不正アクセスやその疑いに直面した企業の89.8％はMFAを適用していた。43.0％は対象アカウントが「一時的に無効化・除外」
アクト
～Microsoft 365 の運用に関わる1,002人に調査。点検の経験は82.6％、定期的に続けているのは32.7％。見直しを止めているのは費用ではなく「分かりづらさ」と「業務が止まるリスク」～
[画像1:
https://prcdn.freetls.fastly.net/release_image/76503/296/76503-296-b15257e28c13314966b738f2166a3799-1200x675.png?width=536&quality=85%2C75&format=jpeg&auto=webp&fit=bounds&bg-color=fff ]
株式会社アクト（本社：東京都文京区、代表取締役：小林 智彦、以下 アクト）は、Microsoft 365 の運用に関わる1,002人を対象に実施したアンケート調査の結果をまとめ、レポート「Microsoft 365 セキュリティ運用の実態 2026」として公開しました。直近1年間に不正アクセスやアカウント侵害、またはその疑いに直面した企業は71.5％。そのうち89.8％は、多要素認証（MFA：パスワードに加えてスマートフォンなどで本人確認を行う仕組み）を適用していました。
対策は進んでいる。それでも7割が不審な動きに直面
マイクロソフトや業界団体が示す推奨設定の基準（Microsoft セキュアスコア、CIS Benchmark など）に照らして、自社の設定を点検した経験がある企業は82.6％でした。自社の設定に自信を持つ企業も67.1％にのぼります。
それでも71.5％の企業が、不正アクセスやアカウント侵害、またはその疑いに直面しています。そのうちMFAを適用していなかった企業は6.3％にすぎません。MFAが無かったから起きた、という説明では、この数字は説明しきれません。本調査では、設定したかどうかではなく、その設定が今も効いているかに焦点を当てました。
本レポートで見えてくる実態
- 【注目】MFAは「あった」。効いていなかったのは中身：侵害やその疑いがあったアカウントのMFAの状況は、「適用していたが、対象アカウントでは一時的に無効化・除外されていた」が43.0％で最多でした。「認証方法や設定に問題があった」21.4％と合わせると64.4％。MFAはあるのに、そのアカウントでは効いていない状態でした。- 点検は「一度きり」になりやすい：外部基準での点検経験は82.6％ですが、定期的に続けているのは32.7％です。グローバル管理者などの強い管理者権限（特権ロール）を定期的に見直している（棚卸ししている）企業も38.6％にとどまりました。- 見直されるのは「入口」の設定：直近1年間に見直した項目は、ログイン時の条件で利用を制限する「条件付きアクセス」40.4％、管理者アカウントの保護32.2％が上位です。一方、外部アプリとの連携許可（OAuth）の範囲は11.0％、誰がいつ何をしたかの記録や通知の設定（監査ログ・アラート）は10.1％でした。Microsoft 365 Copilot などAIツールとの連携はすでに90.1％に広がっていますが、アクセス権限を定期的に見直しているのは29.4％です。- 障壁は費用ではなく「判断材料の不足」：見直しの障壁は「設定の画面や項目が分かりづらい」32.5％、「既存の業務や連携アプリが利用できなくなるリスクがある」31.8％が上位でした。上位の契約プラン（E5など）の費用を挙げたのは10.8％です。また、費用をかけずに第三者の点検を受けられるなら受けたいと答えた人は78.2％にのぼりました。
[画像2:
https://prcdn.freetls.fastly.net/release_image/76503/296/76503-296-2adcd270d5ebd171b7bdf209fbd93547-3292x1142.png?width=536&quality=85%2C75&format=jpeg&auto=webp&fit=bounds&bg-color=fff ]
侵害やその疑いが発生したアカウントのMFAの状況（n=716）
レポートのダウンロード
レポートでは、全10問の結果に加え、侵害やその疑いが発生したときのMFAの状況、見直しが止まる理由、AI連携とアクセス権限の実態まで、設問ごとの解説とグラフで紹介しています。自社の設定を見直す際の判断材料として、ぜひご活用ください。
調査レポートを無料ダウンロード
アクトの見解：一度の点検から、点検が続く仕組みへ
本調査からは、Microsoft 365 のセキュリティ対策が「導入されていない」のではなく、「導入したあとの状態を追いきれていない」という実態が見えてきました。MFAの除外には、対応していない業務アプリや移行期間など、正当な理由があることがほとんどです。課題は、その一時的な措置を元に戻したかどうかを、後から確かめる手段がないことだと考えます。
Microsoft 365 は機能の追加や既定値の変更が続くサービスです。新しい製品を追加するより先に、いまの設定が推奨からどれだけずれているかを定期的に確かめ、ずれていれば戻せる状態をつくることが、限られた人数で Microsoft 365 を守る現実的な一手になると考えています。
アクトが国内代理店として提供する「Overe（オヴェア）」は、Microsoft 365 のセキュリティ設定を外部の基準に照らして評価し、推奨からのずれがあれば自動で修復するサービスです。E5へのアップグレードは不要で、Business Premium や E3 など現在の契約プランのまま利用できます。現在の設定状態を無償で診断することもできます。
Overe の詳細は
こちらをご覧ください。
Microsoft 365 設定の無償診断（対象：Business Premium／E3／E5）のお申し込みは
こちらから受け付けています。
調査概要
- 調査名：Microsoft 365 セキュリティ運用の実態 2026- 調査項目：Microsoft 365 のセキュリティ設定・特権ロール管理・不正アクセスの実態- 調査期間：2026年9月16日～21日- 調査対象：従業員100～999名の民間企業に勤務し、Microsoft 365 を業務利用しており、その設定・運用に関与している方- 調査方法：非公開のインターネットによるアンケート- モニター提供元：PRIZMAリサーチ- 有効回答数：1,002名（設問によって有効回答数が異なります。MFAの状況に関する設問は、不正アクセスやその疑いが発生した716名が回答）- 調査主体：株式会社アクト- ※本文中の「企業の◯％」は、回答者の勤務先についての回答の割合です。
株式会社アクトについて
1994年の創立以来、社会のIT化に対応し、その時代に合わせた最適なソリューションを提供してまいりました。EDR（端末の不審な動きを検知・対応する仕組み）とSOC（専門チームによるセキュリティ監視・運用）を組み合わせた運用サービス「セキュリモ」を中核に、生成AIセキュリティ、Microsoft 365＋CSPM（クラウド設定の点検）を提供しています。自治体・公共向けには、給付金システム「PAYBY」、私立幼稚園業務システム「kodomonet+」などのパッケージシステムを提供。経済産業省認定「情報処理支援機関（スマートSMEサポーター）」として、実効性の高い対策で企業や自治体のDXと安全を支援しています。
- 会社名：株式会社アクト- 代表者：代表取締役 小林 智彦- 本社所在地：東京都文京区小石川1-3-25 小石川大国ビル6階- 設立：1994年11月- 事業内容：サイバーセキュリティ事業、ITインフラ事業、自治体・公共向け事業- 公式サイトは
こちら。
プレスリリース提供：PR TIMES
記事提供：PRTimes
