ける方法と、復旧の手順も試験します。[SRC-021][SRC-022][SRC-025][SRC-029]
ここでいう「証明書」は、暗号化された通信などで使う電子的な証明情報です。検査用の証明書を機器が信頼する設定や、期限が切れる前の更新が必要です。
Microsoft製品に統一しても、未対応の通信・アプリ、検査除外、未取得の記録は残り得ます。統一された管理画面ではなく、必要な対象で保護が働き、失敗時も運用を引き継げることを導入完了の条件にします。
機能比較の根拠：8つの保護目的で重複と抜けを確認する
MECE (Mutually Exclusive, Collectively Exhaustive) は、比較項目の重複と抜けを減らす整理方法です。ここでは製品名ではなく、「何を守るか」「何のために守るか」で8領域に分けます。複数の製品が同じ目的を担う場合も、同じ作業を重ねて数えません。
| 領域 | 比較する問い | 他領域との境界 |
|---|---|---|
| D01 本人確認・権限 | 誰に、どの範囲・期間の利用を許可するか | 端末内部はD02、アプリ固有の設定はD05 |
| D02 機器の安全 | 侵害・未更新・非対応の機器をどう扱うか | 機器内部の状態を扱う。接続経路はD06 |
| D03 情報の分類・持ち出し制限 | 何を機密とし、どの共有・送信・コピーを許可するか | メールによる攻撃はD04 |
| D04 メール・共同作業への攻撃 | 不審なメール等の関連対象・影響をどう調べるか | 情報の取扱基準はD03、横断対処はD07 |
| D05 アプリ・自動連携 | SaaS設定、OAuth連携、オンプレミスの認証をどう管理するか | 経路検査はD06、利用者の権限判断はD01 |
| D06 通信・接続 | どの経路・接続先を許可し、どの通信を検査するか | 端末侵害の検知はD02、情報の取扱基準はD03 |
| D07 記録・横断調査・封じ込め | 証拠を集め、複数領域の影響と停止結果をどう確認するか | 個別製品の検知を受けた後の横断処理 |
| D08 復旧・運営 | 障害や担当交代後も、保護と業務をどう維持するか | 進行中の攻撃の停止はD07、再開と継続はD08 |
D01～D08は本稿の整理番号で、公的規格の分類ではありません。設備の保護、調達、人による対策など、すべての危険を漏れなく分類したものでもありません。Microsoft 365選定の範囲でのMECEです。DLPで見つけた事故を、ほかの領域の機能で調べる場合もあります。XDRは、複数の保護機能の情報を関連付けて調べ、対応する仕組みです。このように、領域同士の連携は残ります。
主要機能の比較表
「使える」は、利用権・対応対象・設定を満たす場合です。E3/A3＋SASEのMicrosoft側は標準E3/A3のままとし、SASEの機能は契約した範囲だけを評価します。
| 領域・機能 | E5/A5 | E3/A3＋SASE | E3/A3 | 運用差の要点 |
|---|---|---|---|---|
| D01 リスクに応じた本人確認 | Entra ID P2のリスクベース条件付きアクセス | P1の条件付きアクセス＋SASEの契約した接続条件。P2と同一ではない | P1の条件付きアクセス | P2でも除外・誤判定・復旧依頼の確認は残る |
| D01 特権の期限管理 | PIMとP2で提供するアクセスレビュー | 申請・承認・付与・期限・回収を別の仕組みで追跡 | 同左 | PIMで期限切れを自動化しやすいが、必要性の判断は人が行う |
| D02 機器内部の検知・調査 | Endpoint P2のEDR・調査情報、基本脆弱性管理 | Endpoint P1の基本保護。SASEだけではEDRを追加しない | Endpoint P1の基本保護 | P1にもウイルス対策・対応機器の手動隔離等がある |
| D02 機器の管理・接続条件 | Intune、条件付きアクセス、機器リスク連携を設定する | Intuneと利用できる状態情報を使用。SASEとの連携は別途確認 | Intuneと利用できる状態情報を使用 | 機器リスクに応じた接続拒否は、EDRを入れただけでは完成しない |
| D03 内容に基づく自動ラベル付け | 対応するアプリ・サービス側で利用可能 | 利用者の手動分類が基本。SASEはMicrosoftの自動分類の代替ではない | 手動分類が基本 | 毎件の判断・分類漏れ点検と、自動分類の結果点検の差 |
| D03 手動ラベル・基本クラウドDLP | 利用可能 | E3/A3にも利用可能 | 利用可能 | DLP対象・条件によっては、手動ラベルだけに依存せず内容で制限できる |
| D03 Endpoint DLP・Teams本文DLP | 対応する上位機能を利用可能 | 標準E3/A3には同じ機能を含めない。SASEの送信制限は別の範囲 | 同じ上位機能は含めない | USB・印刷・Teams本文等を、クラウドファイルのDLPと区別する |
| D04 メールの調査・訓練 | Defender for Office 365 P2のAIR、Explorer、攻撃シミュレーション訓練 | E3はP1。A3は実契約を確認。P2の調査・訓練を別途補完 | 同左 | P1の保護があっても、P2の関連調査・承認管理まで同じではない |
