【解説】ZscalerとMicrosoft365を連携する際のセキュリティ面で留意すべきポイントについて

zscaler-m365

SHARE

こんにちは。ITコンサルタントのわさおです。

この記事では、ZscalerとMicrosoft 365（旧Office 365）の連携を検討するうえで、特にセキュリティ面で留意すべきポイントに焦点を当てています。

Zscalerはクラウド型のセキュリティプラットフォームとして、SASE（Secure Access Service Edge）やゼロトラストネットワークアクセス(ZTNA)などのアプローチを実現するソリューションの一つです。

一方、Microsoft 365は多くの企業が利用するクラウドサービスであり、生産性向上とコラボレーションを支える強力なプラットフォームです。この二つを連携させることで、大幅な利便性向上やセキュリティ強化を図れますが、その一方で構成や運用の方法を誤るとリスクが高まる可能性もあります。

本記事では、ZscalerとMicrosoft 365を安全に連携させる際に考慮すべきセキュリティのポイントを、できるだけ平易に解説します。

1. ZscalerとMicrosoft 365連携の概要

1-1. なぜZscalerを導入するのか？

Zscalerはクラウドベースのプロキシ/ゲートウェイとして、企業ネットワークをインターネットから保護し、ユーザーが安全にクラウドサービスへアクセスできる環境を提供します。

オンプレミスのファイアウォールやプロキシサーバーを維持・管理する代わりに、クラウド上のZscalerプラットフォームを利用することで拡張性を確保しやすく、リモートワークやBYODにも対応しやすいという利点があります。

また、SSL/TLS検査（SSLインスペクション）によるマルウェア検知や、コンテンツフィルタリング、クラウドアプリケーション制御（CASB機能）など、多彩な機能を提供している点も魅力です。

1-2. Microsoft 365との親和性

Microsoft 365はExchange OnlineやSharePoint Online、Teams、OneDriveなど、多岐にわたるクラウドサービスを統合的に提供しています。これらのサービスは基本的にインターネット経由で接続するため、従来のオンプレミス型ファイアウォールやプロキシで対応していたセキュリティ要件とは異なる考慮が必要です。

Zscalerを導入することで、Microsoft 365へのアクセスルートを集約し、セキュリティポリシーを一元管理できます。

2. セキュリティ面で注意すべきポイント

2-1. ゼロトラストアーキテクチャの考え方

Zscalerのコンセプトの一つとして「ゼロトラストアーキテクチャ」があります。

これは「企業ネットワーク内にいるユーザーだからといって、安全であるとは限らない」という思想に基づき、常にユーザーやデバイスを検証し、最小限の権限を付与することでリスクを低減する方法です。

Microsoft 365との連携時も、このゼロトラストの考えを基本とします。すなわち、常に以下のような確認を行う必要があります。

  • ユーザーが正しく認証され、かつ多要素認証（MFA）などで信頼度を高めているか
  • デバイスが最新版のセキュリティパッチを適用しているか、ウイルス対策が有効に動作しているか
  • ネットワーク自体が安全か、あるいは不審なアクティビティを検知していないか

これらの要件を満たしたうえで、必要最低限のMicrosoft 365リソースへのアクセスを許可する、という形を取ります。

2-2. 経路制御（トラフィックの最適化）

Microsoft 365は世界中に分散配置されているデータセンターを活用しており、ユーザーの地理的な近傍から最適なサービスを提供するようになっています。

しかし、ZscalerなどのセキュアWebゲートウェイを経由することで、トラフィックが一度Zscalerの拠点を経由するため、通信経路が長くなり遅延が増える可能性があります。

Microsoft 365とZscalerを連携する際は、Microsoftが推奨する最適化カテゴリ（Optimal, Allow, Default）に沿って、アプリケーションに合わせたトラフィックの迂回設定や検査方法を検討する必要があります。

例えば、Teamsなどリアルタイムコミュニケーションが重要なアプリケーションについては、優先的に直接接続を許可するなどの設定を行うケースもあります。

適切な経路制御がされていないと、通信遅延やネットワークボトルネックによってユーザー体験が悪化し、結果としてセキュリティポリシーの一部を回避しようとする行動（シャドーITの助長）につながるリスクもあるので注意が必要です。

