このOffice 365 バックアップガイドでは、標準機能による保護における具体的な課題を検証し、業務の耐障害性を確保するためのバックアップアーキテクチャ、ID管理、および規制コンプライアンスに関する実践的なフレームワークを提示します。
Microsoftのサーバーにメールやドキュメントを保存すれば十分なセキュリティが確保できると誤解されがちですが、標準機能による保護には、予想外の制限があることがよくあります。現代のエコシステムは、Teamsの会話からSharePointサイトに至るまで多岐にわたりますが、これらの重要なデータのいずれも、Microsoftによってデフォルトで完全に保護されているわけではありません。
Office 365のバックアップはMicrosoft 365のバックアップと異なるのか
多くの人がこれらの用語を同じ意味で使用していますが、効果的なデータ保護戦略を構築するには、その違いを理解する必要があります。
Office 365 の変遷
2020年、マイクロソフトは、Office 365 を Microsoft 365 に名称変更しました。これは、デスクトップアプリ（Word、Excel、PowerPoint）のスイートから、完全なクラウドプラットフォームへと進化したことを反映したものです。現在、Microsoft 365 には以下が含まれます：
- ・Office 365 スイート（Word、Excel、PowerPoint、Outlook）
- ・Exchange Online（メールとカレンダー）
- ・OneDrive （個人用ファイルの保存および同期）
- ・SharePoint（チームサイトおよびドキュメント ライブラリ）
- ・Microsoft Teams（チャット、通話、コラボレーション）
これが Office 365 のバックアップにとって重要な理由
組織がクラウドに移行するにつれ、データは複数のサービスやアカウントに分散するため、より堅牢な Office 365 バックアップ戦略が必要となります。
マイクロソフトの「責任分担モデル」は明確です。マイクロソフトはインフラストラクチャのセキュリティを確保しますが、データの保護はユーザーの責任となります。
Office 365の標準機能におけるバックアップの課題
復旧と保存期間の制限： 標準の復旧可能期間は最大93日間に限定されており、この期間を過ぎるとデータは復旧できなくなります。
データ損失とランサムウェア： 悪意のある攻撃者や不満を抱いた従業員がアクセス権を取得し、データを暗号化または削除した場合、Microsoftは頼りになる標準の不変性を持つ復旧レイヤーを提供していません。
サービスやユーザーに分散したデータ： 企業が従業員との雇用関係を終了する場合、そのデータはExchange、OneDrive、SharePoint、Teamsなどに散在しています。復旧には、Microsoftが定める厳格な時間制限内に、各サービスに個別にアクセスする必要があります。
コンプライアンス上の課題： Microsoft 365には、HIPAAやGDPRなどのすべての規制要件を満たすための組み込みツールがありません。組織は、これらの義務を果たすために、独立したバックアップソリューションを必要とします。
Microsoft 365のサービス停止： Microsoftは高い稼働率を保証していますが、わずかなサービス停止でも重要なデータへのアクセスが遮断される可能性があります。外部バックアップを利用することが、こうした障害に対処する最も簡単な方法です。
Microsoft 365（Office 365）のデータを保護する方法
Microsoft 365のデータを適切に保護するには、きめ細やかな配慮と正確さが求められます。当社の戦略は、バックアップと復旧、IDとアクセス、データセキュリティ、モニタリングという4つの主要分野を網羅しています。
Office 365のバックアップと復旧
これは戦略の基盤となります。信頼性の高い復旧経路がなければ、危機が発生した際に、他のすべてのセキュリティ対策の管理が著しく困難になります。
- ・バックアップを外部に保存する： 復旧用データはMicrosoftのインフラストラクチャ外に保管し、主要なM365またはGoogleの管理アカウントとは別の認証情報を使用してください。これにより、侵害されたテナントが復旧ポイントにアクセスできないようにし、データの完全な喪失を防ぎます。
