RIKENTOKYOはオフィス環境と仕組みのご提案でMicrosoft 365は導入したものの、監査対応や内部統制のたびに「誰が」「いつ」「どのファイルを」操作したかを調べられず困っている総務・情シス担当者は少なくありません。 結論からお伝えすると、Microsoft 365には保持ポリシーと監査ログという内部統制に直結する機能が標準で備わっており、設定さえしておけば多くの調査依頼に対応できます。 この記事では、保持ポリシー・監査ログの基本、中小企業で起きやすい失敗、進め方、RIKEN TOKYOに相談できることを解説します。
保持ポリシーとは、メール・Teamsチャット・SharePoint／OneDriveのファイルなどを、あらかじめ決めた期間保持したり、期間経過後に自動削除したりする仕組みです。 監査ログとは、Microsoft 365内で行われたユーザーや管理者の操作を記録し、後から検索・確認できるようにする機能です。
どちらもMicrosoft Purview（旧セキュリティ＆コンプライアンスセンター）という管理画面から設定・確認します。 Microsoft Purviewは、企業のデータガバナンス・コンプライアンス・データセキュリティを一元的に管理するための機能群です。
| 項目 | 保持ポリシー | 監査ログ |
|---|---|---|
| 目的 | データを一定期間残す・自動削除する | 誰が何をしたかを記録・追跡する |
| 主な対象 | メール、Teamsチャット、SharePoint／OneDriveのファイル | サインイン、ファイル操作、管理者操作など |
| 失敗しやすい点 | 対象範囲や保持期間を決めずに放置してしまう | 有効化されているか未確認のまま運用している |
近年、情報漏洩や不正操作への対応、取引先・監査法人からのデータ提出要請など、社内のIT操作履歴を求められる場面が増えています。 特に中小企業では、情シス担当者が兼任・不在のケースが多く、いざという時に「ログをどこで見ればよいかわからない」という状態に陥りやすくなっています。
また、退職者のメールデータ保全や、誤送信・誤削除の調査など、日常業務のトラブル対応でも保持ポリシーと監査ログは重要な役割を果たします。 コンプライアンス上の要請だけでなく、日々の運用リスクを減らすためにも、事前の設定が欠かせません。
Microsoft 365の保持ポリシー・監査ログでよくある失敗は、導入時に設定を確認しないまま運用を始めてしまうことです。 この状態では、実際に調査が必要になった段階で「対象データが残っていない」「必要なログが見つからない」といった事態になりかねません。
既定の設定のままでは、退職者のメールボックスが削除と同時にデータも失われることがあります。 社内規程で「退職者データは〇年保持する」と決めていても、システム側で反映されていなければ意味がありません。
監査ログの保持期間はライセンスによって異なり、標準的なライセンスでは短期間、上位ライセンスでは長期間保持できる仕組みになっています。 保持期間を把握しないまま数か月後に調査しようとしても、必要なログがすでに失われているケースがあります。
RIKEN TOKYOの視点 RIKEN TOKYO自身も、WeWork丸の内への移転にあわせてMicrosoft 365の運用を見直した際、保持ポリシーや監査ログの設定が既定のままになっていたことに気づいた経験があります。オフィス環境の刷新とあわせてIT運用ルールも棚卸しすることの重要性を、自社の経験として実感しています。
保持ポリシー・監査ログの整備は、次の順番で進めると失敗しにくくなります。 いきなり細かい設定に入るのではなく、社内でどこまで残す必要があるかを整理することが重要です。
何から始めるべきか迷っている方へ 保持ポリシーや監査ログは、設定項目が多く、どこから手をつければよいか迷いやすい領域です。 RIKEN TOKYOでは、現状の設定状況を確認したうえで、無理のない進め方をご提案します。 無料相談をする
保持ポリシー・監査ログの整備では、以下の判断基準を押さえておくと失敗しにくくなります。
| 判断項目 | 確認すべきこと | 失敗しやすい状態 |
|---|---|---|
| 保持期間 | 社内規程・業界慣習で何年保持が必要か | 期間を決めずに既定設定のまま運用している |
| 対象範囲 | メール以外にTeamsやファイルも対象にするか | メールだけを見て他のデータを見落としている |
| 監査ログの有効化 | 統合監査ログが有効になっているか | 有効化されていることを前提に確認していない |
| ライセンス | 現在のライセンスで何日分のログが保持されるか | 上位ライセンスが必要な期間を把握していない |
| 運用担当 | 誰が定期的にログを確認・エクスポートするか | 担当者が決まっておらず属人化している |
以下のチェックリストで、自社の状況を確認してみてください。
まずは自社の状況を確認したい方へ Microsoft 365を導入済みでも、保持ポリシーや監査ログの設定まで手が回っていない企業は少なくありません。 RIKEN TOKYOでは、活用状況を整理できる「Microsoft 365 活用度チェック」をご用意しています。 Microsoft 365 活用度チェックを確認する
RIKEN TOKYOでは、Microsoft 365の保持ポリシー・監査ログの設定から、社内での運用ルールづくりまで支援しています。 特に、情シス担当者が不在・兼任の企業でも進めやすいよう、専門用語をかみ砕きながら一緒に整理していく点が特長です。
| 支援内容 | 具体例 |
|---|---|
| 現状整理 | 保持ポリシー・監査ログの設定状況の確認、ライセンスの棚卸し |
| 設計 | 保持期間・対象範囲の整理、社内規程との突き合わせ |
| 導入 | Microsoft Purviewでの保持ポリシー設定、監査ログ有効化 |
| 運用 | ログ確認フローの整備、定期見直しの提案 |
Microsoft 365全体の活用に不安がある場合は、メールとTeams以外の機能もあわせて見直すことをおすすめします。 Microsoft & DXページでは、Entra IDやIntuneによるデバイス管理など、関連するセキュリティ機能もご確認いただけます。
保持ポリシー・監査ログで押さえるべきポイントを整理します。
内部統制や監査対応でお悩みの方は、RIKEN TOKYOにお気軽にご相談ください。 現状の設定状況を伺ったうえで、無理のない進め方をご提案します。
Microsoft Purviewポータルの「監査」メニューから確認できます。サインインログや管理操作の一部は、Microsoft Entra管理センターでの確認が必要な場合もあります。
保持期間はライセンスによって異なります。標準的なライセンスでは短期間、上位ライセンスやアドオンを利用すると長期間の保持が可能になるため、自社のライセンス内容を確認することが大切です。
設定自体は可能ですが、社内規程との整合性や運用ルールづくりまで含めると、専門的な知識が必要になる場面があります。RIKEN TOKYOでは、情シス不在・兼任の中小企業でも進めやすいように、現状整理から段階的に支援します。
保持ポリシーは「保持」と「削除」の両方を制御する仕組みです。対象範囲や期間を正しく設定すれば、必要なデータを誤って削除するリスクを抑えられます。設定前の整理が重要です。
