Business Premium を契約したら最初に有効にする設定｜追加費用なしで使える守りの機能の順番
Microsoft 365 Business Premium を契約した直後に効いている守りと、管理者がオンにするまで動かない守りを分けたうえで、監査の記録・管理者アカウント・メールと共有・端末・条件付きアクセス・秘密度ラベルをどの順にオンにするかと、その理由を書きます。
目次 クリックで開く
この記事の要点
- 契約しただけで効いているのは、全員への多要素認証（セキュリティの既定値群）と、メールの組み込みの保護の2つです。監査の記録、メールの「標準的な保護」、端末の登録と Defender for Business、条件付きアクセスは、管理者がオンにするまで動きません。秘密度ラベルと DLP は、社内の決めごとに合わせて管理者が作ります。
- オンにする順番は、①監査の記録 → ②管理者アカウントとサインイン → ③メールと共有 → ④会社の端末の登録と Defender for Business → ⑤端末の状態でサインインを止める条件付きアクセス → ⑥秘密度ラベル・DLP です。始めた時からしか記録されないものを先に、社員の端末に入るものとサインインを止めるもの、社内の決めごとが要るものを後に回します。
- セキュリティの既定値群と条件付きアクセス、端末のセキュリティ ポリシーを Defender ポータルと Intune の両方で作ること、の2組はぶつかるので、オンにする前にどちらで行うかを決めておきます。6つの手順は、どれも追加費用なしで行えます。
Microsoft 365 Business Premium に切り替えると、Intune、Defender for Business、条件付きアクセス、Purview と、守りの機能の名前がいくつも並びます。ところが管理画面を開いても、どれが最初から効いていて、どれを自分でオンにするのかは、一覧になっていません。管理画面も主に4つに分かれていて、順番を間違えると、社員がサインインできなくなったり、あとで調べたい操作の記録が残っていなかったりします。
この記事では、契約した直後に何が効いていて何が止まっているかを確かめたうえで、追加費用なしで使える守りの機能をオンにする順番と、その順にする理由を書きます。Microsoft の手順に入っていない監査の記録も、順番に含めています。多要素認証の切り替えの細かい手順は多要素認証（MFA）を全員に有効にする記事、Intune でできることと私物の端末の扱いはIntune とはの記事、Business Standard との差額はBusiness Standard と Business Premium の違いの記事に書いているので、ここでは「何をどの順に」に絞ります。
Microsoft 365 と生成 AI の導入を支援している当社が、Microsoft の公式の説明と、当社の検証用の環境（Microsoft 365 Business Premium）の画面で確かめてまとめました。
契約した直後に、何が効いていて何が止まっているかを確かめる
最初の表のとおり、契約しただけで効いているのは2つです。1つは Entra のセキュリティの既定値群で、2019年10月以降に作られた Microsoft 365 の組織では既定でオンになっています（多要素認証のセットアップ）。当社の検証用の環境でも、Entra の［プロパティ］に「お客様の組織は、セキュリティの既定値群で保護されています。」と出ていました。もう1つはメールの組み込みの保護で、Defender for Office 365 の基本的な安全なリンクと安全な添付ファイルの保護を、既定で当てています（事前設定されたセキュリティ ポリシー）。当たるのは、標準的な保護・厳重な保護や独自のポリシーに入れていない人なので、契約した直後は組織の全員です。Defender ポータルの組み込みの保護の枠にはオンとオフの切り替えが無く、「組織内のすべてのユーザーに適用される」組み込みのセキュリティと説明されていました。
残りは、管理者がオンにするまで動きません。当社の検証用の環境では、条件付きアクセスのポリシーは0件、Intune に登録した端末は0台、Defender for Business はセットアップ ウィザードを始める前の状態、メールの「標準的な保護」と「厳重な保護」はどちらもオフでした。SharePoint と OneDrive の共有は、既定で最も緩いレベルになっています（メールとコラボレーションのセキュリティ）。監査だけは、画面から判定できませんでした。理由は手順1で書きます。秘密度ラベルと DLP は、何を社外秘とするかを決めて管理者が作るものなので、手順6で扱います（この2つの画面は開いていません）。
自分の組織がこの表と同じかどうかは、Entra 管理センターの［概要］>［プロパティ］の下の方にある「セキュリティの既定値群」の欄で分かります。表示は次の3通りで、どれが出ているかで進め方が変わります。1つ目は上の画面の文、2つ目と3つ目は Microsoft Learn の日本語版の文で、「organization」の所が英語のまま書かれています。