| D05 クラウド・認証の高度な監視 | Defender for Cloud Apps、Defender for Identity等 | 基本機能・既存記録と、契約したCASB等を組み合わせる | 基本機能・既存記録を使う | API接続・センサー・記録がなければ、一覧点検だけで見える範囲は増えない |
| D06 Web・非Microsoftアプリへの接続 | 全SASE相当の機能を標準包含としない | 契約したSWG・ZTNA・FWaaS・通信DLP等を使用 | 既存のWeb保護・接続制御等で補完 | この領域ではSASEが自動化を担う。E5にも追加対策が必要な場合がある |
| D07 監査・内部リスク | Audit Premium、Insider Risk Management、上位のeDiscovery機能 | Audit Standard等と必要な外部保管・照合 | 同左 | 保存期間・取得対象・調査機能の差。未取得の過去記録は復元できない |
| D07 横断調査・攻撃の封じ込め | 対応するDefender製品の情報をXDRで関連付け、対象の攻撃中断機能を評価する | 利用できるMicrosoft・SASE記録を照合し、各担当が停止する | 利用できる記録を照合し、各担当が停止する | ポータルを開けることと、必要な調査情報・対処が揃うことは別 |
| D08 復旧・当番・教育・例外 | 全構成で必要 | 全構成で必要＋SASE固有の維持管理 | 全構成で必要 | 上位製品を入れても、業務再開の判断や代行の確保は省略できない |
根拠：D01は[SRC-002][SRC-003]、D02は[SRC-004][SRC-005][SRC-006][SRC-017]、D03は[SRC-007][SRC-008]、D04は[SRC-009][SRC-010]、D05は[SRC-004]、D06は[SRC-015][SRC-016]、D07は[SRC-008][SRC-011][SRC-012][SRC-013]、D08の制約は[SRC-014]を参照します。
P2で権限管理の全機能を使えるわけではありません。Lifecycle Workflowsや一部の高度なアクセスレビュー（権限が引き続き必要かを確認する機能）には、Entra ID Governance等の追加条件があります。また、Defender Vulnerability Managementの高度な追加機能、全SIEM機能、全バックアップ機能をE5/A5の標準機能とみなしません。[SRC-003][SRC-004]
「脆弱性」は、攻撃に悪用されるおそれのある機器やソフトの弱点です。記録を集めて調べる仕組みや、情報を保存して戻す仕組みも、必要な機能が契約に含まれるかを確認します。
詳細解説：D01～D08で必要な運用と限界を確認する
以下の主担当・日次・月次等は筆者の設計例です。「日次」は毎日、「月次」は毎月の点検を指します。どのくらいの頻度で行い、いつまでに対応するかは、情報の重要度、件数、委託する範囲、時間外に対応できるかを試験し、自組織で承認します。「日次で見る」と決めても、数分で止める必要がある業務への対応の代わりにはなりません。
D01 本人確認・権限：一覧を作るだけでなく、回収まで追う
E5/A5では、危険の程度に応じた利用条件と、PIMで必要な時間だけ権限を有効にする仕組みを使えます。担当者は、誰に適用するか、誰を対象外にするか、誰が承認するか、期限後に権限が使えなくなるかを試験し、結果を点検します。誰がどの業務のために権限を必要とするかは、機能ではなく業務責任者が判断します。
E3/A3ではP1の条件付きアクセスや利用できるポリシーを活用し、不足する確認・追跡を補います。すべてを手作業にするのではなく、使えるAPIや申請システムによる自動化も評価します。[SRC-002][SRC-003]
| 必要な運用 | 主担当・時期の例 | 完了を確認する記録 | 放置した場合のリスク・補完限界 |
|---|---|---|---|
| 重要権限の必要性・期限を申請・承認し、期限前後を追う | 業務責任者・権限管理者／申請時、重要権限は月次 | 申請、承認、付与、回収、期限後の拒否試験 | 常設の強い権限が残り、悪用時の影響が広がる |
| 通知・不審なサインイン・復旧要求を確認し、必要な停止へ引き継ぐ | 監視当番／受付時間中、異常時 | 受信・判断・停止の時刻、本人確認結果 | 人の確認が遅れる間の利用を、P2のリスク制御と同じ範囲・時間で防げるとは限らない |
| 異動・退職・委託終了で、アプリごとの停止まで確認する | 人事・ID管理・アプリ管理／変更・終了時 | 各対象の停止結果と利用不可の確認 | IDを止めてもアプリ独自のセッション・別アカウントが残る場合がある |
SASEの切断だけで、退職者がすべての情報やアプリを使えなくなったとは判断しません。Entraが発行していないアプリのセッション（ログインした状態）や、オフライン端末（ネットワークにつながっていない機器）に保存済みの情報には、別の対応が必要です。[SRC-014]