- ・不変のバックアップを使用する： 「書き込み一回限り」のストレージを活用し、特権アカウントであってもデータの変更、削除、暗号化ができないようにします。これは、バックアップファイルを標的とするランサムウェアに対する主要な防御策となります。
- ・四半期ごとに復元テストを実行する： ストレージから定期的にデータを復元し、ファイルが正常で破損していないことを確認してください。
- ・リーガルホールドを有効にする： 訴訟や規制当局による審査に必要な重要データは、標準的な保存スケジュールとは独立して保存・保持してください。
- ・「3-2-1ルール」に従う: データの3つのコピーを2種類の異なるストレージに保存し、そのうち少なくとも1つはオフサイトに保管します。例えば、機密性の高い法的資料や長期アーカイブについては、オフラインでのみアクセス可能な外部の暗号化ドライブを使用してPSTファイルをエクスポートします。
- ・RTOを検証する: 復旧時間目標（RTO）に基づいて復旧計画をテストします。RTOで2時間以内の復旧が定められている場合は、バックアップのダウンロード速度が要件を満たしていることを確認してください。
- ・バックアップ頻度を維持する： メール、ドライブ、およびコラボレーションデータについて、1日あたり少なくとも1～2回のバックアップを実行することで、データ損失を回避できる可能性が大幅に高まります。
- ・共有メールボックスのバックアップを自動化する： 手動バックアップでは見落とされやすいため、共有メールボックスやマルチユーザーメールボックスが自動バックアップルーチンに含まれていることを確認してください。
- ・サービスの依存関係を理解する： サービス間のデータの流れを把握してください。たとえば、Teamsのチャンネルで共有されたファイルはSharePointに保存されますが、プライベートチャットやグループチャットで送信されたファイルは送信者のOneDriveに保存されます。こうした詳細を把握することで、復旧までの時間を大幅に短縮できます。
IDおよびアクセス保護
バックアップはデータを保護しますが、ID制御はデータへのアクセスや削除を行う権限を持つアカウントを保護します。IDセキュリティの侵害は、復旧戦略を直接的に損なうことになります。
- ・多要素認証（MFA）を徹底し、レガシーな認証方法をブロックしてください。多要素認証（MFA）を最大限に活用するだけでなく、設計上MFAを迂回するレガシープロトコル（IMAPやPOPなど）もブロックする必要があります。攻撃者は、1つの漏洩したパスワードだけで古いメールクライアントを介してサインインし、最新のセキュリティ層を完全に迂回することが可能です。
- ・最小権限のアクセス原則を適用してください。 Microsoft 365の管理者ロールの過剰な割り当てを確認し、グローバル管理者またはExchange管理者の権限を持つユーザーを監査してください。可能な限り適用範囲を縮小してください。
- ・管理者およびアプリケーションへのアクセスを定期的に監査してください。 OAuth を使用して Microsoft 365 と統合されているすべてのサードパーティ製アプリケーションは、データの読み取り、変更、削除が可能であるため、これらを点検してください。少なくとも四半期ごとに監視を行ってください。
- ・条件付きアクセスポリシーを活用してください。 デバイスのコンプライアンス、場所、およびサインインのリスクレベルに基づいてアクセスを制限してください。この制御機能は Microsoft 365 に標準で備わっています。
データのセキュリティと分類
最も機密性の高いデータを保護するには、そのデータを正しくラベル付けする方法と、適用すべきセキュリティポリシーを理解する必要があります。
- ・データ損失防止（DLP）ポリシー： コンプライアンス要件に基づき、機密データの外部への共有を検出してブロックします。
- ・機密コンテンツの分類とラベル付け： Microsoft Purview の機密性ラベルを使用すると、ファイルや電子メールに直接暗号化やアクセス制限を適用できます。たとえば、ドキュメントに「機密」というラベルを付けると、自動的に暗号化が適用され、印刷や転送が制限されます。
