買い切りのOffice LTSC 2021は、2026年10月13日でサポートが終わりました。前の記事で書いたとおり、Microsoftが300ユーザーまでの会社に挙げている移り先の1つがMicrosoft 365 Business Premiumです。移った会社で、WordとExcelを入れ替えてCopilotが出ることを確かめたところで作業が終わると、Business Premiumに含まれているDefender for BusinessとIntune Plan 1、Microsoft Entra ID P1は、設定されないまま残ります。

この記事は、Business Premiumに付いてくる守りのうち、情報システムの担当者が最初に入れる3つの設定を書きます。読者は、買い切りのOfficeからBusiness Premiumへ移ったか、移ることを決めた会社の情シスと、その会社でセキュリティの責任を持つ人です。Microsoftの資料を読んだ日は2026年11月1日です。

結論を先に書きます。

  1. Business Premiumの守りは、端末・アカウント・メールの3つの領域に分かれます。 端末の守りがDefender for BusinessとIntune Plan 1、アカウントの守りがEntra ID P1の条件付きアクセス、メールの守りがDefender for Office 365 Plan 1です。この記事は端末とアカウントの3つを扱います
  2. 最初の3つの設定は、端末をDefender for Businessにつないでデフォルトのポリシーを当てる、Intuneのコンプライアンスポリシーで端末の最低ラインを決める、条件付きアクセスで端末の状態を条件に社内データへのアクセスを決める、です。 順番に意味があります。先に端末を守り、次に基準を決め、最後に基準を満たさない端末の扱いを決めます
  3. ポリシーを管理する画面は、DefenderポータルかIntune管理センターのどちらか1つに決めます。 両方で同じ種類のポリシーを持つと衝突します。Business PremiumにはIntuneが含まれるので、Microsoftの資料はIntune管理センターを推奨しています

Business Premiumに付いてくる守り

Microsoft Learnの「Microsoft 365 for business security overview」（2025年9月30日付）は、300ユーザーまでの会社向けのMicrosoft 365を、Business Basic、Business Standard、Business Premiumの3つとして、セキュリティの機能を3つの領域に分けて表にしています。

アカウントの守りは、3つのプランともMicrosoft Entra ID Freeのsecurity defaultsという機能が入っていて、多要素認証がデフォルトで有効です。Business PremiumだけがEntra ID P1を含み、条件付きアクセスが使えます。

メールの守りは、3つのプランともクラウドのメールボックス向けの組み込みの保護（マルウェア対策、スパム対策、なりすまし対策）が入っています。Business PremiumだけがDefender for Office 365 Plan 1を含み、安全な添付ファイルと安全なリンク、なりすましの保護が加わります。

端末の守りは、3つのプランともBasic Mobility and Securityというモバイルデバイス管理の限定版が入っています。Business PremiumだけがIntune Plan 1とDefender for Businessを含みます。

つまり、Business StandardとBusiness Premiumの差は、条件付きアクセス・Defender for Office 365・Intune・Defender for Businessの4つです。3つのプランに共通の守りは最初から働いていますが、この4つは設定して初めて意味が出ます。

最初の3つの設定の全体図

Microsoftの資料は、Defender for Businessの設定を6段階で説明しています。契約して、ユーザーにライセンスを割り当て、セキュリティ担当に役割を付け、メール通知を設定し、端末をオンボードし、ポリシーを見直す、という順です。Business Premiumの端末管理の資料は、Intuneについて、登録制限、登録の前提条件、コンプライアンスの設定、コンプライアンスポリシー、条件付きアクセス、端末の登録、の6段階です。

この記事は、その中から、守りとして最初に意味を持つ3つを選びました。1つ目で端末が守られ、2つ目で守られている状態を基準として書き、3つ目で基準を満たさない端末の扱いを決めます。1つ目だけでも端末は守られます。2つ目と3つ目で、守られていない端末が社内に残ることを防ぎます。この記事は、Business PremiumにIntuneが含まれることから、Intune管理センターで管理する前提で書きます。

設定1: 端末をDefender for Businessにつなぎ、デフォルトのポリシーを当てる

Defender for Businessは、Microsoft Defender for Endpointをもとにした、300ユーザーまでの会社向けのエンドポイントセキュリティです。Defender for Endpoint Plan 1の機能と、Plan 2の一部（エンドポイントの検出と対応、自動調査と修復、脆弱性管理の中核機能、攻撃の自動阻止）を含むと、公式の比較表にあります。

