東京都文京区に本社を置く株式会社アクト（代表取締役：小林 智彦）は、Microsoft 365 の運用に関わる1,002人を対象に実施したアンケート調査結果をまとめ、レポート「Microsoft 365 セキュリティ運用の実態 2026」として公開した。調査によると、直近1年間に不正アクセスやアカウント侵害、またはその疑いに直面した企業は71.5％にのぼり、そのうち89.8％は多要素認証（MFA）を適用していた。本調査では設定の有無だけでなく、その設定が有効に機能し続けているかどうかに焦点を当てて実態を分析している。なお、本文中の「企業の◯％」は回答者の勤務先についての回答の割合を示している。

外部基準の点検経験は8割超も、7割以上が不審な動きに直面

Microsoft セキュアスコアやCIS Benchmarkなど、マイクロソフトや業界団体が示す推奨設定の基準に照らして自社の設定を点検した経験がある企業は82.6％に達した。自社の設定に自信を持つ企業も67.1％を占めている。

しかし、71.5％の企業が直近1年間に不正アクセスやアカウント侵害、またはその疑いに直面していた。直面した企業のうちMFAを適用していなかった企業は6.3％にとどまっており、MFAを導入している環境でも侵害やその疑いが発生している実態が浮き彫りとなった。

MFAの無効化や運用の形骸化が浮き彫りに

侵害やその疑いがあったアカウントにおけるMFAの運用状況を調べたところ、「適用していたが、対象アカウントでは一時的に無効化・除外されていた」が43.0％で最多となった。「認証方法や設定に問題があった」の21.4％と合わせると64.4％に達し、MFAが導入されていても対象アカウントで機能していない状態が生じていたことが分かった。

また、外部基準での点検経験がある企業は82.6％にのぼるものの、定期的に継続している企業は32.7％にとどまった。グローバル管理者などの強い管理者権限（特権ロール）を定期的に見直している（棚卸ししている）企業も38.6％にとどまっている。

直近1年間に見直した項目としては、ログイン時の条件で利用を制限する「条件付きアクセス」が40.4％、管理者アカウントの保護が32.2％と上位に挙がった。一方、外部アプリとの連携許可（OAuth）の範囲は11.0％、誰がいつ何をしたかの記録や通知の設定（監査ログ・アラート）は10.1％であった。Microsoft 365 Copilot などAIツールとの連携は90.1％に広がっているものの、アクセス権限を定期的に見直している企業は29.4％となっている。

見直しの課題は費用の多寡より「判断材料の不足」

設定見直しの障壁として挙げられた項目では、「設定の画面や項目が分かりづらい」が32.5％、「既存の業務や連携アプリが利用できなくなるリスクがある」が31.8％と上位を占めた。上位の契約プラン（E5など）の費用を挙げたのは10.8％であった。また、費用をかけずに第三者の点検を受けられるのであれば受けたいと回答した人は78.2％にのぼった。

株式会社アクトは、対策が導入されていないのではなく導入後の状態を追いきれていない点が実態であると指摘している。業務アプリの非対応や移行期間などによるMFAの一時的な除外措置について、元に戻したか後から確かめる手段の不足が課題であるとし、推奨からのずれを定期的に確認して戻せる状態をつくることが現実的な対策になるとの見解を示している。同社は、設定のずれを自動修復するサービス「Overe」の国内代理店を務めており、Business PremiumやE3などの契約プランのまま無償診断を受けられる仕組みも提供している。

調査の概要

• 調査名：Microsoft 365 セキュリティ運用の実態 2026
• 調査項目：Microsoft 365 のセキュリティ設定・特権ロール管理・不正アクセスの実態
• 調査期間：2026年9月16日〜21日
• 調査対象：従業員100〜999名の民間企業に勤務し、Microsoft 365 を業務利用しており、その設定・運用に関与している方
• 調査方法：非公開のインターネットによるアンケート
• モニター提供元：PRIZMAリサーチ
• 有効回答数：1,002名（設問によって有効回答数が異なり、MFAの状況に関する設問は不正アクセスやその疑いが発生した716名が回答）
• 調査主体：株式会社アクト

株式会社アクトについて

1994年11月に設立された株式会社アクトは、サイバーセキュリティ事業、ITインフラ事業、自治体・公共向け事業を展開している。端末の不審な動きを検知・対応するEDRと専門チームによる監視を行うSOCを組み合わせた「セキュリモ」のほか、生成AIセキュリティ、Microsoft 365＋CSPMなどを提供する。自治体・公共向けには給付金システム「PAYBY」や私立幼稚園業務システム「kodomonet+」などを手掛け、経済産業省認定「情報処理支援機関（スマートSMEサポーター）」にも認定されている。

• 会社名：株式会社アクト
• 代表者：代表取締役 小林 智彦
• 本社所在地：東京都文京区小石川1-3-25 小石川大国ビル6階
• 設立：1994年11月

本記事は株式会社アクトの発表をもとに作成されています。

Dellows News編集部

ビジネスパーソンの課題解決と納得感にこだわるDellows News編集部。キャリア論からAI、健康法まで幅広い分野に対応し、複雑なテーマでも平易な言葉で丁寧に解説。読者が「明日から使える」知識やヒントを得られるよう、具体的な事例・データ・専門家の見解を交えて執筆。情報を整理し、納得感ある記事づくりを心がけています。