- ・電子メールおよび保存ファイルへの暗号化の適用： 転送中か保存中かを問わず、データは暗号化されるべきです。例えば、M365のネイティブ機能である「メッセージ暗号化」を使用すれば、傍受された電子メールも復号鍵がなければ解読できないようにできます。
監視、検知、および対応
脅威が環境に侵入してからそれが検知されるまでの時間を短縮することは、組織のセキュリティ態勢にとって極めて重要です。
- ・大規模なデータエクスポートの監視： 目立ったデータ流出は、しばしばランサムウェア攻撃の前兆となります。そのため、異常に大規模なダウンロードや新しいメールボックスの転送ルールに関するアラートは、アカウントが侵害された兆候である可能性があります。
- ・リアルタイムの異常の検出： Microsoft Defender を使用して、不審な行動を特定します。「不自然な移動」といったアラートは、正当なアクセスとは考えられないほど短い間隔で異なる場所から行われるサインインを特定するのに役立ちます。
- ・SIEMとのログ統合： M365の監査ログをセキュリティ情報およびイベント管理（SIEM）プラットフォームに取り込むことで、システム全体の不審なアクティビティを一元的に把握し、より迅速に対応できます
- ・バージョン管理された復元および保存ポリシー： システムは、復元および保存設定のバージョン履歴を追跡します。そのため、誰かが意図せず保存ルールを変更または削除した場合でも、すべての要件を満たしていた以前の状態に即座にロールバックできます。
Climb Cloud Backupによる Office 365 のバックアップ
覚えておくべき重要な点が1つあります。それは、データの責任は最終的にお客様自身にあるということです。バックアップなしでクラウドを利用すると、データ損失、データ保持期間の不備、コンプライアンス違反のリスクにさらされます。Climb Cloud Backup for Microsoft 365は、ローカルインフラを一切必要とせず、必要なすべてを保護するクラウド間バックアップ・アズ・ア・サービス（BaaS）により、これらのリスクを排除します。
対象範囲： Climb Cloud BackupのMicrosoft 365バックアップは、Outlookのバックアップ、OneDriveのバックアップ、SharePointのバックアップ、Teamsのバックアップ、連絡先、カレンダーなど、M365のすべての主要なワークロードをカバーしています。
柔軟な復元： 個々のメールやカレンダーの予定を項目単位で復元したり、eDiscoveryの目的でメールボックス全体をPSTファイルにエクスポートしたりできます。
特定時点での復元： バージョン間のギャップを解消し、ダウンタイムを短縮するのに役立ちます。
不変ストレージ： バックアップは不変のWORMバケットに保存されるため、データの上書きや暗号化を防ぐことができます。
BYOSストレージ： Climb Cloud Backupの「Bring Your Own Storage（BYOS）」を利用すれば、お好みの主要なパブリッククラウドプロバイダー（Amazon S3、Azure、Wasabi）を選択でき、隠れた費用やクラウドプロバイダーへのロックインを心配する必要はありません。
監視とアラート： バックアップの成功、スケジュールの未実行、バックアップエラーに関するアラートを受け取れます。すべてのユーザーのバックアップ状況について常に把握できます。
ライセンス： Climb Cloud Backup SaaS Backupのライセンスは、ドメインごとにユーザー単位で購入します。各ライセンスには、メール（Exchange Online）、OneDrive、カレンダー、連絡先が含まれます。追加のライセンスを購入することで、同じテナントまたはドメイン内のすべてのユーザーおよびサイトに対して、SharePointとMicrosoft Teamsをカバーできます。
この「Office 365 バックアップガイド」は、Microsoft 365 データを保護するためのひとつの枠組みに過ぎませんが、その堅牢性は実行次第です。バックアップの自動化、復元のテスト、復旧ポイントの定期的な確認――これらはすべて、データへのアクセス性と復元可能性を確保し、コンプライアンス要件に準拠し続けるために不可欠な手順です。
RSSフィードを取得する