端末をつなぐ方法は3つです。Microsoftの資料（2026年4月26日付）では、Windows 10と11の端末を、ローカルスクリプト、グループポリシー、Intuneのいずれかでオンボードします。Business PremiumでIntuneを使う会社は、Intuneの自動登録を有効にして、ユーザーが端末に職場アカウントを追加すると、端末がEntra IDに参加してIntuneに登録される形を勧めています。Defender for Businessのセットアップウィザードには、Intuneに登録されたWindows端末を自動でオンボードする選択肢があり、Microsoftは登録された全端末を対象にする設定を勧めています。既にIntuneに何台も登録されている会社では、この設定を入れた時点で対象が広がります。先に試験用の端末だけをオンボードして動作を確かめ、それから全端末の自動オンボードに切り替える順にします。

つないだ端末には、Defender for Businessのデフォルトのポリシーが当たります。次世代保護（ウイルス対策とマルウェア対策）とファイアウォールの2つで、推奨の設定が最初から入っています。次世代保護のデフォルトを、Microsoftの資料（2025年9月24日付）から抜き出します。この表はDefenderポータルのデフォルトポリシーの値です。Intune管理センターで管理する会社は、Endpoint securityのAntivirusとFirewallのポリシーで、同じ項目を見ます。

設定 デフォルト
リアルタイム保護 有効。振る舞いの監視、ダウンロードしたファイルと添付のスキャン、ブラウザーのスクリプトのスキャンを含む
ブロック・アット・ファースト・サイト 有効。検出から数秒でブロックし、ブロックレベルは高
ネットワーク保護 ブロックモード。フィッシングや悪意のあるサイトへのアクセスを止め、利用者が自分で無効にできない
望ましくない可能性のあるアプリ（PUA） 有効。検出したら止める
スケジュールスキャン クイックスキャン。曜日と時刻は自分で決める
リムーバブルドライブのスキャン 有効
セキュリティインテリジェンスの更新確認 4時間ごと

デフォルトのポリシーは、導入時の出発点です。ここで情シスが決めるのは、スケジュールスキャンの曜日と時刻、除外を作るかどうか、そして業務への影響を見てから何を足すかです。Microsoftの資料は、除外は原則として必要ない、除外は1つごとに守りを弱める、と書いています。業務アプリの都合で除外が要るときは、何を、なぜ、いつまで除外するかを文書にしてから設定します。

つないだ後は、検知テストをします。Microsoftの資料には、Windows端末で指定のコマンドを実行すると、10分ほどでDefenderポータルにアラートが出る手順と、指定のテスト用URLを開いてブロックされることを確かめる手順があります。試験用の端末で動くことを見てから、全端末に広げます。

設定2: Intuneのコンプライアンスポリシーで、端末の最低ラインを決める

設定1で端末は守られます。ただ、守られている状態を会社として決めていないと、1台だけBitLockerが切れていたり、ウイルス対策が止まっていたりすることに気づけません。Intuneのコンプライアンスポリシーは、社内データにアクセスしてよい端末の最低ラインを書く場所です。

Business Premiumの端末管理の資料（2026年1月8日付）は、Windows端末のコンプライアンスポリシーについて、次の項目を必須にすることを勧めています。

  • 端末の正常性: BitLocker、セキュアブート、コードの整合性
  • 端末のセキュリティ: ファイアウォール、TPM、ウイルス対策、スパイウェア対策
  • Defender: Microsoft Defenderのマルウェア対策、セキュリティインテリジェンスが最新、リアルタイム保護

非準拠のときの動作は、非準拠としてマークするまでの日数を、即時から1日に変えることを勧めています。割り当ては全ユーザーです。Windows以外の端末には、画面ロックのパスワード、端末の暗号化、コードの整合性を、使える範囲で必須にします。

ここで1つ、Intune全体の設定があります。コンプライアンスポリシーが割り当てられていない端末を、準拠とみなすか、非準拠とみなすか、です。デフォルトは準拠です。設定3で、準拠した端末だけに社内データを開くなら、Microsoftの資料は非準拠に変えることを勧めています。ポリシーの割り当てから外れた端末が、準拠扱いで社内データに入れる状態を防ぐためです。

コンプライアンスポリシーを作ると、Intuneは端末を評価して、準拠か非準拠かを記録します。ただし、準拠状態を使ってMicrosoft 365へのアクセスを制限するには、対応する条件付きアクセスのポリシーが要ります。Microsoftの資料にも、対応する端末ベースの条件付きアクセスポリシーが適用されるまで、ポリシーは強制されない、とあります。だから設定3が要ります。