| 表示 | 組織の状態 | この記事での進め方 |
|---|---|---|
| 「お客様の組織は、セキュリティの既定値群で保護されています。」 | 最初の表と同じ。全員に多要素認証が求められている | 手順1から順に進める |
| 「organizationは、セキュリティの既定値では保護されていません。」 | 既定値群がオフ。既定でオンになるのは2019年10月以降に作られた組織なので、それより前に作られた組織や、誰かがオフにした組織ではこの表示になりうる | 手順2の中で、既定値群をオンにするか、条件付きアクセスで全員に多要素認証を求めるかを決める。どちらを使う場合も、従来のユーザーごとの多要素認証はオフにする |
| 「現在、organizationは条件付きアクセス ポリシーを使用しているため、セキュリティの既定値を有効にできなくなります。」 | 条件付きアクセスのポリシーが1つ以上ある。多要素認証はそのポリシーの中身しだい | 手順5を先に読み、今あるポリシーが誰に何を求めているかを確かめてから進める |
条件付きアクセスに切り替えるのでなければ、既定値群はオフにしないでおきます。すでに Intune に端末を登録している組織では、手順4の Defender for Business のセットアップで、Intune を使い続けるか Defender ポータルに切り替えるかを聞かれます。
使う管理画面は主に4つです。手順の番号と管理画面の対応を、先に並べておきます。
なぜこの順番なのか：いつから効くか・誰に触るか・何とぶつかるか
Microsoft の Business Premium の手順は、文書の目次の「手順 2 – セキュリティ保護を構成する」で、多要素認証、管理者アカウント、メールとコラボレーション、デバイス、情報保護の順に並んでいます。大きな流れはこれに沿えば足ります。この記事では、この流れに監査を1つ足し、条件付きアクセスを1か所後ろに回しました。変えた理由が、次の3つの基準です。
1つ目は「いつから効くか」です。監査は、始めた後の操作しか記録しません。後から「あの日だれがファイルを消したか」を調べようとしても、始める前の分は出てきません。そこで、Microsoft の手順には無い監査を、先頭に足しました。
2つ目は「誰に触るか」です。管理者アカウントの整理とメールのポリシーは、管理画面の中だけで済み、社員のパソコンやスマホには何も入れません。端末の登録は社員の端末に管理のしくみを入れ、条件付きアクセスは条件を満たさない社員のサインインを止め、秘密度ラベルは社員がファイルを作るたびに選ぶものです。社員に触るものは、知らせる準備をしてから後に回します。
3つ目は「何とぶつかるか」です。Business Premium には、同じ目的の仕組みが2つずつ入っている所があり、両方をそのまま使うとぶつかります。
セキュリティの既定値群は、条件付きアクセスで置き換えるなら無効にする必要があり、無効にしたらすぐに条件付きアクセスのポリシーを有効にします（セキュリティの既定値群）。端末のウイルス対策とファイアウォールのポリシーは、Defender ポータルでも Intune でも作れます。Defender ポータルで管理するなら、競合を避けるために Intune の既存のセキュリティ ポリシーを削除する必要があります（Defender for Business のセキュリティ ポリシーと設定）。このため、条件付きアクセスに切り替える時期と、端末のポリシーを作る画面を、オンにする前に決めておきます。端末の状態で止める条件付きアクセスを端末の登録の後ろに回したのは、このためです。
6つの手順を、この順にオンにする
ここからは、6つの手順を同じ順で書きます。どの画面で行うか、その画面がどう見えたか、何をするか、急いだり後回しにしたりすると何が起きるか、の順です。
手順1 監査の記録を始める（Purview）
Purview ポータルの［監査］>［検索］を開きます。監査は、社員と管理者の操作（ファイルを開いた・消した、設定を変えた など）を記録し、あとから検索できるようにする機能です。Microsoft の説明では、Microsoft 365 の組織では監査ログが既定でオンになっているものの、Business Basic・Standard・Premium などの中小企業向けライセンスでは監査が既定では有効になっておらず、手動で有効にする必要があります（監査のオンとオフを切り替える）。有効になっていない組織では、画面に記録を始めるよう求めるバナーが出ます。