D02 機器の安全：EDRと、機密情報への接続拒否を分ける
EDRは、端末の動きなどから不正侵入や乗っ取りの兆候を見つけ、何が起き、どこまで被害が及んだかを調べる機能です。E5/A5のEndpoint P2はこの調査を支えます。一方、E3/A3のEndpoint P1にも、ウイルス対策、攻撃面の縮小（攻撃に悪用される機能を制限する対策）、Web保護、対応機器の手動隔離（管理者の操作で端末の通信を制限すること）等があります。EDRがないことと、マルウェア対策が何もないことは同じではありません。 マルウェアは、情報を盗む、機器を使えなくするなどの悪意あるソフトです。[SRC-004][SRC-005]
問題は、基本保護で捉えられない侵害が起きたときに、誰が、どの情報で、いつ発見・停止するかです。侵害を把握できず、接続条件でも拒否できなければ、その端末から機密情報へアクセスされる危険が残ります。
| 必要な運用 | 主担当・時期の例 | 完了を確認する記録 | 放置した場合のリスク・補完限界 |
|---|---|---|---|
| 全端末の登録、保護稼働、更新、非対応・未報告を確認する | 端末管理者／登録・変更時、日次 | 台帳、最終報告、更新結果、非対応端末の扱い | 未登録・停止した保護・未更新端末が見逃される |
| 通報と基本保護・管理情報から調査し、不審端末を分離する | 監視当番・端末担当／通報・異常時 | 調査の根拠、停止・分離の結果、担当・代行 | EDR相当の動作履歴がなければ、事後に人を増やしても調査情報は作れない |
| 管理状態・利用できる機器リスクを接続条件へ反映する | 端末管理・ID管理／導入・変更時、拒否試験 | 正常端末の許可、条件未達端末の拒否、復旧後の再評価 | 接続拒否が働かなければ、検知後も機密情報を利用し続ける可能性がある |
機器の危険度に応じて接続を拒否するには、Defender for Endpointの情報、Intuneの準拠ポリシー、Entraの条件付きアクセスを連携させます。準拠ポリシーは、機器が組織の安全基準を満たすかを確認するルールです。P1/P2と対象OS（機器の基本ソフト）で使える情報・動作を確認します。正常な端末から報告が届くことを確かめてから、対象を絞って試します。EDRを購入しただけで、被害を受けた端末がすべてのアプリから直ちに締め出されるわけではありません。[SRC-006]
SASEが「端末が管理されているか」を確認しても、それが最新の侵害状態の確認とは限りません。必要な検知・調査・拒否を満たせない場合は、EDR等の追加対策か、機密業務への利用制限が必要です。
D03 情報の分類：自動ラベルがない場合の仕事を具体化する
秘密度ラベルは、情報の取扱区分を示す目印と、情報を守る設定を結び付ける仕組みです。自動ラベル付けは、内容などの条件を見て分類する機能です。内容を判断せず同じラベルを初期設定で付ける方法や、利用者に必ずラベルを選ばせる方法とは区別します。[SRC-007][SRC-008]
E5/A5でも「何を機密とするか」は情報責任者が決めます。管理者は対応対象で自動分類を試行し、誤判定・見逃し・未処理を確認します。サービス側の自動分類はSharePoint・OneDriveの対象ファイルや、Exchange Onlineが処理する送受信メール等を扱い、メールボックスにある全過去メールを一括分類する意味ではありません。PDFやアプリ・保存先にも条件があります。[SRC-007]
| 自動分類がない場合に必要な運用 | 主担当・時期の例 | 完了を確認する記録 | 放置した場合のリスク・補完限界 |
|---|---|---|---|
| 住民情報・成績等の分類基準と、迷った場合の相談先を決める | 情報責任者／導入・変更時、教育時 | 承認した基準、判断例、相談・回答 | 利用者が独自判断し、同じ情報の分類がばらつく |
| 利用者が作成・共有・送信時に内容を判断してラベルを付ける | 利用者／各作成・共有・送信時 | 分類、共有先、必要な承認 | ラベル未設定・過小分類により、ラベル依存の制限が働かない場合がある |
| 分類漏れ・誤分類と共有権限を点検し、修正する | 情報管理者／重要情報の共有前、月次の点検 | 点検対象・件数・修正結果・未処理 | 抜き取り点検では、確認までの流出や未抽出の誤分類を防げない |
自動ラベル付けがなくても、E3/A3には手動ラベルと、Exchange Online・SharePoint・OneDriveの基本的なDLPがあります。 DLPは機密情報の種類等で内容を検査できるため、すべての制限を手動ラベルだけに依存させる必要はありません。自動ラベルがないから必ずDLPを回避できる、とは説明しません。[SRC-008]
ただし、標準E3/A3ではEndpoint DLPやTeamsのチャット・チャネル本文DLPを同じようには使えません。Teamsに置いたファイルの保護と、Teams本文の検査は別です。SASEの送信制限も、端末内コピー・USB・印刷等の制限と同じではありません。
対象外の操作には、保存場所の限定、利用できるUSB制御等、共有・印刷の承認、業務上の取扱制限を組み合わせます。それでも必要な水準で持ち出しを制限できなければ、追加対策や取扱情報の制限を判断します。撮影や取得済みコピーまで完全に防ぐことは、E5/A5でも保証できません。
