Microsoft 365のメールセキュリティ対策（Defender for Office 365編）｜標準の保護とPlan 1・Plan 2の違いと、なりすまし対策の設定

Microsoft 365 E3 に Defender for Office 365 Plan 1 が含まれるようになっても、既定のフィッシング対策ポリシーのままでは、役員や取引先を装ったメールを見つけても「何もしない」設定のままです。

Defender for Office 365 は、すべてのクラウドメールボックスに組み込まれた標準の保護の上に重ねる、メールと共同作業のための保護です。Plan 1 で未知のマルウェアや危険なリンク、なりすましへの備えが加わり、Plan 2 で調査・対応の自動化や訓練が加わります。

2026年7月1日から、Microsoft 365 E3 と Office 365 E3 に Plan 1 が含まれるようになりました。ライセンスが届けば自動で守られる部分もありますが、Microsoft の公開情報を読むと、自分で有効にしないと効かない部分が残ります。

• 自動で有効になる「組み込みの保護（Built-in protection）」は、Safe Links と Safe Attachments だけ
• 既定のフィッシング対策ポリシーでは、ユーザーやドメインのなりすましを検知しても、処理が「何もしない」になっている
• Standard・Strict のプリセットは、有効にして対象者を割り当てるまで、誰にも適用されない

この記事では、標準の保護と Plan 1・Plan 2 の違い、E3 で何が変わったか、自動で効くものと自分で有効にするもの、なりすまし対策の設定までを、Microsoft Learn の公開情報をもとに解説します。

株式会社ロクシアシステムズは、福岡と東京を拠点に、全国のお客様へ Microsoft 365・Azure の導入支援と、AIの業務活用（AIプライベート）の支援を提供しているIT企業です。

Defender for Office 365とは：標準の保護との違い

Microsoft 365 のメールの保護は、3段の「階段」として説明されています。下の段の機能は上の段にもすべて含まれ、上がるほど機能と自動化が増えます。

段	主に防ぐもの・できること	含まれる主なライセンス
標準の保護（組み込みのセキュリティ機能）	大量に送られる、既知の攻撃メール（スパム・既知のマルウェア・送信元の偽装）	クラウドメールボックスを含むすべての Microsoft 365
Defender for Office 365 Plan 1	未知のマルウェア、危険なリンク、なりすましによるフィッシングやビジネスメール詐欺	Microsoft 365 Business Premium、Microsoft 365 E3、Office 365 E3（E3 は2026年7月1日から）
Defender for Office 365 Plan 2	Plan 1 に加え、攻撃の調査・追跡、自動での調査と対応、攻撃を模した訓練	Microsoft 365 E5 など

Defender for Office 365 は、上記に含まれないライセンスにも、アドオンとして追加できます。

EOP は、いまは「組み込みのセキュリティ機能」と呼ばれる

標準の保護は、長く Exchange Online Protection（EOP）と呼ばれてきました。現在の Microsoft Learn では「すべてのクラウドメールボックスに組み込まれたセキュリティ機能（Built-in security features for all cloud mailboxes）」と表記されています。古い資料で EOP と書かれていれば、この標準の保護のことです。

標準の保護には、スパム対策、マルウェア対策、送信元の偽装（スプーフィング）対策、検疫（隔離）、配信後に危険と分かったメールを受信トレイから取り除くゼロ時間自動消去（ZAP）などが含まれます。既知の攻撃には、これだけでもかなり対応できます。

Plan 1で加わる保護、Plan 2で加わる機能

Plan 1 は、主に「防ぐ・見つける」機能を加えます。標準の保護が既知の攻撃を相手にするのに対し、Plan 1 は初めて見る攻撃や、人をだます攻撃を相手にします。