2-3. SSLインスペクションの運用

Zscalerのメリットの一つに、SSL/TLS通信を復号して内容を検査できる「SSLインスペクション」があります。これはMicrosoft 365に対しても適用できますが、すべての通信を無制限に復号することが必ずしも最善とは限りません。

Microsoft 365の通信には、認証情報や機微情報が含まれる場合が多い一方、特定のサービスは暗号化したまま直接のやり取りが望ましい場合もあります（例：認証トークンやシングルサインオンの通信など）。必要のないトラフィックまで復号すると、セキュリティリスクやプライバシーの問題を発生させる可能性があります。

そのため、Microsoftの推奨するエンドポイント情報を確認し、サービス別に「インスペクションする通信／しない通信」を切り分ける設定が重要になります。

Microsoft 365用のSSLバイパス設定を正しく行うことで、重要な機能がブロックされる誤動作やパフォーマンス低下を回避できます。

3. 認証とアクセス制御での注意点

3-1. シングルサインオン(SSO)と多要素認証(MFA)

ZscalerとMicrosoft 365を連携させる場合、多くの企業ではAzure Active Directory（Azure AD）を用いたシングルサインオン（SSO）を採用します。この時、IDプロバイダとしてAzure ADを使用し、Zscalerサービスへの認証やMicrosoft 365アプリへのアクセスを一元的に管理できるように設定します。

しかし、SSOを実装しただけでは不正アクセスのリスクは完全には解消しません。パスワードリスト攻撃やフィッシング、漏洩した資格情報の再利用などのリスクを考慮すると、多要素認証（MFA）を導入することが事実上の必須要件になります。

特に管理者アカウントや特権ユーザーに対しては、MFAを強制するポリシー設定が欠かせません。また、条件付きアクセス(Conditional Access)の機能を用いることで、クライアントデバイスや場所などのコンテキストに応じてアクセス可否を動的に制御することも重要です。

3-2. デバイスコンプライアンスのチェック

Zscaler側のゼロトラストポリシーと、Microsoft 365 (Azure AD)側の条件付きアクセスを組み合わせることで、デバイスのコンプライアンス状態に応じたアクセス制御を実装できます。

例えば、Microsoft Intuneによるデバイス管理を行っていれば、「最新のセキュリティパッチが当たっていない端末はアクセスを許可しない」「会社が承認したウイルス対策がインストールされていなければアクセス制限する」といったポリシーを設定できます。これにより、マルウェア感染リスクの高いデバイスからのアクセスを防ぎやすくなります。

Zscaler側でもユーザーとデバイスのポリシーを連動し、クラウドアプリケーションへのアクセス可否を制御することが可能です。デバイスコンプライアンスのチェックを厳格に行わないと、ゼロトラストの思想が形骸化してしまうため、初期設計段階で十分に検討することが大切です。

4. アプリケーション制御とDLP(Data Loss Prevention)

4-1. アプリケーション制御（CASB機能）

ZscalerはCloud Access Security Broker（CASB）機能を備えており、Microsoft 365で使用する各種アプリケーションやクラウドストレージへのアクセス状況を可視化・制御できます。

例えば、ユーザーがOneDrive上で社外共有を行おうとした際に、機密情報のやり取りが行われていないかチェックを行い、必要に応じてブロックや警告を出すことが可能です。

特にファイル共有機能を使い、外部とやり取りを頻繁に行う企業では情報漏えいリスクが高まる傾向にあるため、アプリケーション制御の設定は非常に重要です。

Microsoft 365の管理画面だけでなく、Zscalerの制御ポリシーも正しく連携させることで、より粒度の細かいセキュリティポリシーを適用できるようになります。

4-2. DLPポリシーの設計

DLP（Data Loss Prevention）によって、組織内でやり取りされる情報に機密データや個人情報が含まれていないかを検査し、不正な持ち出しや誤送信を防止することができます。ZscalerのDLP機能と、Microsoft 365が提供するDLP機能を連携させれば、より包括的な監視と制御が実現できます。

ただし、DLPポリシーは闇雲に厳しくすればよいわけではなく、組織の業務フローに合わせてチューニングする必要があります。誤検知（ファルス・ポジティブ）が多発すると、実際に業務上必要なファイル転送までブロックしてしまい、現場が「セキュリティは邪魔」という認識を強くしてしまいます。その結果、ポリシーの形骸化やシャドーITの横行につながりかねません。
DLP導入時には、以下のステップが推奨されます。