この画面では、ボタンと一緒に「アクティビティが記録されているかどうかを特定できません。」という文が出ていて、画面だけではオンかオフかを判定できませんでした。確かめるときは、Exchange Online PowerShell で Get-AdminAuditLogConfig | Format-List UnifiedAuditLogIngestionEnabled を実行し、値が True なら有効です。ボタンが出ていて、PowerShell でも有効でなければ、ボタンを押して記録を始めます。オンにするには Exchange Online の監査ログのロールが要り、有効になるまで最大60分、検索できるようになるまで数時間かかることがあります。記録は既定で180日残ります。
後回しにすると、その間の操作は残りません。監査がオフの間は、監査ログを検索しても結果は返りません。社員の画面は何も変わらないので、契約した日に済ませてかまいません。
手順2 管理者アカウントとサインインを固める（Entra）
Business Premium に登録したときに使ったアカウントは、自動的にグローバル管理者になっています（ビジネス向け Microsoft 365 のアカウント セキュリティを管理する）。その1つだけで管理を続けると、担当者の退職やスマホの紛失で、だれも管理画面に入れなくなるおそれがあります。Microsoft は、特定の個人に割り当てず緊急時にだけ使う管理者アカウント（緊急アクセス アカウント）を少なくとも2つ作るよう勧めています。あわせて、管理者の数を絞り、管理者もふだんのメールや Office は管理者でないアカウントで使います。管理者専用のアカウントには、ライセンスは要りません。
緊急用のアカウントのサインインの方法は、Entra の緊急アクセス アカウントのページに合わせます（緊急アクセス用管理者アカウントを管理する）。このページは、緊急アクセス アカウントにパスキー（FIDO2、推奨）などのパスワードレスの認証方法を登録するよう求め、これらの方法は必須の多要素認証の要件を満たすとしています。ふだんの管理者とは別のパスキーを登録し、承認した人だけが取り出せる別の場所に保管します。Microsoft 365 の管理者のページには、緊急アクセス アカウントを多要素認証の要件から外し、16文字以上の長く複雑なパスワードにする、という書き方が残っています。Entra のページは、緊急アクセス アカウントにも多要素認証の要件を満たす方法を求めているので、パスワードだけのアカウントにはしません。条件付きアクセスに替えるとき（手順5）は、サインインを止めたり制限したりするポリシーから、この2つのアカウントを外します。
全員の多要素認証は、セキュリティの既定値群がオンなら、もう求められています。既定値群はほとんどの組織に適していて、より厳しい要件には条件付きアクセスを使います（Microsoft 365 for Business セキュリティのベスト プラクティス）。ここではまだ切り替えず、緊急用の管理者アカウントを用意するところまでにします。条件付きアクセスへの切り替えは手順5で行います。
手順3 メールと共有を締める（Defender・SharePoint 管理センター）
Defender ポータルの［ポリシーとルール］>［脅威ポリシー］>［既定のセキュリティ ポリシー］を開きます。Microsoft Learn では「事前設定されたセキュリティ ポリシー」と書かれている画面で、当社が見たときは題が「既定のセキュリティ ポリシー」、中の枠が「組み込みの保護」「標準的な保護」「厳重な保護」でした。Learn の Standard 保護と厳格な保護が、画面の「標準的な保護」と「厳重な保護」です。
初めてこのページを開くと、標準と厳格の両方がオフになっている場合があり、上の画面もそのとおりでした。全員が、標準か厳格のどちらかの保護に入るようにします（メールとコラボレーションのセキュリティ）。そのうえで、画面の厳重な保護の説明にも「価値の高いターゲットや優先ユーザーなど、選択されたユーザーのための」とあるとおり、標準的な保護を全員に当て、厳重な保護は社長や経理など狙われやすい人だけに当てます。厳重な保護では、迷惑メールと判定したメールが迷惑メール フォルダーではなく検疫に回るので、全員に当てると、届くはずのメールを管理者が検疫から出す手間が増えるおそれがあります。
同じ手順の中で、SharePoint 管理センターの［ポリシー］>［共有］も見直します。既定の共有のレベルは、SharePoint と OneDrive の両方で最も緩い設定です。Learn は外部共有を防ぐために両方を最も絞ったレベルにするよう勧めています（英語版は Least permissive。日本語版の「最小限の制限」は、緩くする意味に読めますが、英語版のとおり最も絞る意味です）。社外とファイルをやり取りしている会社は、使っている範囲まで絞ります。あわせて、共有するときに既定で選ばれるリンクを「特定のユーザー」、既定の権限を「表示」にします。組織・サイト・リンクの3段でどう絞るかは、SharePoint の外部共有の設定の記事に書いています。独自ドメインのメールの SPF・DKIM・DMARC は、Microsoft の手順ではメールの手順の最初に置かれています。設定の順番はSPF・DKIM・DMARC を設定する記事に書いています。
