Microsoft 365 管理者は、ベースライン セキュリティ モード設定を使用して、ビジネス環境を外部の脅威から保護およびセキュリティ保護できます。
ベースライン セキュリティ モードは、次のことに役立ちます。
- ビジネス データを保護します。
- ビジネスの中断を防ぎます。
- 安全でないエンド ユーザーの慣行をブロックします。
- 内部アカウントをセキュリティで保護します。
- 安全なコラボレーションを確保します。
ベースライン セキュリティ モードは、次のような主要な Microsoft 365 サービスに対応します。
- Microsoft 365 アプリ。
- SharePoint および OneDrive。
- Microsoft Teams。
- Exchange Online。
- Microsoft Entra ID プラットフォーム。
Microsoft 365 管理センターのベースライン セキュリティ モードを使用すると、以前は PowerShell でのみ使用可能だった特定のセキュリティ設定を設定できます。
これらの設定を管理センターで利用できるようになったので、organization は展開前に各ベースライン セキュリティ モード設定を慎重に評価できます。
この記事では、オンにできるベースライン セキュリティ モード設定に関する情報を提供します。 また、各設定の機能と、設定をオンにする必要がある理由を理解するのに役立つコンテンツへのリンクもあります。
開始する前に
ワークロード固有の管理者が管理できるのは、自分の設定のみです。 構成する設定を管理するには、適切な役割を持つアカウントでサインインしてください。 たとえば、Microsoft Entra ID に関連する設定を管理するには、セキュリティ管理者ロールを持つアカウントでサインインします。
ベースライン セキュリティ モード設定はロールベースのアクセス制御 (RBAC) をサポートするため、次のロールにもこれらの設定を表示できます。
詳細については、「Microsoft Entra の組み込みロール」を参照してください。
重要
すべての Microsoft 365 サブスクリプションとプランでベースライン セキュリティ モード設定を構成できます。
ベースライン セキュリティ モード設定の推奨事項
ベースライン セキュリティ モード設定は柔軟性と制御を提供するため、各設定を個別に管理できます。 依存関係を評価するために、定義した期間 (数日など) の設定を無効にして実験することもできます。
ベースライン セキュリティ モード設定は次のように実行します。
- ベースライン セキュリティ モード設定ごとに影響レポートを実行します。
- この設定に "影響がゼロ" と表示されている場合は、その設定をオンにします。
- 重要な依存関係が存在する場合は、設定をオンにしないでください。 変更を永続的にする前に、これらの依存関係に対処する計画を立ててください。 この直感的な段階的なアプローチにより、既定で安全な構成へのスムーズな移行が保証されます。
ベースライン セキュリティ モード設定にアクセスする方法
ベースライン セキュリティ モード設定にアクセスするには、次の手順を実行します。
Microsoft 365 管理センター にサインインします。
左側のナビゲーション バーから、 次を選択します。[すべて表示] を選択し、[ 設定 ] を選択して展開します。
[ 設定] で、[ 組織の設定] を選択します。
[ 組織の設定 ] ページで、[ セキュリティとプライバシー] タブを選択します。
[ セキュリティとプライバシー] タブで、[ ベースライン セキュリティ モード] を選択します。
認証
このセクションでは、Microsoft 365 管理センターで安全でない認証方法をブロックするために使用できるオプションについて説明します。
重要
2025 年 11 月から 2026 年 2 月初旬の間に Microsoft 365 のベースライン セキュリティ モードにアクセスしたお客様は、テナントで作成された 2 つのドラフト Microsoft Entra ID 条件付きアクセス ポリシーが無効な状態で表示される場合があります。 これらのポリシーはベースライン セキュリティ モードに関連付けられており、[Microsoft ベースライン セキュリティ モード] ページにサインインした管理者によって作成されたものとして表示される場合があります。
この動作はセキュリティ インシデントを表すものではなく、テナントのセキュリティには影響しません。 ポリシーは、無効なドラフト状態です。 明示的な管理者の操作によってのみポリシーが作成されるようにするための修正プログラムが進行中です。 Microsoft は、意図せず作成されたポリシーの下書きを削除し、事前にお客様に通知します。
| Setting | 詳細情報 |
|---|---|
| フィッシングに強い認証で Microsoft 管理ポータルへの管理者アクセスを保護する |
特定の特権管理者ロールが割り当てられているアカウントは、攻撃者の頻繁な標的になります。 これらのアカウントにフィッシング対応の多要素認証 (MFA) を要求することは、これらのアカウントが侵害されるリスクを軽減する簡単な方法です。 詳細については、「管理者にフィッシングに強い多要素認証を要求する」を参照してください このタスクを実行するには、 セキュリティ管理者 または 条件付きアクセス管理者 ロールのメンバーである必要があります。 |