  1. 重要データの分類と優先度付け
  2. 最初はアラートのみ出すモニタリングモードで、現状を把握
  3. 誤検知が多いルールを調整し、精度を高める
  4. 段階的にブロックポリシーを導入する

このように、段階的なアプローチでDLPポリシーを整備することが望ましいでしょう。

5. 運用・監視体制の整備

5-1. ログ管理と可視化

ZscalerとMicrosoft 365を連携して運用する場合、それぞれから大量のログが生成されます。ZscalerではユーザーごとのWebアクセスログや脅威検出ログ、ポリシー適用ログなどが取得できますし、Microsoft 365側ではExchange、SharePoint、Teamsといった各種サービスの監査ログや、Azure ADのサインインログなどが存在します。

セキュリティインシデントや不審なアクセスをいち早く検知するには、これらのログを一元的に収集・分析し、可視化する仕組みが必要です。

具体的には、SIEM（Security Information and Event Management）ツールやSOAR（Security Orchestration, Automation and Response）ツールを活用し、アラートの優先度付けや自動化を行うことで、セキュリティ担当者の負荷を軽減するとともに、インシデントへの迅速な対応を可能にします。

監査ログが増えすぎてしまうことを懸念して、ログを保存しない・短期間で削除するなどしてしまうと、後日のインシデント調査が不可能になります。必要なデータ保持期間やプライバシー規制に合わせて、適切なログ保持ポリシーを策定しましょう。

5-2. アラート運用とインシデント対応

ログの可視化やアラート通知は、設計段階でしっかりと基準を設定しなければなりません。Zscalerでのマルウェア検知アラートや、Microsoft 365でのサインイン異常検知（不審なIPアドレスからの連続アクセスや、通常と異なる時間帯でのアクセスなど）は、早期に対応することで被害拡大を防ぎます。

しかし、アラートが多すぎる状態に陥ると、セキュリティ担当者がアラート疲れ（アラート・ファティーグ）を起こし、本来重要なアラートを見逃す恐れがあります。アラートの閾値や通知先、対応フローなどを運用チームと綿密に調整し、定期的に見直すことが大切です。

また、インシデント発生時のエスカレーションルートや、Zscalerサポート・Microsoftサポートへの問い合わせフローなども事前に整備しておく必要があります。

6. コンプライアンスとデータ保護

6-1. 国際的なプライバシー規制への対応

クラウドサービスを利用する場合、データの保存先が海外になるケースがあります。とくにMicrosoft 365はグローバルなデータセンターを使っているため、GDPR（EU一般データ保護規則）や各国の個人情報保護規制への対応が課題になることがあります。

Zscalerを経由することで、アクセス経路やデータ転送先がさらに複雑になる場合もあるため、利用しているサービスがどの地域のデータセンターを使うのか、どのような暗号化やデータ保護の仕組みを提供しているのかを確認することが重要です。

また、組織としてデータをどの国に保管するかを厳密にコントロールしたい場合には、Microsoftが提供する「データローカリティ」のオプションや、Zscalerのデータセンター選択オプションを利用するなどの検討が必要です。

6-2. データ分類とリスク評価

Microsoft 365側では「機密情報の種類」や「ラベル付け（Sensitivity Labels）」を設定でき、ZscalerのDLP機能やアプリケーション制御と連携しやすくなっています。これらを駆使して、どのデータがどの程度の機密性を持つかを明確に分類するとともに、それぞれのリスク評価を行い、必要な保護レベルを定義することが重要です。

例えば、社内向けの情報と顧客の個人情報が混在したファイルを取り扱う場合、どのレベルまでが社外共有して良いのか、もし誤って共有された場合のリスクはどの程度か、といった点を具体的に分析する必要があります。その結果を踏まえて、Zscaler側での制御ルールやMicrosoft 365側での条件付きアクセス、ラベル付けを厳密に設定します。