D04 メールの調査：自動完了と承認待ちを分ける
E5/A5のメールP2は、自動調査で関連する対象を調べ、取るべき対応の候補を示します。承認が必要な対応もあります。一方、一部の悪性URL・ファイルの類似クラスター（似た特徴を持つ対象のグループ）等では、自動で対応を進める説明もあります。担当者は「承認待ち」「自動完了」「失敗」「対象外」を分けて点検します。[SRC-010]
P2がない場合は、利用できるメール保護・記録・利用者の通報から、担当者が関連メール、受信者、クリック等の確認可能な影響を調べ、対処を判断します。E3のP1は保護を担いますが、P2のAIR・Explorer・攻撃シミュレーション訓練まで含むわけではありません。[SRC-009]
| 必要な運用 | 主担当・時期の例 | 完了を確認する記録 | 放置した場合のリスク・補完限界 |
|---|---|---|---|
| 通報を受け、利用できる記録から関連対象・影響を調べる | メール担当・監視当番／受付時間中、異常時 | 対象、根拠、判断、調査できない範囲 | 一通への対処だけで、他の受信者や関連する侵害を見落とす |
| 削除・隔離・ID停止等を、権限のある担当へ引き継ぐ | 対応責任者・実行者／判断後 | 引受け、実行、停止結果、次回連絡時刻 | 依頼・承認待ちの間に被害が継続する |
| 通報訓練・教育と、誤検知への問い合わせ対応を行う | 運用責任者／導入・変更時、定期訓練 | 訓練対象、通報到達、担当の応答 | 通報頼みの構成で、利用者が気付かなければ調査が始まらない |
SASEのWeb検査は有効な補完ですが、メールボックスの関連調査・削除・承認追跡まで自動的に代替するとは限りません。A3ではE3向けのP1追加告知を根拠にせず、現契約を確認します。
D05 アプリ・自動連携：利用者の通信以外も確認する
E5/A5のDefender for Cloud Appsは、クラウドサービスの監視と対応を支えます。対象にはSaaS（ネットワーク経由で利用するソフトやサービス）の利用・設定が含まれます。OAuth連携は、アプリに情報へのアクセスを許可する仕組みを使った連携です。この連携なども、監視と対応の対象です。Defender for Identityは、対応するオンプレミス認証環境（組織内で運用するサーバーなどの本人確認の仕組み）の脅威を検知します。いずれも、必要な接続・センサー・権限・記録が揃って初めて、対象の情報を得られます。センサーは、調査に必要な情報を集めるための仕組みです。[SRC-004]
E3/A3では、アプリ台帳（アプリの一覧表）に管理の責任者・目的・利用権を記録します。連携に使う権限と、どの条件で利用を終了するかも記録します。管理者は、新しく連携する場合や権限が変わる場合に確認します。SASEにCASBがあっても、利用者の通信だけを見ている構成では、APIで動くアプリ間の処理や保存済みの情報を把握できない場合があります。
アプリ担当は登録・変更・終了時と月次に台帳と取得できる記録を照合し、未承認の連携、過剰権限、所有者不明、秘密情報の期限切れを処理します。必要な停止を実行し、連携が実際に使えなくなった記録まで残します。
見える範囲を確認せずに「SASEでクラウドはすべて監視できる」と説明すると、利用者が操作しなくても動く連携を見落とします。記録・API接続・センサーが不足する場合は、追加対策または利用可能なアプリ・連携の限定が必要です。
D06 通信・接続：SASEに任せる仕事と、管理者の仕事を分ける
E3/A3＋SASEでは、契約したSWG・ZTNA等に通信の検査・拒否を任せます。管理者は、次の表にある条件を維持します。製品の導入で、その製品の管理作業が加わります。一方、別々に行っていた手作業をまとめて減らせる場合もあります。そのため、単純に「SASEを足すと全体の作業量が増える」とは評価しません。
| SASEを維持する運用 | 主担当・時期の例 | 完了確認 |
|---|---|---|
| 拠点・自宅・携帯回線・自動処理・管理接続の経路を確認する | 通信管理者／導入・変更時、月次 | 必要な通信が保護経路を通り、未承認の直接接続を拒否する |
| 許可先・検査対象・暗号化通信の除外を管理する | 通信・情報管理者／変更時、例外期限前 | 理由・所有者・承認者・期限・代替策と、許可・拒否の試験結果を残す |
| 証明書・クライアント・コネクターを更新する | 通信・端末管理者／更新時、期限前 | 更新・切替・失効後も接続と検査が働く |
| 本人確認・SASE・回線・アプリ事業者の分担を試す | 運用責任者・委託先窓口／導入・変更時、障害訓練 | 通知到達、担当の引受け、停止、記録提供、復旧を確認する |
SASEなしのE3/A3では、P1のWeb保護や既存の接続制御を活用し、許可先・入口・共有方法を絞って試験します。ZTNAの代わりに台帳だけを作っても、不要な接続を技術的に拒否することにはなりません。設備が必要な制限を実行できなければ、追加対策か対象業務の制限を選びます。