| 従来の認証フローをブロックする | 多要素認証をサポートしていないレガシ プロトコルを使用する認証要求をブロックします。 分析によると、ほとんどのクレデンシャル スタッフィング攻撃はレガシ認証を使用し、ほとんどのパスワード スプレー攻撃はレガシ認証プロトコルを使用します。 基本認証を無効化またはブロックすることで、これらの攻撃を阻止できます。 詳細については、「条件付きアクセスを使用してレガシ認証をブロックする」を参照してください このタスクを実行するには、 セキュリティ管理者 または 条件付きアクセス管理者 ロールのメンバーである必要があります。 |
| アプリへの新しいパスワード資格情報の追加をブロックする | セキュリティを強化するには、アプリケーションでのパスワード資格情報の追加をブロックします。 パスワードはサービス認証の最も脆弱な方法の 1 つであり、悪意のある人物による侵害に対して脆弱です。 より安全な方法に切り替えると、セキュリティが向上し、管理オーバーヘッドが軽減されます。 詳細については、「Microsoft Entra アプリでのパスワードの使用を制限する」を参照してください。 このタスクを実行するには、 セキュリティー管理者、 アプリケーション管理者、または クラウド・アプリケーション管理者 ロールのメンバーである必要があります。 |
| エンド ユーザーの同意を、リスクの低いアクセス許可を持つ Microsoft 365 認定アプリとシングル テナント アプリに制限する | Microsoft Entra ユーザーの同意設定を更新して、テナントまたは Microsoft 365 認定リストで作成されたアプリケーションへのアクセスを許可するユーザーを制限します。 Microsoft は Microsoft 365 開発者パートナーと協力してこの情報を提供し、組織がユーザーが使用できるアプリとアドインに関する決定を迅速化し、通知できるようにします。 詳細については、「ユーザーがアプリケーションに同意する方法を構成する」を参照してください このタスクを実行するには、 セキュリティ管理者 または 特権ロール 管理者ロールのメンバーである必要があります。 |
| 基本認証をブロックする | 基本認証は、簡単に傍受されたり盗まれたりする方法でユーザーの資格情報を送信する、時代遅れで安全でない方法です。 基本認証プロンプトをブロックするときに、この設定を使用すると、特にフィッシング攻撃時や安全でないネットワーク経由でサービスにアクセスするときに、資格情報の盗難からユーザーを保護することができます。 この設定を有効にすると、ユーザーに基本認証の確認を求めるメッセージが表示されなくなります。 この設定により、資格情報が盗まれるリスクが軽減され、より安全な認証方法が強制されます。 詳細については、「 Microsoft 365 アプリで基本認証をブロックする」を参照してください。 |
| ファイルを開くための安全でないプロトコルをブロックする | ユーザーが HTTP や FTP などの安全でないプロトコルを使用して場所からファイルを開くと、これらのプロトコルはプレーン テキストで情報を送信するため、機密データが公開される可能性があります。 これらのプロトコルをブロックすると、ファイル アクセス中に攻撃者が資格情報やその他の機密データを傍受するのを防ぐのに役立ちます。 この設定を有効にすると、HTTP または FTP を使用する場所からファイルを開けなくなります。 この設定は、安全なデータ転送方法を実施し、中間者攻撃の危険性を減らすのに役立ちます。 詳細については、「ファイルを開くための安全でないプロトコルをブロックする」を参照してください。 |
| ファイルを開くために FrontPage Remote Procedure Call (FPRPC) プロトコルをブロックする | FrontPage Remote Procedure Call (FPRPC) は、Web ページのリモート作成に使用されていた古いプロトコルです。 現在は広く使用されていませんが、攻撃者は依然として FPRPC を悪用して、任意のコマンドを実行したり、特別に細工されたファイルやネットワーク トラフィックを介してシステムを侵害したりする可能性があります。 Microsoft 365 アプリでは、既定で FPRPC がブロックされ、HTTPS が採用されるようになりました。 この設定を有効にすると、環境内のユーザーが既定の構成を上書きできなくなります。 詳細については、「 Microsoft 365 でファイルを開くために FrontPage Server Extensions Remote Procedure Call (FPRPC) をブロックする」を参照してください。 |