手順4 会社の端末を登録し、Defender for Business に載せる（Intune・Defender）
この手順の前に、端末のウイルス対策とファイアウォールのポリシーを、Defender ポータルで作るか Intune で作るかを決めます。セキュリティ ポリシーを作る前に、どちらのポータルを使うかを決めておく必要があります。Defender ポータルで作ったポリシーも、Intune 管理センターにはウイルス対策・ファイアウォールのポリシーとして並びます。Wi-Fi や Windows Update の設定も Intune で配るなら、端末の設定を見る場所を Intune 1つにまとめられます。どちらにしても、両方で作らないことが大事です。
次に、Intune で会社の端末を登録します。Business Premium には Intune プラン 1 が含まれています。設定は、必要に応じて私物の端末の登録を止める登録の制限から始め、会社所有の端末は登録して丸ごと管理します（Microsoft 365 Business Premium でのデバイス管理とアプリケーション管理）。会社の端末と私物の端末の分け方、登録した端末で会社に何が見えるかは、Intune とはの記事に書いています。
登録と一緒に、端末の種類ごとのコンプライアンス ポリシーを作って当てます。会社のデータに入ってよい端末の条件を決めるポリシーで、たとえば Windows なら BitLocker（ドライブの暗号化）、ファイアウォール、ウイルス対策などを必須にします。ポリシーは、登録するすべての種類の端末に作ります。ポリシーが割り当てられていない端末は、既定では「準拠」と見なされます。ポリシーを当てないうちは、下の画面の「準拠していないデバイス」は0のままで、手順5で使う数になりません。
そのうえで、Defender ポータルの［資産］>［デバイス］を開きます。Microsoft の説明では、ここで Defender for Business のセットアップ ウィザードのホーム画面が出ます（Defender for Business のセットアップと構成）。当社の検証用の環境では、最初に開いたとき、ウィザードの前に「お待ちください。データ用の新しい領域を準備して接続しています。」という画面が出て、「これには数分かかります。」と表示されました。別の画面を見て数分後に開き直すと、ウィザードの入口に変わっていました。Microsoft の説明では、この準備は完了までに最大24時間かかることがあります。デバイスの一覧が出るか、オンボード（端末を Defender for Business に載せること）を求められたら、準備は終わっています（Microsoft Defender for Business にデバイスをオンボードする）。
ウィザードの3つの手順は「ユーザー権限を割り当てる」「メール通知の設定」「Windows デバイスのオンボードと構成」です。ウィザードは使わなくてもかまいませんが、使うと、セキュリティの担当者に Defender ポータルへの権限を渡し、警告のメールの宛先を決め、Windows の端末を載せて、端末の既定のポリシー（次世代の保護とファイアウォール）を当てるところまでが一続きで済みます。オンボードの手順は Windows だけが対象です。Intune に登録した Windows を自動で載せる「すべてのデバイスが登録済み」の選択が勧められているので、先に Intune で登録しておくと、ここで1台ずつ載せる手間が省けます。Web コンテンツのフィルターや攻撃面の縮小のルールは、端末の既定のポリシーが当たった後に足します。
手順5 端末の状態でサインインを止める（Entra の条件付きアクセス）
Entra 管理センターの［条件付きアクセス］>［ポリシー］を開きます。条件付きアクセスは、Business Premium に含まれる Entra ID P1 で使える機能で、「準拠している端末からでなければ会社のメールに入れない」のように、条件を付けてサインインを通すか止めるかを決めます。
この手順を最後の方に置くのは、条件を満たさない端末を使っている社員が、オンにした瞬間からその端末で会社のメールなどに入れなくなるからです。手順4で端末を登録し、コンプライアンス ポリシーを当てたら、Intune のホームの「準拠していないデバイス」の数を見て、暗号化されていないパソコンなど条件を満たさない端末を直してから、条件付きアクセスで止めます。準拠している端末だけを通す場合は、ポリシーが割り当てられていない端末を「準拠していない」と見なす設定に変えておきます。セキュリティの既定値群からの切り替えもこの手順で行います。既定値群を無効にしたら、すぐに条件付きアクセスのポリシーを有効にします。テンプレートの選び方と、手順2の緊急用の管理者アカウントを除外して締め出されない順番は、多要素認証を全員に有効にする記事に書いています。