E5/A5でも通信の保護が不足する場合は、同じ評価が必要です。障害が起きたり、接続を誤って止めたりしても、検査を全面的に止めたままにしてはいけません。条件を付けない直接接続も、そのまま使い続ける解決策にはできません。承認した設定へ戻す手順を用意します。利用範囲を絞って業務を続ける手順や、代わりの業務手順も用意します。
試験には承認した無害なテストデータ・接続先を使います。実際のマルウェア、危険サイト、住民情報、児童生徒の実情報を使って確認しません。
D07 記録・横断対処：存在しない証拠は人手で補えない
E5/A5はAudit PremiumやDefender製品の調査情報を活用できます。XDRで情報を関連付けたり、対応したりできる範囲は、利用権と、実際に導入・設定した製品によって変わります。攻撃を自動で止める機能にも、対象や設定の条件があります。端末を自動で隔離する機能は、調査時点の資料でプレビューと記載されています。すべての端末で初めから使える正式提供の機能とは扱いません。[SRC-011][SRC-012]
E3/A3にもAudit Standardがあります。標準の保存期間は180日です。Premiumでは、適切な利用権を持つ利用者について、対象となるExchange・SharePoint・OneDrive・Entraの記録を原則1年保存できます。すべての記録が1年保存されるわけではなく、10年保存するには追加条件があります。Entraのサインインログ（ログインの記録）等、別サービスの保存期間と混同しません。[SRC-008][SRC-013]
監視担当は、記録ごとに、何を記録するか、条件、保存期間、誰が見られるか、別の場所にも保管するかを決めます。日次で、記録の収集や通知が止まっていないかを確認します。事故時には時刻・利用者・端末・メール・アプリ・通信を突き合わせ、調査の根拠と、調べられなかった範囲を残します。記録を検索・出力できるか、別の場所に保管した記録を戻せるかも試験します。
収集していなかった記録や、期限が切れた記録を、事故後の人員増で作ることはできません。 SASEの通信記録も、端末内部やMicrosoftサービスの操作記録の完全な代替ではありません。
停止は、ID・機器・メール・アプリ・経路ごとに実行者と代行を決めます。「処理成功」の表示や切断通知だけでなく、停止対象が実際に利用できないことを確認します。時間外の引受けがない構成を、常時対応できる構成と評価しません。
Insider Risk Management等で職員・教職員の行動を監視する場合は、何のために使うか、誰を対象にするか、誰が記録を見られるか、プライバシー上の制約を事前に確認します。機能が異常を検知したことだけで不正を断定せず、必要な担当者が根拠を調べます。
D08 復旧・運営：自動化しても、再開の責任は残る
全構成で、主担当・代行・教育・例外期限・変更承認・復元試験が必要です。E5/A5のライセンスを購入しても、組織の保存・復元・業務継続を一括で保証するわけではありません。
復旧担当は、何を、どうやって、どのくらいの期間保存するか、どの順番で戻すかを決めます。本番環境と切り離した検証環境で、情報と設定を戻します。これが「復元」の試験です。業務担当が件数・内容・処理結果を確認し、保護が戻っていることを確かめてから、業務責任者が再開を承認します。緊急時に与えた権限や、例外の許可を取り消す作業まで含めます。
運用責任者は月次で対応件数・実作業時間・最も長く待っている案件・例外期限・未保護対象を見直します。四半期ごとや重要変更時には、通知不達・担当不在・承認待ち・実行失敗・障害・復旧を訓練します。頻度は設計例であり、重要業務の時間外対応をこの訓練だけで満たすわけではありません。
教育では、分類基準、迷った場合の相談、不審メールの通報、端末異常時の連絡を扱います。教育現場では児童生徒・保護者等の特徴を考慮し、教育情報セキュリティポリシーの策定・見直しと整合させます。[SRC-019]
2つの例で比較する：省ける作業と、省けない判断
例1：住民情報や成績を含む文書を外部へ共有する
次は架空の業務例であり、分類名・共有の可否は各組織の情報責任者が決めます。
| 作業 | E5/A5 | E3/A3＋SASE | E3/A3 |
|---|---|---|---|
| 共有の必要性・相手・期限を決める | 情報責任者が判断する | 同左 | 同左 |
| 内容に応じた分類を行う | 対応文書を自動分類し、利用者が迷う分類を相談する | 利用者が基準で分類し、ラベルを付ける | 同左 |
| 誤分類・未処理を確認する | 管理者が自動分類の結果・見逃し・対象外を点検する | 管理者が分類漏れと共有権限を点検する | 同左 |
| 許可した共有・送信だけを通す | ラベルの保護、クラウドDLP等を対象別に試す | E3/A3の保護と、契約したSASEの送信制限を別に試す | 利用できる保護と、共有先・保存場所・送信方法の制限を試す |
| 印刷・撮影・取得済みコピーを扱う | 別の対策と残留リスクを判断する | 同左 | 同左 |
E5/A5で減らせるのは、対応する内容を利用者が毎回分類する負担です。情報責任者の判断と、管理者の結果点検は残ります。E3/A3でも内容検査型のDLPは活用できますが、分類・保護・対象外操作を含めた運用を確認します。