| 従来の証明書利用者スイート (RPS) プロトコルを使用して SharePoint および OneDrive へのレガシ ブラウザー認証接続をブロックする | レガシ プロトコルは、ブルート フォース攻撃やフィッシング攻撃の影響を受けやすくなります。 Microsoft の報告によると、従来の認証を無効にしている組織では、アカウントの侵害が少なくなります。 この設定を強制すると、アプリケーション (Microsoft 以外のアプリケーションを含む) が従来の認証プロトコルを使用してブラウザーの SharePoint および OneDrive リソースにアクセスできなくなります。 この設定のレポートでは、どのユーザーが RPS 認証を使用して SharePoint または OneDrive にアクセスしているかが表示されます。 また、レポートでは、日時のほか、アクセスした SharePoint サイトや OneDrive のファイルまたはフォルダーもわかります。 注: 変更はすぐには反映されません。 適用には最大で 24 時間かかる可能性があります。 この設定を構成するには、 SharePoint 管理者ロール のメンバーである必要があります。 詳細については、「 Set-SPOTenant -LegacyBrowserAuthProtocolsEnabled」を参照してください。 注: 2025 年 10 月の時点で、エンタープライズ テナントではレガシ ブラウザー認証が非推奨になりました。 この設定を true に設定することはできるようになりました。 RPS プロトコルは機能しなくなりました。 |
| レガシ ID クライアント ランタイム ライブラリ (IDCRL) プロトコルを使用して SharePoint および OneDrive へのレガシ クライアント認証接続をブロックする | レガシ プロトコルは、ブルート フォース攻撃やフィッシング攻撃の影響を受けやすくなります。 Microsoft の報告によると、従来の認証を無効にしている組織では、アカウントの侵害が少なくなります。 この設定を強制すると、クライアントが従来の認証プロトコルを使用して SharePoint および OneDrive リソースにアクセスできなくなります。 この設定のレポートでは、IDCRL 認証を使用して SharePoint にアクセスしているユーザーが表示されます。 また、レポートでは、日時のほか、アクセスした SharePoint サイトまたは OneDrive のファイルまたはフォルダーもわかります。 注: 変更はすぐには反映されません。 適用には最大で 24 時間かかる可能性があります。 この設定を構成するには、 SharePoint 管理者ロール のメンバーである必要があります。 詳細については、「 Set-SPOTenant -LegacyAuthProtocolsEnabled」を参照してください。 |
| SharePoint サイトで新しいカスタム スクリプトを許可しない | カスタム スクリプトは、SharePoint サイトの動作を変更するために使用されます。 ユーザーにカスタム スクリプトの実行を許可すると、ガバナンスの適用、挿入されたコードの機能の範囲の適用、コードの特定の部分のブロック、またはデプロイされたすべてのカスタム コードのブロックができなくなります。 この設定により、OneDrive および SharePoint サイトに新しいカスタム スクリプトを追加する機能が完全に削除されます。 カスタム スクリプトを許可する代わりに、SharePoint Framework を使用します。 この設定を構成するには、 SharePoint 管理者ロール のメンバーである必要があります。 詳細については、「 カスタム スクリプトを許可または禁止する」を参照してください。 |
| SharePoint の Microsoft Store へのアクセスを無効にする | ユーザーは Microsoft Store から特定のアプリケーションをインストールできます。 場合によっては、この機能が組織のポリシーに反し、ガバナンス コストが増加する可能性があります。 この設定により、エンド ユーザーが Microsoft Store からアプリケーションを直接インストールする機能が削除されます。 この設定を構成するには、 SharePoint 管理者ロール のメンバーである必要があります。 詳細については、「SharePoint ストアの設定の構成」を参照してください |
| Exchange Web サービス (EWS) へのorganization全体のアクセスを無効にする | Exchange Web サービス (EWS) は、メール、会議、連絡先などの機密性の高い Exchange Online データへのクロスプラットフォーム API アクセスを提供します。 侵害されると、攻撃者は機密データにアクセスし、フィッシング メールを送信し、ID を偽装し、システムの制御を取得する可能性があります。 EWS へのアクセスを無効にすると、レガシ アプリの使用量も減り、攻撃者の標的となるエンドポイントの数を最小限に抑えられます。 EWS は、Outlook と Web アドイン プラットフォームの両方の一部のファースト パーティ機能でも使用されます。 Word、Excel、PowerPoint、Outlook の Web アドインが一部のビルドでは動作しません。 詳細については、「 EWS へのアクセスを制御する」を参照してください。 |
Exchange Web サービスの要件
EWS を無効にする前に、Office アドインの中断を回避するために必要なビルドがあることを確認してください。 ビルド 16.0.19725 は、ベースライン セキュリティ モード機能を備えた最初のビルドです。
そのビルドがさまざまな更新チャネルに到達するタイミングを以下に示します。
- 最新チャネル (CC): 現在利用可能です。