設定3: 条件付きアクセスで、端末の状態を条件に社内データへのアクセスを決める

Entra ID P1に含まれる条件付きアクセスは、誰が、どの端末から、どのアプリにアクセスするかを条件にして、許可するかブロックするかを決めるしくみです。Intuneは端末の準拠状態をEntra IDに送り、条件付きアクセスがそれを使います。

先に、前提を2つ書きます。1つ目は、security defaultsと条件付きアクセスは同時に有効にできないことです。条件付きアクセスを使うには、security defaultsが提供していた多要素認証の要求と、古い認証方式のブロックを、条件付きアクセスのポリシーとして先に用意してから切り替えます。2つ目は、全ユーザーを対象にするポリシーから、緊急アクセス用のアカウントを除外することです。設定を誤ると管理者全員が入れなくなるため、Microsoftの手順はこの除外を前提にしています。

Business Premiumの端末管理の資料は、Intune向けの端末ベースの条件付きアクセスポリシーとして4つを勧めています。

  1. Intuneの端末登録に多要素認証を要求する
  2. 不明またはサポートされていない端末のプラットフォームをブロックする
  3. 承認されたクライアントアプリか、アプリ保護ポリシーを要求する
  4. すべてのユーザーに、準拠した端末か、Microsoft Entraハイブリッド参加の端末か、多要素認証を要求する

3については補足が要ります。Entraの移行資料（2026年5月29日付）によると、承認されたクライアントアプリを要求する制御は2026年6月30日に読み取り専用になり、新しいポリシーで使えるのはアプリ保護ポリシーを要求する制御だけです。これから作る会社は、Intuneでアプリ保護ポリシーを作り、条件付きアクセスでそれを要求する形にします。

最初の3つの設定として入れるのは、1と4です。1で、登録そのものを本人確認つきにします。4で、端末の状態が条件に入ります。

4は読み違えやすいところです。準拠した端末か、ハイブリッド参加の端末か、多要素認証か、のいずれかを満たせば許可する条件なので、多要素認証を通れば非準拠の端末からも入れます。設定2の最低ラインを満たさない端末を本当に止めるには、準拠としてマークされた端末を要求する、だけを条件にしたポリシーにします。Microsoftの推奨の4は、準拠していない端末を一気に止めずに始めるための形です。まず4を入れて、次に準拠だけを要求するポリシーをレポート専用モードで作り、対象期間のサインインのうちどれだけがブロックされるかを見る、という順が現実的です。レポート専用モードが見せるのは、その期間にサインインがあった端末への影響で、社内の非準拠端末の総数ではありません。総数はIntuneの準拠状態の一覧で見ます。

もう1つ、準拠した端末と会社所有の端末は別の条件です。個人のPCでも、Intuneに登録して最低ラインを満たせば準拠になります。会社所有の端末だけに限定したいなら、Intuneの登録制限を合わせて設計します。個人のスマートフォンをアプリの中のデータだけ管理するMAMで使わせるなら、その対象アプリとアクセスの条件は、端末の準拠とは別に決めます。

どちらの画面で管理するか

Defender for Businessのポリシーは、DefenderポータルとIntune管理センターのどちらでも管理できます。Microsoftの資料（2026年6月10日付）は、ポリシーを作る前にどちらを使うかを決めるよう書いています。

Defenderポータルは、端末のオンボード、ポリシー、脆弱性管理のダッシュボード、インシデントの管理を1か所で行える、中小企業向けの簡略化された設定です。Intuneがない、単体のDefender for Businessを使う会社に向いています。Intune管理センターは、端末とアプリの管理、社内データへのアクセスの制御、攻撃面の縮小ルールの設定までを行えます。

Business PremiumにはIntune Plan 1が含まれているので、Microsoftの資料はIntune管理センターでの設定と展開を推奨しています。注意したいのは切り替えのときです。Intuneを使っている状態でDefenderポータルのポリシーを開くと、Intuneを使い続けるか、Defenderポータルの設定に切り替えるかを聞かれます。Defenderポータルに切り替えるなら、衝突を避けるためにIntune側の既存のセキュリティポリシーを消す必要がある、と書かれています。どちらかに決めて、もう一方で同じ種類のポリシーを作らない、が原則です。

