Microsoft 365権限管理のベストプラクティス｜過剰な権限を防ぐ設計と運用

権限管理が重要な理由

M365の権限管理が不適切だと、以下のリスクが発生します。

• 情報漏洩：退職者のアカウントが残り続け、社外からデータにアクセス可能な状態
• 内部不正：不要な権限を持つ従業員が機密情報にアクセスできる状態
• Copilotによる意図しないデータ露出：Copilotはユーザーがアクセスできる全データを参照するため、過剰な権限がAI経由でのデータ漏洩につながる

設計原則

• 最小権限の原則：ユーザーには業務に必要な最小限の権限のみ付与
• グループベースの権限管理：個人ではなくグループに権限を付与し、メンバーの追加・削除で管理
• 明示的な権限付与：「全社員がアクセス可能」なサイトは極力作らず、必要なグループにのみ権限を付与
• 定期的な棚卸し：四半期ごとに権限の状態をレビューし、不要な権限を削除

SharePoint権限の管理

注意すべき設定として「Everyone except external users」（外部ユーザー以外の全員）グループにアクセス権を付与しないことが挙げられます。これはテナント内の全ユーザーにアクセス権を与えてしまいます。

Entra IDグループ設計

• 部門別グループ：SG-Sales、SG-Engineering等（セキュリティグループ）
• プロジェクト別グループ：Microsoft 365グループ（Teams/SharePointサイトと連動）
• 動的グループ：部門属性に基づいて自動的にメンバーが追加・削除されるグループ（Entra ID P1）
• 命名規則：グループ名に「SG-」「M365-」「DL-」等のプレフィックスを統一し、種類を識別可能に

定期的なアクセスレビュー

• 四半期ごとの権限棚卸し：各SharePointサイトの権限をエクスポートし、不要なアクセス権を削除
• ゲストアカウントのレビュー：外部ゲストのアクセス権が期限切れになっていないか確認
• 共有リンクの監査：「リンクを知っている全員」で共有されたファイルを特定し、共有を解除
• Entra IDアクセスレビュー：P2ライセンスで自動的なアクセスレビューワークフローを設定可能

Copilot導入前の権限棚卸し

Microsoft 365 Copilotはユーザーのアクセス権限に基づいてデータを参照します。Copilot導入前に以下を実施してください。

• SharePointサイトの権限を全サイト確認し、「Everyone」グループの使用を排除
• OneDriveの「組織内の全員」共有を棚卸し
• 不要になったTeamsチーム・チャネルをアーカイブ

よくある質問

権限管理が重要なのはなぜですか？

退職者のアカウントが残り社外からデータにアクセスできる情報漏洩リスク、不要な権限を持つ従業員が機密情報にアクセスできる内部不正リスク、そしてCopilotがユーザーのアクセスできる全データを参照するため過剰な権限が意図しないデータ露出につながるためです。

設計原則は何ですか？

業務に必要な最小限の権限のみ付与する最小権限の原則、個人ではなくグループに権限を付与しメンバーの追加・削除で管理するグループベースの権限管理、「全社員がアクセス可能」なサイトを極力作らない明示的な権限付与です。

Entra IDのグループはどう設計しますか？

部門別はセキュリティグループ（SG-Sales、SG-Engineering等）、プロジェクト別はMicrosoft 365グループ（Teams/SharePointサイトと連動）、部門属性に基づき自動でメンバーが追加される動的グループを使い分けます。

アクセスレビューはどう行いますか？

四半期ごとに各SharePointサイトの権限をエクスポートして不要なアクセス権を削除します。あわせて外部ゲストのアクセス権が期限切れになっていないかを確認し、「リンクを知っている全員」で共有されたファイルを特定します。

まとめ

M365の権限管理は「最小権限の原則」「グループベースの管理」「定期的なアクセスレビュー」が基本です。特にCopilot導入前の権限棚卸しは必須です。