RIKENTOKYOはオフィス環境と仕組みのご提案で「MFAは設定した。でも、これだけで本当に安全なのか」──そう感じている情シス担当者・総務担当者は少なくありません。
結論からお伝えすると、MFAの次に取り組むべきは、Microsoft Entra IDの「条件付きアクセス」による、いわゆる”ゼロトラスト”の考え方に基づいたアクセス制御です。
この記事では、条件付きアクセスの基本、Intuneとの組み合わせ方、中小企業でよくあるつまずき、導入の進め方、RIKEN TOKYOに相談できることを解説します。
ゼロトラストとは、社内ネットワークにいるかどうかに関わらず、すべてのアクセスを都度検証するという考え方です。
テレワークやクラウドサービスの利用が定着したことで、「社内ネットワークの内側は安全」という従来の境界型防御の前提が崩れています。
独立行政法人情報処理推進機構（IPA）も、ゼロトラストへの移行を組織的な検討事項として整理した資料を公開しています。
詳しくはIPA「ゼロトラスト移行のすゝめ」をご参照ください。
中小企業がゼロトラストという言葉を聞くと、「大掛かりな製品導入が必要」と身構えてしまいがちです。
しかし実際には、Microsoft 365を導入済みであれば、Entra IDとIntuneの標準機能を使った組み合わせから始めることができます。
RIKEN TOKYOの視点
「MFAは設定したが、退職者の私物端末や、管理外のPCから社内データへアクセスできる状態が残っていた」というご相談を東京の中小企業から多くいただきます。
ゼロトラストは、まずこうした”抜け穴”を1つずつ塞いでいく取り組みだとお伝えしています。
条件付きアクセスとは、Microsoft Entra IDが提供する機能で、サインイン時の条件（ユーザー・場所・端末の状態など）に応じて、アクセスの許可・追加認証の要求・アクセス拒否を自動で判定する仕組みです。
| 条件 | 内容 | 中小企業での活用例 |
|---|---|---|
| ユーザー・グループ | 対象者を役職・部署単位で指定 | 管理者アカウントだけ厳格な条件を適用 |
| 場所（IPアドレス） | 社内・特定国からのアクセスかを判定 | 海外からのアクセスに追加認証を要求 |
| デバイスの準拠状態 | Intuneのポリシーに準拠した端末かを判定 | 会社管理外のPCからのアクセスを遮断 |
| アプリケーション | 対象アプリを個別に指定 | 基幹システムだけ条件を強化 |
| サインインリスク | 異常なサインインパターンを検知 | リスクが高い場合はパスワード再設定を要求 |
これらの条件を組み合わせて、「営業部の社員が、会社支給のPCから、社内システムへアクセスする場合はMFAのみ」「管理外の端末からのアクセスは拒否」といったポリシーを設計します。
条件付きアクセスの効果を最大限に発揮するには、Intuneとの連携が欠かせません。
IntuneでOSバージョン・暗号化・パスワードポリシーなどの準拠状態を判定し、その結果を条件付きアクセスの条件として利用することで、「会社が管理し、セキュリティ要件を満たした端末からしかアクセスできない」状態を作れます。
なお、条件付きアクセスの利用にはMicrosoft Entra ID P1以上のライセンスが必要です。Microsoft 365 Business PremiumやE3には標準で含まれています。
詳細はMicrosoft公式ドキュメント（条件付きアクセス）でご確認いただけます。
まずは自社のライセンス状況を確認したい方へ
条件付きアクセスやIntuneが自社のプランに含まれているかどうかは、意外と把握されていないケースが多くあります。
RIKEN TOKYOでは、現状のMicrosoft 365ライセンスを確認したうえで、追加費用の有無をご案内しています。
準備不足のまま全社員に強いポリシーを適用すると、業務に必要なアクセスまで遮断され、現場から強い反発を受けることがあります。
まずは管理者アカウントや特定部署など、影響範囲を絞って試すことが重要です。
条件付きアクセスには、実際に制限をかけずに影響を確認できる「レポート専用モード」があります。
このモードを使わずにいきなり本番適用すると、想定外のアクセス遮断が発生しやすくなります。
条件付きアクセスとIntuneを連携させても、そもそも端末がIntuneに登録されていなければ「準拠端末」と判定されません。
まずは社内端末の登録状況を棚卸しする必要があります。
RIKEN TOKYOでは、条件付きアクセス・Intuneの設計から設定、運用まで一貫して支援しています。
| 支援内容 | 具体例 |
|---|---|
| 現状確認 | Microsoft 365ライセンス・Entra ID P1有無の確認 |
| ポリシー設計 | 対象範囲・条件・除外設定の設計 |
| 設定・検証 | レポート専用モードでの影響確認、本番適用 |
| Intune連携 | デバイス登録・コンプライアンスポリシーの設定 |
| 運用支援 | ポリシーの見直し、緊急時アクセス手段の整備 |
MFAの設定状況にご不安がある方は、あわせて多要素認証（MFA）とは？中小企業が今すぐ導入すべき理由と進め方もご覧ください。
また、端末管理そのものの基本を確認したい方は、中小企業のPC・端末管理とは？情シス不在でも始められる基本と進め方をあわせてご確認ください。
条件付きアクセスによるゼロトラスト実装で押さえるべきポイントを整理します。
条件付きアクセスの導入でお悩みの方は、RIKEN TOKYOにお気軽にご相談ください。現状の困りごとを伺ったうえで、無理のない進め方をご提案します。
導入にあたって必要なライセンスや設定範囲を先に見積もりたい方は、スピードお見積りもご利用いただけます。
Microsoft Entra ID P1以上のライセンスが必要です。Microsoft 365 Business PremiumやE3にはEntra ID P1が含まれているため、追加費用なしで利用できるケースがあります。まずは現在のプランをご確認ください。
MFAだけでは、「どの端末からアクセスしているか」までは制御できません。条件付きアクセスとIntuneを組み合わせることで、会社が管理していない端末からのアクセスを制限できるようになります。
導入できます。RIKEN TOKYOでは、情シス不在・兼任の中小企業向けに、ライセンス確認からポリシー設計、レポート専用モードでの検証まで伴走支援を行っています。
その可能性はあります。そのため、いきなり本番適用せず、レポート専用モードで影響を確認したうえで段階的に適用することが重要です。あわせて、緊急時にアクセスできるアカウントを用意しておくことをお勧めします。