手順6 秘密度ラベル・DLP を作る（Purview）
Purview ポータルの［ホーム］から、Microsoft Information Protection（秘密度ラベル）とデータ損失防止（DLP）に進みます。Business Premium にはコンプライアンス マネージャーが含まれていて、情報保護の設定は、そこで勧められる改善の項目から始めます（Microsoft 365 Business Premium で情報保護を設定する）。
秘密度ラベルは、Outlook・Word・Excel・PowerPoint で社員が文書やメールに付ける「社外秘」などの目印で、DLP は Word・Excel・PowerPoint とメールの中の機密の情報を見つけて監視し、自動で保護する機能です。どちらも、何を社外秘とするか、どの情報を社外に送らせないかという社内の決めごとが先に要ります。決めごとが無いまま作ると、社員がどのラベルを選べばよいか迷い、DLP は業務のメールまで止めかねません。だから最後に置きます。ラベルの名前と意味を決め、少人数で試してから全員に広げます。
追加費用がかかるのはどこからか
この記事の6つの手順は、すべて Business Premium の中で行えます。Learn の一覧では、Business Premium には Entra ID P1、Intune プラン 1、Defender for Business、Defender for Office 365 プラン 1、Purview の情報保護と DLP が含まれています（Microsoft Defender スイート for Business Premium をサブスクリプションに追加する）。
その上の Entra ID P2、Defender for Endpoint プラン 2、Defender for Office 365 プラン 2、Defender for Identity、Defender for Cloud Apps は、Defender スイート for Business Premium を足したときに増えるものです。6つの手順を終えてから、足りないものがあるかを考えれば間に合います。Business Standard から上げるかどうか、Standard に単体の製品を足す場合との比べ方は、Business Standard と Business Premium の違いの記事で価格つきで比べています。
次にやること
手順1から3は、社員の端末に触らず、管理画面の中だけで終わります。契約した週のうちに、監査の記録を始め、緊急用の管理者アカウントを2つ作り、メールの既定のセキュリティ ポリシーで標準的な保護を全員に当ててください。手順4から先は、会社の端末が誰に何台あるかを数え、端末のポリシーを作る画面と、端末に求める条件を決めてから進めます。ユーザーの作成やメールの移行と合わせた全体の段取りは、Microsoft 365 導入の手順の記事に書いています。
6つの手順のうち、どこまでを自社で進め、どこから手伝ってほしいかを一緒に決めたい場合は、Microsoft 365 の導入支援でお手伝いしています。
この記事の確かめ方
Microsoft の Business Premium の手順は製品ごとのページに分かれていて、監査の記録が手順に入っていません。一方で、監査のページには、中小企業向けのライセンスでは監査が既定で有効になっていないと書かれています。この記事は、この2つをつないで、1本で順番を決められるようにまとめたものです。
画面は、当社の検証用の環境（Microsoft 365 Business Premium）で、Microsoft Entra 管理センター・Microsoft Intune 管理センター・Microsoft Defender ポータル・Microsoft Purview ポータルを2026年10月28日に開いて確かめました。どの画面も開いて表示を見ただけで、設定は変えていません。秘密度ラベルと DLP の画面は開いていません。写真では、組織名やテナント ID などを伏せています。公式の説明は、2026年10月28日に Microsoft Learn の日本語版で確かめています。管理画面は更新が続いているため、設定の前に各ページの最新を確かめてください。
執筆・監修
Aurant Technologies CAIO（Chief AI Officer）
Microsoft 365 と生成 AI の導入を支援する立場から、Microsoft 365 を管理する方向けにまとめています。
Microsoft 365・Google Workspace の移行と設定のスポット相談
メールの移行、ドメインとDNS、共有アドレスや代理人の権限、新しいOutlookへの切り替え、Copilot・Geminiを使うときの社内ルール。調べた手順で直らないとき、同じことが何人もで起きているときに、いま困っていることを1件から相談できます。