- 月次エンタープライズ チャネル (MEC): 現在利用可能です。
- Semi-Annual エンタープライズ チャネル (SAC): 2026 年 7 月。
- Teams パネル: 中断を回避するために、デバイスを更新します Teams アプリのバージョン 1449/1.0.97.2025120101 (2025 年 9 月に出荷されました)。
注:
これらのステートメントとビルド要件は、Win32 Microsoft 365 Apps (Office) ビルドのみを対象としています。
ベースライン セキュリティ モード設定が認証に与える影響
現時点では、ベースライン セキュリティ モード設定を有効にすると、次の機能は動作しません。
- Exchange ActiveSync の証明書ベースの認証 (Microsoft Entra CBA フローではなく、従来の Exchange フロー)。
Power Query でサポートされているホスト全体での Exchange コネクタに対するベースライン セキュリティ モード設定の影響
現時点では、ベースライン セキュリティ モード設定を有効にすると、次の機能は動作しません。
- Excel for Windows。
- Excel for the web。
- Power BI と Microsoft Fabric - Power BI Desktop、データフロー (Gen1 および Gen2)、Power BI Web モデリング、Power BI Report Server。
- Microsoft Power Platform - Power Platform データフロー (Standard および Analytical)、Dynamics 365 Customer Insights。
ベースライン セキュリティ モード設定がクロステナント機能に与える影響
現時点では、ベースライン セキュリティ モード設定を有効にすると、次の機能は動作しません。
- Calendar 共有と空き時間情報 (テナント間/クラウド)。
- メールヒント (クロステナント/クラウド)。
ベースライン セキュリティ モードがハイブリッド展開に与える影響
EWS アクセスをオフにするのは、ハイブリッド Microsoft Exchange セットアップで REST API がサポートされている場合のみです。 この変更により、レガシ アプリの使用量が削減され、データ漏洩のリスクが軽減されます。
この設定では、Dynamics オンプレミスと Exchange Online 間のサーバー側同期は機能しません。 同期機能を引き続き使用するには、Exchange Online を Model-driven apps (on-premises) に接続します。
Files
このセクションでは、Microsoft 365 管理センターでベースライン セキュリティ モード設定をオフにするために OneDrive と SharePoint 内で使用できるオプションについて説明します。
これらのタスクを実行するには、 SharePoint 管理者ロール のメンバーである必要があります。
| Setting | 詳細情報 |
|---|---|
| 古いレガシ形式を保護ビューで開き、編集を禁止する | Microsoft 365 アプリ (旧称 Office) の古いレガシ ファイル形式は、メモリの破損に対して脆弱です。 ユーザーが編集を無効にして保護ビューでこれらの古い形式を開くと、潜在的な悪用を防ぐと同時に、ユーザーはリスクなしでコンテンツを表示できます。 詳細については、「 保護ビューで古代のレガシ形式を開き、編集を禁止する」を参照してください。 |
| 古いレガシ形式を保護ビューで開き、編集を許可する | Microsoft 365 アプリの多くの従来のファイル形式 (古い Word、Excel、PowerPoint ファイルなど) には、メモリ破損の脆弱性が発生する傾向があります。 従来の形式を保護ビューで開くことで、悪意のあるコードが実行されるリスクを最小限に抑えながら、ユーザーがコンテンツを安全に編集できます。 詳細については、「 保護ビューで古いレガシ形式を開き、編集を許可する」を参照してください。 |
| ActiveX コントロールをブロックする | ActiveX コントロールは、Microsoft 365 のドキュメントや Web ページに対話型機能を追加するために使用される小さなプログラムです。 彼らは悪用に対して非常に脆弱です。 悪意のある攻撃者は、特にユーザーが侵害されたファイルを開いたり、安全でない Web サイトにアクセスしたりした場合に、ActiveX を使用して有害なコードを実行したり、マルウェアをインストールしたり、システムを制御したりすることがよくあります。 セキュリティの問題の歴史と使用量の減少のため、Microsoft 365 アプリは既定で ActiveX をブロックします。 この設定を強制すると、環境内のユーザーが既定の構成を上書きできなくなります。 詳細については、「 Microsoft 365 Apps ドキュメントで ActiveX コントロールをブロックする」を参照してください。 |
