M365の初期設定は契約直後が勝負です。特にMFA、メールセキュリティ（SPF/DKIM/DMARC）、監査ログは必ず初日に設定しましょう。
初期設定の重要性
M365を契約したらすぐに使い始められますが、初期設定を怠るとセキュリティリスクや運用トラブルの原因になります。以下の15項目を契約後1週間以内に完了させましょう。
やるべき15の設定
| # | 設定項目 | 優先度 |
|---|---|---|
| 1 | カスタムドメインの追加（自社ドメインのメールアドレス） | 必須 |
| 2 | 管理者ロールの設定（グローバル管理者は最小限に） | 必須 |
| 3 | MFA/セキュリティの既定値群の有効化 | 必須 |
| 4 | パスワードポリシーの設定 | 必須 |
| 5 | Exchange Online メールフロー設定（SPF/DKIM/DMARC） | 必須 |
| 6 | SharePointの既定共有設定（組織内のみに制限） | 高 |
| 7 | Teamsポリシーの設定 | 高 |
| 8 | OneDriveストレージ上限の設定 | 中 |
| 9 | DLP（データ損失防止）基本ポリシー | 高 |
| 10 | 監査ログの有効化 | 必須 |
| 11 | Intune登録の準備 | 高 |
| 12 | 条件付きアクセスの基本設定 | 高 |
| 13 | 秘密度ラベルの設定 | 中 |
| 14 | バックアップの設定 | 高 |
| 15 | 監視アラートの設定 | 中 |
Microsoft 365の設計・移行・運用は、ライセンス構成とセキュリティ設定の組み合わせで運用負荷が大きく変わります。設定の妥当性から見直すご支援が可能です。
Microsoft 365 移行支援 を見る →とくに優先度の高い5つの設定
15項目のうち、後回しにすると影響が大きいものを5つに絞ると次のようになります。
| 設定 | なぜ優先か | 設定場所 |
|---|---|---|
| カスタムドメインの追加 | これがないと自社ドメインのメールが使えない。DNS反映に時間がかかるため最初に着手する | 管理センター → 設定 → ドメイン |
| MFAの有効化 | 未設定のまま運用を始めるとアカウント乗っ取りのリスクを負い続ける | Entra ID → セキュリティの既定値群 |
| グローバル管理者の絞り込み | 初期状態では作成者に強い権限が付いている。2〜3名に限定する | Entra ID → ロール |
| SPF / DKIM / DMARC | 未設定だと自社ドメインがなりすましに使われ、送信メールも迷惑メール判定されやすい | DNS設定＋Defenderポータル |
| 外部共有の既定値 | 初期値は緩い。「リンクを知っている全員」のまま運用すると意図しない公開が起きる | SharePoint管理センター → 共有 |
設定後に確認すること
- テストアカウントで一通り操作する：メール送受信、Teams会議、ファイル共有、外部への共有を実際に試す
- 外部からのメール到達を確認する：フリーメールなど社外アドレスへ送信し、迷惑メールに入らないかを見る
- Secure Scoreを記録する：初期値を控えておくと、以降の改善が数値で示せる
- 緊急アクセス用アカウントを金庫に保管する：条件付きアクセスの設定ミスで全員がロックアウトされる事故に備える
初期設定は一度で完璧にする必要はありません。上記5つを押さえたうえで運用を始め、Secure Scoreの推奨事項を月次で消化していくほうが、確実に前に進みます。
BTNコンサルティングの支援
M365テナントの初期設定を代行します。セキュリティベストプラクティスに基づいた設定を1週間で完了させます。
よくある質問
初期設定はいつまでに終わらせるべきですか？
契約後1週間以内に15項目を完了させることが推奨です。M365は契約後すぐ使い始められますが、初期設定を怠るとセキュリティリスクや運用トラブルの原因になります。
必須の設定は何ですか？
①カスタムドメインの追加（自社ドメインのメールアドレス）、②管理者ロールの設定（グローバル管理者は最小限に）、③MFA／セキュリティの既定値群の有効化、④パスワードポリシーの設定、⑤Exchange Onlineのメールフロー設定（SPF等）が必須項目です。
管理者ロールはどう設定しますか？
グローバル管理者を最小限（2〜3名）に絞り、日常業務は用途別の専用ロールで行います。あわせて緊急アクセス用のアカウントを用意しておきます。
設定を怠るとどんなリスクがありますか？
MFA未設定によるアカウント乗っ取り、SPF等の未設定によるなりすましメールの踏み台化、外部共有の開放による情報漏洩といったセキュリティリスクに加え、後から設定を変更する際の運用トラブルにつながります。
まとめ
M365の初期設定は契約直後が勝負です。特にMFA、メールセキュリティ（SPF/DKIM/DMARC）、監査ログは必ず初日に設定しましょう。