例2：侵害の疑いがある端末から機密情報へアクセスする
| 確認する段階 | E5/A5 | E3/A3＋SASE | E3/A3 |
|---|---|---|---|
| 侵害の兆候を見つける | 基本保護とEDR等の情報を使う | 基本保護・通報・SASEが確認できる通信等を使う | 基本保護・管理情報・通報を使う |
| 機密業務への接続を拒否する | 機器リスク・準拠・条件付きアクセス等を連携し試験する | 利用できる接続条件とSASE連携を試す。EDR相当の状態把握とは限らない | 利用できる準拠条件等と、必要な手動停止を試す |
| 経緯・影響を調べる | 対応する端末・ID・メール等の調査情報を関連付ける | 取得できる端末・ID・メール・通信の記録を担当者が照合する | 取得できる記録を担当者が照合する |
| 分離・復旧・再開を確認する | 対応する機能で停止し、人が結果と再開条件を確認する | 同左。SASE切断だけで全対象の停止完了とはしない | 同左。調査できない範囲と追加対策を残す |
侵害が発見されず、必要な接続拒否も働かなければ、機密情報へアクセスされる危険が残ります。一方、EDRがある構成でも未登録・センサー停止・例外・未対応アプリがあれば危険は残ります。「EDRなしなら必ず侵害端末が通る」「EDRありなら必ず即時遮断される」のどちらも、適切な説明ではありません。
製品選定後に進める：運用設計・試験・継続運用をつなぐ
選定時の評価基準を、選定後の運用開始条件に引き継ぐ
Microsoftの公式資料では、機能の違いを確認できます。ただし、自組織の作業時間、事故が起きる割合、SASEが実際にどう構成されているかを測った資料ではありません。次の基準で実際に測って選びます。本稿では、根拠のない総合点や危険度の順位を作りません。
これらの基準は、製品の比較だけに使うものではありません。選定後は運用設計に引き継ぎ、本番の運用開始前に確認します。運用開始後も、構成・契約・業務・担当が変われば再確認します。
| 基準 | 採用前に確認すること | 未達の場合 |
|---|---|---|
| CRT-001 保護範囲 | 必要な利用者・機器・情報・アプリ・通信・操作を保護できる | 追加対策、対象制限、採用保留 |
| CRT-002 対応時間 | 検知・引受け・停止・復旧が、承認した時間内に終わる | 時間外体制・自動化・代替業務を見直す |
| CRT-003 運用能力 | 平常時だけでなく繁忙・担当不在・時間外にも実行できる | 主担当・代行・委託・対象範囲を見直す |
| CRT-004 証拠と結果 | 収集・検索・停止・復元の結果を確認できる | 記録や停止手段を追加し、未完了を残す |
作業量は、利用者の分類・相談、管理者の設定・点検・照合、承認者の判断を分けて測ります。実作業時間と、承認待ち・業務停止の経過時間も分けます。DLPとXDRが同じ案件を扱っても、その案件の調査・停止を重複して数えません。
自動化は「設定を作れた」だけでは評価しません。実際の対象で動き、結果が通知され、失敗した処理や対象外の案件を人へ引き継げる状態で評価します。処理する件数だけでなく、未処理の案件、最も長く待っている案件、誤った判定、保護されていない対象を確認します。
構成ごとの採用条件
E5/A5を第一候補にする条件 は、機密情報や管理対象が多く、分類・調査・権限追跡の繰り返し作業を減らす必要があることです。さらに、上位機能を実際の対象に適用し、使い続けられることが必要です。機能の違いは高い確度で確認できていますが、実際の作業時間がどれだけ減るかは試験で確認します。
E3/A3＋SASEを選べる条件 は、Web・外部SaaS・庁内アプリへの接続が重要課題で、契約したSASEが必要な通信を保護でき、Microsoft側の不足を別の機能・運用で補い、必要な保護を維持できることです。自動分類やEDRが必要なら、SASEの有無とは別に追加対策を判断します。
E3/A3を選べる条件 は、基本保護と既存対策で必要な対象・時間を満たし、分類・調査・権限追跡の負荷を継続して処理できることです。「利用者が気を付ける」「何か起きたら調べる」だけでは採用条件になりません。
Microsoft側の作業の自動化ではE5/A5に優位性がありますが、通信を守ることが主な課題ならSASEの優先度が上がります。自動分類の対象が少ない、誤判定が多い、上位機能を実際の対象で使えるようにできない、既存のEDR・自動化が十分に機能している場合は、必要な作業量と残留リスクを改めて評価します。
選定後は、運用設計・試験・継続点検を実施する
- 運用責任者が、各作業の対象・主担当・代行・実施時期・期限・完了条件・記録先・失敗時の引継ぎ先を設計する。
- 主担当と代行が、通常処理だけでなく、通知不達・承認待ち・担当不在・実行失敗・時間外・復旧の手順を試験する。
- 業務責任者が、試験結果と残留リスクを基に、運用開始の可否を判断する。
- 運用責任者が、開始後の実行記録・未処理・対応時間・作業量を基に、手順と体制を見直す。