• Safe Attachments：添付ファイルを仮想環境で開いて動きを確かめ、未知のマルウェアを見つける。SharePoint・OneDrive・Teams のファイルも対象にできる
• Safe Links：メール、Office アプリ、Teams のリンクを、クリックした時点で確かめる。届いた後に危険になったリンクにも対応する
• なりすまし対策：役員や取引先などの特定の人やドメインを装うメールと、普段のやり取りから外れた送信者を見分ける
• 調べる機能：リアルタイム検出（Real-time detections）で、届いた攻撃メールを検索・確認する

Plan 2 は、「調べる・対応する」機能と自動化を加えます。セキュリティの担当者が、攻撃の全体像を追い、影響を受けた利用者に手を打つための機能です。

機能	Plan 1	Plan 2	内容
Safe Attachments・Safe Links	〇	〇	未知のマルウェアと危険なリンクへの備え
なりすまし対策	〇	〇	ユーザー・ドメインのなりすまし、メールボックス インテリジェンス
攻撃メールの調査	リアルタイム検出	Threat Explorer	Plan 2 は、より詳しく調べて、その場で対処できる
自動調査と対応（AIR）	✕	〇	不審なメールや乗っ取られた利用者を自動で調べ、対処を提案する
攻撃シミュレーション トレーニング	✕	〇	攻撃を模したメールを社員に送り、訓練する
Threat Trackers・キャンペーン	✕	〇	同じ攻撃者による一連の攻撃をまとめて追う

E3にPlan 1が含まれるようになって変わったこと

Microsoft のサービス説明によると、2026年7月1日から、Microsoft 365 E3 と Office 365 E3 に Defender for Office 365 Plan 1 が含まれます。追加されるのは Plan 1 の保護で、Plan 2 の機能は含まれません。

これまで E3 の組織は、標準の保護だけで運用するか、Plan 1 をアドオンで買い足すかを選んでいました。アドオンを買っていた組織は、契約の見直しの対象になります。Plan 2 の機能が必要なら、引き続き E5 や Plan 2 のアドオンが必要です。

自分のテナントに Plan 1 が含まれているかは、Microsoft Defender ポータルの［メールとコラボレーション］に［リアルタイム検出］があるかで見分けられます。［Explorer］があれば Plan 2 です。

自動で有効になるもの、自分で有効にするもの

「ライセンスに含まれたのだから、もう守られているのでは」と考えるのは自然です。半分は正しく、半分は違います。

自動で効く：組み込みの保護（Built-in protection）

Defender for Office 365 のライセンスがあると、「組み込みの保護（Built-in protection）」というプリセットが、既定ですべての受信者に適用されます。これで Safe Links と Safe Attachments は、何もしなくても動き始めます。SharePoint・OneDrive・Teams のファイルに対する Safe Attachments も、このプリセットでは有効です。

ただし、組み込みの保護の Safe Links は控えめな設定です。リンクを書き換えず、危険と判定したリンクでも利用者が先へ進めるようになっており、社内の送信者からのメールは対象外です。Standard・Strict のプリセットでは、これらがより厳しい設定になります。

自分で有効にする：なりすまし対策

組み込みの保護に含まれるのは、Safe Links と Safe Attachments だけです。スパム・マルウェア・フィッシング対策には、既定のポリシーが使われます。この既定のフィッシング対策ポリシーは、なりすまし対策について次のようになっています。

設定	既定のポリシー	Standard・Strict
自社のドメインを装うメールの検知	オフ	オン（自社のすべてのドメイン）
ユーザーのなりすましを検知したときの処理	何もしない	検疫
ドメインのなりすましを検知したときの処理	何もしない	検疫
メールボックス インテリジェンスがなりすましを検知したときの処理	何もしない	Standard は迷惑メール、Strict は検疫
フィッシングの判定の厳しさ	1（標準）	Standard は3、Strict は4

つまり、E3 に Plan 1 が届いても、既定のままでは、なりすましを見つけても利用者の受信トレイに届きます。ビジネスメール詐欺への備えという、Plan 1 の大きな価値が眠ったままになります。