7. ベストプラクティスまとめ

  1. ゼロトラストの原則を徹底
    • ネットワーク内外問わず、常にユーザーやデバイスを検証し、最小限のアクセス権を付与する方針を守る。
    • すべてを「信頼しない」前提で設計し、必要な証明（MFA、デバイスコンプライアンスなど）を取得した上でアクセスを許可する。
  2. Microsoft推奨のエンドポイントと最適化ガイドを活用
    • Microsoftが公開している「Microsoft 365のエンドポイントカテゴリ（Optimal, Allow, Default）」に基づき、Zscalerでの経路制御を適切に設定する。
    • TeamsやExchange Onlineなど、リアルタイム性が求められるサービスは最適な経路を優先的に適用。
  3. SSLインスペクションの範囲を見極める
    • すべてのトラフィックをインスペクションするのではなく、Microsoftが推奨する一部エンドポイントはバイパスを検討し、誤動作やプライバシーリスクを低減する。
    • SSLインスペクションポリシーを定期的に見直し、最新のサービス仕様に対応させる。
  4. 認証強化とアクセス制御の組み合わせ
    • Azure ADの条件付きアクセスやZscalerのポリシーエンジンを組み合わせることで、デバイスコンプライアンスや地理的要因などを考慮したアクセス制御を実現。
    • 管理者アカウントにはMFAを強制し、特権アクションを行う際の追加認証も検討。
  5. アプリケーション制御とDLPを適切に設定
    • Microsoft 365とZscaler双方のDLP・アプリケーション制御機能を連携し、重要データのやり取りを可視化しつつ、誤送信や外部漏えいを防止。
    • 段階的にルールを導入し、誤検知を最小化してユーザーの利便性とバランスを取る。
  6. ログ収集・分析基盤の確立
    • ZscalerとMicrosoft 365の監査ログを統合管理できる基盤を用意し、SIEMやSOARと連携して高度な分析や自動インシデント対応を目指す。
    • ログの保存期間やプライバシー規制に合わせた運用ポリシーを策定する。
  7. 継続的なレビューと運用改善
    • 定期的にポリシーやアラート設定を見直し、業務の変化や新たな脅威に対応できるようにする。
    • ZscalerとMicrosoft 365のアップデート情報やベストプラクティスを追跡し、適宜設定を調整する。

8. まとめ

ZscalerとMicrosoft 365の連携は、クラウド時代の業務において非常に強力な組み合わせです。ZscalerのSASE/ゼロトラストアーキテクチャとMicrosoft 365の多様なクラウドサービスを組み合わせることで、従来のネットワーク境界に依存しないセキュアなアクセス環境を構築できます。

しかし、一方でセキュリティポリシーやアクセス制御、DLPといった諸機能を適切に設計・運用しないと、かえって管理が複雑化し、リスクが高まる可能性があります。特に、以下の3点が重要な鍵になります。

  1. ゼロトラストの考え方を念頭におくこと
    すべてのアクセスを疑い、認証・認可のプロセスを厳格に行いましょう。MFAやデバイスコンプライアンス、条件付きアクセスはもはや必須の時代です。
  2. Microsoft 365特有の通信要件を理解し、最適化すること
    Microsoft 365アプリケーションの通信遅延やサービス停止は、ビジネスに直結する大きな問題です。Microsoftが公開している推奨ガイドを参考にし、ZscalerでのSSLインスペクションや経路制御を正しく行いましょう。
  3. 運用監視体制の整備と継続的な見直し
    ログの収集と分析、アラートの優先度設定、インシデント対応のフローなどを明確にし、定期的に見直すことでリスクを最小化できます。DLPポリシーやアクセス制御ルールも、業務実態に合わせて柔軟に調整してください。

クラウドへのシフトが進むにつれ、境界型セキュリティだけでは十分に対応できない脅威が増えています。ZscalerとMicrosoft 365の連携により、場所やデバイスを問わずセキュアなクラウド利用を実現するためにも、ぜひ本記事で取り上げた注意点やベストプラクティスを踏まえ、実環境への導入・運用を検討してみてください。

適切な設計・実装と継続的な見直しを行うことで、クラウド利用の利便性とセキュリティを高い次元で両立させることが可能になるでしょう。

前の記事

【解説】Swaggerについて解説します ｜ メリット・導入方…

次の記事

【解説】MicrosoftのEntra IDの概要やメリットに…