たとえば退職者の利用停止では、停止機能を用意するだけでは足りません。人事からの連絡を受け、対象アプリを確認し、権限のある担当者が実行し、使えなくなったことを確認するまでを設計します。主担当が不在の場合も代行が実行できるかを試し、未完了の対象が残れば責任者へ引き継ぎます。
決めた手順を、人員・権限・時間の不足で実行できない場合は、運用の準備ができたことにしません。体制や自動化、追加対策、利用する業務・情報の範囲を見直します。外部に委託する場合も、依頼先を決めるだけでは足りません。相手の担当者が仕事を引き受けたことと、処理の結果を確認できることが必要です。
運用開始前と開始後の確認チェックリスト
- D01～D08の対象・主担当・代行・期限・完了条件を登録した。
- 主担当と代行が手順を実行でき、必要な権限・時間・連絡手段を確保した。
- 契約、機能の利用権、対象への割当て、設定、実際の動作を分けて確認した。
- 正常な利用の許可と、禁止した利用の拒否を無害な試験で確認した。
- 通知不達・承認待ち・担当不在・実行失敗・時間外・復旧を試験した。
- 記録が取れない対象、止められない対象、分類・検査の対象外を明記した。
- 補えない危険について、業務責任者が追加対策または利用制限を判断した。
- 運用開始後の実行記録・未処理・作業量を確認し、手順と体制を見直す担当を決めた。
製品選定は完了点ではありません。選定後に、安全を守るための運用を設計し、その運用を継続して実行・確認できることが重要です。 E5/A5の自動化は、反復作業と対応待ちを減らし、人を判断・例外対応・結果確認へ配置するために活用します。運用を実行できない場合は、製品を導入したことだけで安全を満たしたとせず、体制・追加対策・業務の制限を見直します。
根拠と限界：機能上の優位性と、実測していない順位を分ける
表中のQ・HYP・EVDは、執筆時に調べた問い、確かめようとした考え、その根拠に付けた記号です。記事を整理するための注記であり、別の分析ファイルを読む必要はありません。読者が根拠を確認する際は、各行に示すSRCの公式資料を参照します。
| 分析上の結論 | 根拠の追跡 | 確度・限界 | 選定への反映 |
|---|---|---|---|
| FND-001 Microsoft側の反復作業を自動化しやすい | Q1・Q3・Q4・Q7 → HYP-001 → EVD-001/002/003：SRC-002/003/007/008/009/010 | 機能差の確度は高い。工数削減量は未測定 | ACT-001：CRT-003で実作業と滞留を測る |
| FND-002 手動補完には時間と証拠の限界がある | Q2・Q7 → HYP-002 → EVD-004/009：SRC-004/005/006/013/014 | 人手が必要な記録・停止手段の代替になるとは限らない | ACT-002：CRT-002/004で失敗・時間外・復旧を試す |
| FND-003 SASEは通信軸であり、上位Microsoft機能を自動追加しない | Q6 → HYP-004 → EVD-005/006：SRC-008/009/015/016 | 実範囲はSASEの契約・設定・経路に依存する | ACT-003：CRT-001で通信・除外・API連携を確認する |
| FND-004 全業務で最低リスク・最小工数という無条件命題は採用しない | Q0 → HYP-003 → EVD-005/007/008/011：SRC-011/012/015/017/018/020 | 実工数・事故率・既存対策・SASE仕様が不明 | ACT-004：CRT-001～CRT-004の未達を業務責任者が判断する |
前提は、標準ライセンス、教職員中心、代表的SASE、例示の運用頻度です。各組織の契約・OS・規模・回線・委託体制・情報分類基準は未確認です。調査時点で告知と旧説明が併存する機能や、プレビュー機能は、採用前の確認を省略できません。
本稿は、電話・BI（業務データを分析する機能）等を含むMicrosoft 365全機能の比較、価格の評価、ガイドラインの全項目の評価ではありません。自治体・教育委員会のポリシー（組織のルール）、個人情報の取扱規定、調達条件と照らし合わせて使います。
参考資料：公式資料の確認先
すべて2026年11月1日に確認しました。SRCは出典番号、Q・HYP・EVD・FND・CRT・ACTは本稿の論点・仮説・証拠・結論・評価基準・行動の整理番号で、公的規格の番号ではありません。
- SRC-001：NIST SP 800-207: Zero Trust Architecture ― ネットワーク位置だけで信頼しない原則。
- SRC-002：Microsoft Entra service description ― P1/P2、リスク制御、PIM。
- SRC-003：Microsoft Entra ID Governance licensing fundamentals ― P2と追加Governance機能の境界。
- SRC-004：Microsoft Defender service description ― Endpoint P1/P2、Cloud Apps、Identity、利用権。
- SRC-005：Microsoft Defender for Endpoint Plan 1 overview ― 基本保護、Web保護、手動隔離等。