StandardとStrict、どちらのプリセットを使うか

なりすまし対策を有効にする近道は、Microsoft Defender ポータルの「事前設定済みのセキュリティ ポリシー（Preset security policies）」で、Standard か Strict を有効にすることです。Microsoft の推奨値がまとめて適用され、個々の設定値はほぼ変更できません。

• Standard：ほとんどの利用者に向く基本の設定。スパムは迷惑メールフォルダーへ振り分ける
• Strict：役員や経理担当など、狙われやすい利用者に向く厳しい設定。スパムや大量配信のメールも検疫する

マルウェアや明らかなフィッシングに対する設定は、両者でほぼ同じです。違いは主に、スパムや大量配信のメール、なりすましの疑いがあるメールを、迷惑メールフォルダーに入れるか検疫するかです。全員を Standard にし、狙われやすい人だけ Strict に入れる組み合わせが現実的です。

ポリシーが適用される順番

同じ受信者が複数のポリシーに含まれる場合、Microsoft 365 は次の順番で、最初に当てはまったポリシーを適用します。

1. Strict のプリセット
2. Standard のプリセット
3. Defender for Office 365 の評価用ポリシー
4. 独自に作ったポリシー（優先度の順）
5. 組み込みの保護（Safe Links・Safe Attachments）と、既定のポリシー（スパム・マルウェア・フィッシング対策）

独自のポリシーを作り込んでいる組織が、同じ利用者を Standard に入れると、独自のポリシーの設定は使われなくなります。プリセットを有効にする前に、既存のポリシーの対象者と重ならないかを確かめます。

なりすまし対策の設定

Standard・Strict を有効にすると、次の2つのなりすまし対策は自動で働きます。

• 自社のドメインのなりすまし：Microsoft 365 に登録した自社のすべてのドメインについて、よく似たドメインからのメールを見分ける
• メールボックス インテリジェンス：利用者ごとの普段のやり取りを学習し、知っている相手を装う送信者を見分ける

一方、特定の人を装うメールへの備え（ユーザーのなりすまし対策）は、守る人を自分で登録する必要があります。社外のよく取引するドメインも、自社のドメインとは別に登録します。

登録するもの	登録する対象の例	上限（プリセットの場合）
守るユーザー	社長・役員、経理・財務の責任者、社外の主要な取引先の担当者	350人
守るドメイン	自社では所有していないが、頻繁にやり取りする取引先のドメイン	50個
なりすましとみなさない送信者	誤って検知される正当な送信者	―

注意したいのは、ユーザーのなりすまし対策は、送信者と受信者が過去にメールをやり取りしていると働かないことです。初めて届く「社長を名乗るメール」を見分ける仕組みと考えて、メールボックス インテリジェンスや利用者への注意喚起と組み合わせます。

DMARCとの役割分担

自社のドメインをそのまま差出人に使うなりすましは、DMARC で防ぐのが基本です。Defender for Office 365 のなりすまし対策が受け持つのは、DMARC では防げない、よく似た別のドメインや、表示名だけを偽るメールです。

送信側の DMARC と受信側のなりすまし対策は、両方そろって効果を発揮します。DMARC の段階的な導入は、Microsoft 365のメールセキュリティ対策（DMARC編）で解説しています。

Plan 2が必要になる場面

Plan 1 で防ぐ力は大きく上がりますが、攻撃が届いた後の調査や、社員の訓練には Plan 2 が必要です。次のような状況なら、Plan 2 を検討する価値があります。

• 攻撃メールが届いたとき、誰に届き、誰がリンクを開いたかを素早く洗い出して、まとめて削除したい
• セキュリティの担当者が少なく、不審なメールの調査を自動化したい
• 訓練用のフィッシングメールを社員に送り、結果に応じて教育したい