注意点

攻撃面の縮小ルールは、デフォルトでは入っていません。 Defender for Businessの攻撃面の縮小の機能のうち、ファイアウォールとネットワーク保護は、端末をオンボードしてデフォルトのポリシーを当てれば有効になります。攻撃面の縮小（ASR）ルールと制御されたフォルダーアクセスは、別に設定が要ります。Business PremiumではIntuneで設定する形がMicrosoftの推奨です。3つの設定の次に検討する項目です。

Windowsのエディションとサポート期限に条件があります。 Defender for Businessにオンボードできるのは、Windows 10と11のBusiness、Professional、Enterpriseのエディションです。Homeエディションの端末が社内に残っている会社は、先にそこを洗い出します。あわせて、通常のWindows 10は2025年10月14日にサポートが終わっています。オンボードできることと、OSがサポート中であることは別なので、Windows 10の端末は拡張セキュリティ更新の適用状況か、Windows 11への入れ替えの予定も確かめます。

サーバーは別のライセンスです。 Windows ServerとLinuxをDefender for Businessで守るには、Microsoft Defender for Business serversの追加のライセンスが要ります。

MacやスマートフォンはPCと手順が違います。 Macは、Intuneの登録よりローカルスクリプトでのオンボードをMicrosoftが勧めています。AndroidとiOSは、Microsoft Defenderアプリからのオンボードと、Intuneからの登録の2通りがあります。個人のスマートフォンは、端末ごと管理するMDMではなく、アプリの中のデータだけを管理するMAMを選ぶ道があります。

Copilotの要件とは別です。 前の記事で書いた、更新チャネルやライセンスの話は、Copilotを使うための要件です。この記事の3つの設定は、Copilotを使うかどうかに関係なく、Business Premiumに移った端末に入れるものです。

KOIYALの見解

買い切りのOfficeからBusiness Premiumへ移った会社に、当社が見てほしいのは、月額に含まれている守りが、設定されていない状態で止まっていないか、です。移った理由の1つがセキュリティなら、WordとExcelが新しくなって終わりでは、サポート切れのOfficeを使い続けるのとは別の形で、守られていない端末が残ります。

当社は、インハウス経営（AIを活用し、自社で業務を改善し、自社で仕組みをつくる経営）に向かう会社の支援をしています。端末の守りは、その土台です。社員のPCでCopilotやエージェントに社内の資料を読ませるなら、そのPCがどの状態なら社内データに触れてよいかを、会社が先に決めている必要があります。設定2のコンプライアンスポリシーは、その決め事を書く場所です。Microsoftの推奨をそのまま入れてもよいですが、何を必須にして、何を必須にしなかったかを、自社の言葉で1枚にしておくと、次に端末を増やすときも、監査で聞かれたときも、自社で答えられます。

3つの設定に必要な作業は、今の環境でどこまで設定済みかで変わります。それでも、作業より難しいのは、設定3で引っかかる端末が出たときに、その端末を使う人の仕事を止めるか、例外を認めるかを決めることです。ここは販売店にも、当社にも決められません。決めるのは自社で、決めた結果を設定に落とすのは情シスです。最初の3つの設定は、その決め方の練習にもなります。

次の行動

  1. Microsoft 365管理センターで、守りの対象にする人にBusiness Premiumのライセンスが割り当てられているかを見る。端末の登録状態とポリシーの適用対象は、Intuneで別に確かめる
  2. Intuneの自動登録を有効にし、試験用の端末をDefender for Businessにオンボードして検知テストをする。問題がなければ、セットアップウィザードで登録された全端末の自動オンボードに切り替える
  3. Windowsのコンプライアンスポリシーを、Microsoftの推奨項目で作る。何を必須にしたかを1枚の文書にする
  4. security defaultsの多要素認証と古い認証方式のブロックを条件付きアクセスで用意し、緊急アクセス用アカウントを除外してから、Intuneの登録に多要素認証、全ユーザーに準拠した端末かハイブリッド参加か多要素認証、の2本を入れる。準拠だけを要求するポリシーはレポート専用モードで影響を見てから適用する

Business Premiumに移ったが、Defender for BusinessとIntuneの設定をどこまで入れるか決めかねている。そういう会社には、当社のAI・DXコンサルティングで、情シスと一緒に、必須にする項目と例外の決め方を文書にするところから進めます。コンサルティングの進め方をご覧いただくか、お問い合わせから、端末の台数と、分かる範囲で今の設定の状態をお知らせください。

参考

日付は各ページに表示されている資料の日付です。閲覧日は2026年11月1日です。