| ブロック OLE グラフおよび OrgChart オブジェクト | ブロック OLE Graph オブジェクトと OrgChart オブジェクト。 この設定をオンにすると、Microsoft 365 Apps は既知の悪用手法からユーザーを保護するために、OLE Graph と OrgChart オブジェクトの読み込みをブロックします。 詳細については、「 ブロック OLE Graph オブジェクトと OrgChart オブジェクト」を参照してください。 |
| 動的データ交換 (DDE) サーバーの起動が Excel でブロックされる | Windows 動的データ交換 (DDE) を使用すると、Excel は外部ソースからリアルタイムでデータをプルできます。 ただし、ソースが悪意のある場合は、有害なコードを Excel に送信し、マクロやその他のアクティブなコンテンツを必要とせずにシステムを侵害する可能性があります。 攻撃者は、標的型フィッシング攻撃でこの手法を使用して、任意のコマンドを実行します。 DDE サーバーの起動をブロックすると、このリスクが軽減されます。 この設定を有効にすると、Excel は DDE サーバーの起動をブロックし、悪意のある外部ソースが有害なコードをスプレッドシートに挿入するのを防ぎます。 詳細については、「 Excel で動的データ交換 (DDE) サーバーの起動をブロックする」を参照してください。 |
| Microsoft Publisher をブロックする | Publisher には大きな攻撃面があり、2026 年 10 月以降は Microsoft 365 には含まれなくなります。 Publisher をブロックすることで、セキュリティ リスクが軽減され、Microsoft のサポート戦略と整合するようになりました。 この設定を有効にすると、Microsoft Publisher は起動しません。 詳細については、「 Microsoft Publisher をブロックする」を参照してください。 |
ルーム デバイス
このセクションでは、Microsoft 365 管理センターでベースライン セキュリティ モード設定をオフにするために Teams 内で使用できるオプションについて説明します。
これらのタスクを実行するには、 Teams 管理者ロール のメンバーである必要があります。
| Setting | 詳細情報 |
|---|---|
| Teams Rooms デバイス上のリソース アカウントが Microsoft 365 ファイルにアクセスできないようにする | セキュリティを強化するには、Teams Rooms とデバイスが会議とコラボレーションのために Microsoft 365 資産にアクセスするために使用するリソース アカウントのアクセスを削除します。 詳細については、「 Set-SPOTenant 」および「 リソース アカウントのアクセスを制限する」パラメーターを参照してください。 |
| エンドポイントで管理され、準拠しているデバイスのみにサインインを許可する | セキュリティを強化するために、準拠した organization 管理の Teams Rooms デバイスのみが Microsoft 365 アプリケーションにサインインでき、リソース アカウントを非管理対象デバイスからの認証に悪用することはできません。 詳細については、「 Teams リソース アカウントの Microsoft 365 クライアントへのサインインをブロックする」を参照してください。 |
| Microsoft 365 アプリへの非管理対象デバイスとリソース アカウントのサインインをブロックする | セキュリティを強化するには、Teams デバイスに使用されるリソース アカウントを使用して Microsoft 365 クライアントにサインインできないようにします。 詳細については、「 Teams リソース アカウントの Microsoft 365 クライアントへのサインインをブロックする」を参照してください。 |
Microsoft 365 アプリへの非管理対象デバイスとリソース アカウントのサインインをブロックする
| Setting | 詳細情報 |
|---|---|
| Teams Rooms デバイス上のリソース アカウントが Microsoft 365 ファイルにアクセスできないようにする | セキュリティを強化するには、Teams Rooms とデバイスが会議とコラボレーションのために Microsoft 365 資産にアクセスするために使用するリソース アカウントのアクセスを削除します。 詳細については、「Set-SPOTenant」を参照してください。 |
Teams Rooms デバイス上のリソース アカウントが Microsoft 365 ファイルにアクセスできないようにする
| Setting | 詳細情報 |
|---|---|
| Teams Rooms デバイス上のリソース アカウントが Microsoft 365 ファイルにアクセスできないようにする | セキュリティを強化するには、Teams デバイスに使用されるリソース アカウントを使用して Microsoft 365 クライアントにサインインできないようにします。 詳細については、「 Teams リソース アカウントの Microsoft 365 クライアントへのサインインをブロックする」を参照してください。 |
関連コンテンツ
- セキュリティの既定値と Microsoft が管理する条件付きアクセス ポリシーが認証の保護にどのように役立つかについて説明します。