Plan 2 の機能は、Microsoft Defender ポータルから90日間の無料試用ができます。E3 の組織なら、まず Plan 1 の設定を整え、運用で足りない部分が見えてから試すのが順当です。

導入の進め方

ここまでの内容を、作業の順番にまとめます。いきなり全員に Strict を当てると、正当なメールが検疫に入って業務が止まることがあるため、対象を絞って始めます。

弊社の支援

弊社は、Microsoft 365 の導入とセキュリティ設定を支援しています。Defender for Office 365 の設定で時間がかかるのは、プリセットを有効にする操作よりも、既存のポリシーとの重なりを整理し、守る人と取引先を選び、検疫の運用を決める作業です。

現在のポリシーの棚卸しから、プリセットの段階的な適用、なりすまし対策の対象の登録、DMARC を含む送信側の設定までをご一緒に進めます。メール以外も含めたセキュリティ対策の全体像は、ゼロトラストとはで解説しています。

よくあるご質問

こちらをクリックして「よくある質問」を表示

E3 を使っていれば、何もしなくても Defender for Office 365 で守られますか？

Safe Links と Safe Attachments は、組み込みの保護により自動で全員に適用されます。一方、なりすまし対策は、既定のフィッシング対策ポリシーでは検知しても処理が「何もしない」です。Standard か Strict のプリセットを有効にし、対象者を割り当てる必要があります。

Microsoft 365 Business Standard にも Plan 1 は含まれますか？

含まれません。Business 向けで Plan 1 が含まれるのは Business Premium です。Business Basic・Business Standard では標準の保護が使え、Plan 1 はアドオンとして追加できます。

EOP と Defender for Office 365 は、別々に設定するものですか？

どちらも Microsoft Defender ポータルの同じ画面で設定します。Standard・Strict のプリセットを有効にすると、標準の保護（旧称 EOP）のスパム・マルウェア・フィッシング対策と、Defender for Office 365 の Safe Links・Safe Attachments・なりすまし対策が、まとめて推奨値になります。

プリセットを有効にすると、作り込んだ独自のポリシーはどうなりますか？

同じ利用者がプリセットにも含まれる場合、プリセットが優先され、独自のポリシーは使われなくなります。独自のポリシーを残したい利用者は、プリセットの対象から除外するか、対象を重ならないグループで分けます。

Teams のメッセージも守られますか？

Plan 1 では、Teams のリンクを Safe Links でクリック時に確かめ、Teams で共有されたファイルを Safe Attachments で確かめます。配信後に危険と分かった Teams のメッセージを取り除く機能（Teams の ZAP）も Plan 1 に含まれます。

Plan 2 を試すことはできますか？

Microsoft Defender ポータルの試用版のページから、Plan 2 の機能を90日間無料で試せます。試用できる条件は、Microsoft Learn の案内で確かめてください。

メールの保護は、ライセンスをそろえるだけでなく、設定を有効にして運用に乗せて初めて効果を発揮します。現在のライセンスとポリシーの状況をお聞かせいただければ、進め方をご提案します。お問い合わせよりお気軽にご相談ください。

関連サービス・関連コラム

• セキュリティ強化支援（ゼロトラスト）
• クラウド導入支援（Microsoft 365）｜安全で生産性の高い働き方の基盤を構築
• Microsoft 365のメールセキュリティ対策（DMARC編）｜SPF・DKIMを整えてp=rejectまで段階的に強める
• ゼロトラストとは｜中小企業がMicrosoft 365で始めるセキュリティ
• Microsoft 365の端末セキュリティ対策（Defender for Endpoint編）｜P1・P2・Defender for Businessの違いと、入れただけでは効かない設定

まずは無料トライアルで、効果をご確認ください

「AIプライベート」は短期・低コストで試せます。帳票入力（AI-OCR）・電話対応（AI-Voice）・計画づくり（AI-Enhance）の自動化から、クラウド（Azure・Microsoft 365）・DXのご相談まで、お気軽にどうぞ。