- SRC-006：Microsoft Configure Conditional Access with Defender for Endpoint ― 機器リスク・Intune・接続拒否の連携。
- SRC-007：Microsoft Automatically apply a sensitivity label ― 自動分類の対象・試行・制約。
- SRC-008：Microsoft Purview service description ― 手動/自動ラベル、DLP、監査、内部リスク。
- SRC-009：Microsoft Defender for Office 365 service description ― E3の2026年追加とP1/P2差。
- SRC-010：Microsoft AIR in Defender for Office 365 Plan 2 ― 自動調査、承認待ち、一部自動対処。
- SRC-011：Microsoft Defender XDR prerequisites ― 利用権と、展開製品に依存する調査情報。
- SRC-012：Microsoft Configure automatic attack disruption ― 対象・設定条件とプレビューの区別。
- SRC-013：Microsoft Audit solutions overview ― 180日・1年・10年保持の対象と条件。
- SRC-014：Microsoft Revoke user access ― アプリセッション、実効時間、オフライン情報の制約。
- SRC-015：Microsoft What is Global Secure Access? ― Microsoftサービス向けと全インターネット・Private Accessの利用権の区別。
- SRC-016：Cisco What is SASE? ― SASE/SSE、SWG、CASB、ZTNA等の定義。特定製品の推奨ではない。
- SRC-017：Microsoft Intune licensing ― 教育向け、端末専用の制約、利用権。
- SRC-018：Microsoft Intune planning guide ― 2026年の企業向け追加機能と導入計画。
- SRC-019：文部科学省 教育情報セキュリティポリシーに関するガイドライン公表ページ ― 教育現場の特徴と策定・見直しの位置付け。個別項目の適合判定には使用していない。
- SRC-020：Microsoft Overview of endpoint automated investigations ― 2026年9月の変更告知と旧説明の併存。
- SRC-021：Microsoft Global Secure Access and Microsoft Defender for Cloud Apps coexistence ― SWG/CASBの分担、二重プロキシ、Purview連携の提供状態。
- SRC-022：Microsoft Tutorial: Enable TLS inspection ― 暗号化通信の検査と証明書の準備。
- SRC-023：Microsoft Create content policies for network content filtering ― 形式別制御とPurviewによる内容検査、対応通信・利用条件。
- SRC-024：Microsoft Learn about Microsoft Purview Network Data Security ― ネットワークでの分類・DLP、連携方式と利用権。
- SRC-025：Microsoft Configure cloud firewall for remote networks ― 拠点通信の制御、既定の許可、クライアント・宛先ドメインの制約。
- SRC-026：Microsoft What is Azure Firewall? ― Azureへ経路を通した通信の検査とSKUの違い。
- SRC-027：Microsoft Azure Virtual WAN overview ― 拠点・Azure間の接続、パートナーSD-WAN/VPN機器との連携。
- SRC-028：Microsoft Global Secure Access integration with Netskope's Advanced Threat Protection and Data Loss Prevention ― 他社の高度な脅威対策・DLPを追加する構成。
- SRC-029：Microsoft How to configure connectors for Microsoft Entra Private Access ― プライベートネットワーク用コネクターの配置と可用性。
- SRC-030：Microsoft Secure hybrid access with Microsoft Entra integration ― 他社製品との認証連携と、アプリごとの条件付きアクセスの適用方法。すべてのSASE製品が同じ範囲を制御できるという根拠ではない。