Microsoft 365・Google Workspaceの管理でよくある事故と防ぎ方｜中小企業の管理者向け

Microsoft 365やGoogle Workspaceは、メール、ファイル共有、会議など会社の業務の中心です。その一方で、IT担当者がいない会社では、管理画面の設定が導入したときのままになっていることがよくあります。

この記事では、中小企業でよく起きる管理上の事故と、それぞれの防ぎ方を解説します。どれも、設定と運用のルールで防げるものです。

よくある事故と防ぎ方

1. 退職者のアカウントが使える状態で残っている

退職者のアカウントを停止し忘れると、退職後も社内のメールやファイルにアクセスできる状態が続きます。パスワードが漏れていれば、第三者の不正なログインの入り口にもなります。退職日に停止する手順を決め、人事から情シス（または委託先）に必ず連絡が届く流れにしましょう。

• 退職日にサインインを停止：パスワードを変更し、すべてのセッションからサインアウトさせる
• メールとファイルを引き継ぐ：上司や後任にメールの転送・共有、ファイルの所有権の移転を行う
• 一定期間後に削除し、ライセンスを解除：保存期間を決め、不要なライセンス費用を止める

2. 管理者が1人だけ、または退職者が管理者

全体管理者が1人だけだと、その人が退職したり、多要素認証のスマートフォンをなくしたりしたときに、会社が管理画面に入れなくなります。管理者は2人以上にし、うち1人は経営者などが持ちましょう。日常の作業は、必要な範囲だけの権限（ユーザー管理者など）で行うのが安全です。

3. 共有リンクを「誰でも閲覧可」にしている

OneDrive・SharePoint・Googleドライブの共有リンクを「リンクを知っている全員」に設定すると、リンクが転送された先の第三者も見られてしまいます。社外との共有は相手を指定し、期限をつける運用が基本です。管理画面で、社外共有の既定の設定を見直しましょう。

4. 多要素認証を一部の人しか使っていない

パスワードだけでログインできる状態は、不正ログインの最大の原因のひとつです。全員に多要素認証を設定します。導入の手順は次の記事で詳しく解説しています。

関連記事多要素認証を会社全体に導入する手順｜Microsoft 365・Google Workspaceの設定と社員への展開

5. 共有アカウントを使い回している

「info@」のような共有のメールボックスに、複数人が同じパスワードでログインしていると、誰が操作したかが分からず、退職者が出るたびにパスワードを変える必要があります。共有メールボックスやグループの機能を使い、各自のアカウントからアクセスする形にしましょう。

6. 転送ルールで社外にメールが流れている

個人が設定した自動転送のルールで、会社のメールが私用のメールアドレスに流れていることがあります。不正ログインの後に、攻撃者が転送ルールを仕込む手口もあります。社外への自動転送を管理画面で制限し、定期的に確認しましょう。

月に1回確認したい項目

画面の名前や場所は、プランや時期によって変わることがあります。確認した結果は、IT資産台帳の作り方｜項目一覧とExcelの無料テンプレートのアカウントのシートに記録しておくと、取引先からのセキュリティの質問にも答えやすくなります。

よくある質問

まとめ

Microsoft 365・Google Workspaceの事故の多くは、退職者のアカウント放置、管理者が1人だけ、共有リンクの公開しすぎといった管理の抜けから起きます。全員の多要素認証、2人以上の管理者、退職時の手順の3つを整え、月に1回の確認を習慣にしましょう。