1. Exchange Online Kiosk

   ライトユーザ向けのメールプランです。一人あたり２GBのメールボックス容量を持ち、Outlook on the Web (Webメール）で利用します。

2. Exchange Online Plan1

   標準的なメールプランです。一人あたり50GBのメールボックス容量を持ち、Outlook（デスクトップアプリ）、もしくはOutlook on the Webで利用します。

3. Exchange Online Plan2

   一人あたり100GBのメールボックスを持つ上位プランです。Plan１にアーカイブ領域が追加されており、インプレース保持（訴訟ホールド）といった、メール監査用の機能が利用できます。

Outlookを利用する場合は、Officeのバージョンに条件がありますので注意してください。条件としてはMicrosoft 365のOffice、もしくはOffice 2016以上の利用が必要です。Office 2016/2019はMicrosoft 365の接続サポートが2023年10月までとなっています。
Exchange online以外に、Teams（コラボレーションツール）やSharePoint online（情報共有）といったサービスを利用する場合は、セットプランをご利用いただけます。

標準プランの機能だけでは、セキュリティーが不足していますので、セキュリティー機能を追加することができるアドオン、もしくはサードパーティサービスの検討が必要です。

1. アドオンプラン

   • Microsoft Defender for Office 365 Plan1

     Exchange onlineは標準でスパム、マルウェア対策の機能を利用できますが、未知のマルウェア対策が可能なアドオンプラン
     「Microsoft Defender for Office 365 Plan1」を追加することをお勧めします。本ライセンスを追加することで、添付ファイルのサンドボックスによるチェック、URLの安全性チェックを行うことができます。また、メールだけではなくSharePoint online/OneDriveや、Teamsで共有されたファイルについてもチェックすることができます。

   • Azure AD（Active Directory） Premium Plan1

     メールの利用にあたって、利用者のIPアドレスで利用制限をかけたい、SMS等の多要素認証を利用したい場合は、Microsoft365認証に関して、アクセス制御ができる「Azure AD Premium Plan1」を追加する必要があります。

2. サードパーティサービス

   「Azure AD Premium Plan1」は、Exchange onlineの費用と比較しても、高価なライセンスとなります。予算に合わない場合は、費用を抑えることができるサードパーティサービスの利用をお勧めします。サービスによっては、Microsoftより使い勝手が良い機能(自動暗号化、上長承認、ファイル交換など)を提供しています。

ネットワークとセキュリティーが構築のポイントとなります。Exchange onlineはクラウド上にメールボックスがありますので、快適に利用できるよう事前にネットワークの点検が必要です。また、Exchange onlineの設定の大半はデフォルトでも利用することはできますが、安全に利用するために、各設定について情報漏洩につながらないかという目線で確認する必要あります。

• ネットワークの確認

  Exchange onlineを利用する際の必要な帯域、セッション数についてはMicrosoftより計算ツールが提供されています。ネットワークは使い勝手に直結しますので、余裕を持った環境を準備してください。性能不足と判断された場合は、現環境を増強するか、Microsoft 365用のバイパス回線を追加することになります。スケジュール機能を利用すると、参照するユーザ毎にセッションを張りますので、想定以上にセッション数が増える場合がありますので注意してください。

• Azure ADのセキュリティー

  主なセキュリティー対策として、ユーザが勝手にアプリ登録できないようにする、外部サービスとの連携禁止、外部ユーザの登録禁止等があります。

• Exchange onlineのセキュリティー

  主なセキュリティー対策として、スパム、マルウェア対応のExchange Online Protectionの設定、重要なイベントが発生した時のアラートメール、スパムやフィッシング、マルウェアの定期レポートの設定、外部サービスと接続するアドインの禁止、予定表のアクセス権の設定などがあります。また、メールならではのセキュリティー対策としては、SPF、DKIM、DMARCといった送信認証があります。

各サービスの設定は多岐にわたりますので、不安な場合は外部業者に委託することをお勧めします。

代表的な運用についてご説明します

• アップデート情報の収集

  常に最新の機能を利用できるメリットがある反面、知らないうちに機能が追加/削除され管理者としては困る面もあります。重要な機能の変更は、前もってアナウンスがありますので、Microsoft 365の管理ポータルやMicrosoftのホームページ等から情報を収集します。

• 稼働状況の確認

  稼働状況は、管理ポータルのサービス正常性チェック、TwitterのMicrosoft365 Statusをフォローするなどの方法で情報収集します。

• 障害対応

  メールが届かないといった障害が発生した時は、Microsoft 365サポートに問い合わせを行い対応します。Microsoftからの回答は基本的にナレッジベースの内容となり、ある程度は自社で確認する必要がありますので、メールログ確認方法などあらかじめチェックしておくことをお勧めします。

• 監査ログの保管

  Azure ADのサインインログ/監査ログのデフォルトの保管期間はそれぞれ7日間、Exchange onlineの監査ログの保管期間は90日となります。長期保管が必要な場合はAzureストレージに保管する、もしくはログ集計・分析ができるサードパーティサービスをお勧めします。

• 不審メールを受け取った時の対応

  不審メールを受け取った時の対応方法について、あらかじめ整理しておくことをお勧めします。対応内容としては、不審メールの報告の仕方/確認の仕方、被害拡大阻止の方法(URLアクセスブロック、メールのブロック)、ユーザ影響の調査、セキュリティーベンダーへの報告などがあります。