Blog
ブログ
Teamsの監査ログで何がわかる？情シス向けユーザー操作の確認方法
2026.09.18
「重要なチームが突然消えたが、誰が削除したかわからない」「退職予定者が機密ファイルを大量にダウンロードしている疑いがある」。
トラブルが発生した際、ユーザーの証言だけに頼るのは危険です。確固たる証拠となるのが“Microsoft 365の監査ログ”です。
この記事では、Teamsにおける監査ログの仕組み・情シスが確認できる具体的な操作内容・いざという時のログ抽出手順を、現場のインシデント調査で直ちに使える形で整理しました。
結論：Teamsの監査ログは「Microsoft Purview」で確認する
Teamsで「誰が・いつ・何をしたか」を調べる場合、Teams管理センターを開いても詳細な履歴はわかりません。
- 原則1：確認場所は「Microsoft Purview コンプライアンスポータル」の「監査」メニュー
- 原則2：Teams単体ではなく、M365全体（SharePointやEntra ID含む）の統合ログとして追跡する
- 原則3：デフォルトの保持期間は180日（※ライセンスにより異なる）
- 原則4：出力されるログはCSV形式だが、詳細データはJSON形式で記録されている
つまり、Teamsの監査ログ調査は「Purviewで適切な条件を指定して検索し、抽出したデータを読み解く作業」となります。
Teams監査ログとは？
Teams監査ログは、Microsoft 365の統合監査ログ（Unified Audit Log）の一部として記録される「ユーザーと管理者の操作履歴」です。
チームの作成・削除、メンバーの追加、設定変更といったTeams固有のアクティビティはもちろん、Teams上で共有されたファイルに対する操作（ダウンロードや削除）も、バックエンドであるSharePoint/OneDriveのログとして統合的に記録されます。
監査ログが記録するのは「操作の事実（イベント）」です。チャットの“本文”や通話の“音声データ”が記録されるわけではありません。（本文の調査には電子情報開示を使用します）
なぜ監査ログが必要か（情シスでよくある“詰み”）
ログの取り方を知らないと起こるトラブル
- 「誤ってチームを消した」と連絡が来たが、誰の操作か証明できず再発防止策が打てない
- 外部ゲストが不正にファイルをダウンロードした疑惑があるが、推測の域を出ない
- 管理者が意図せず全体設定を変更してしまい、いつ・どの設定を変えたか戻せなくなる
- 問題発生から半年以上経過して調査を依頼されたが、ログの保存期限が切れていて「何もわかりません」と回答するしかない
証拠がなければ、情シスはユーザー同士の言った言わないのトラブルに巻き込まれます。客観的なシステムログをいつでも出せる体制が情シスを守ります。
よくある誤解の整理
よくある誤解（情シスとユーザーの認識ギャップ）
- 「Teams管理センターを見れば誰が消したかわかる」→ ❌（管理センターには詳細ログはありません。Purviewを使います）
- 「ログはずっと残っているから数年前の調査も可能」→ ❌（標準ライセンスでは180日で消えます）
- 「監査ログを見れば、ユーザーがチャットで悪口を書いたかわかる」→ ❌（メッセージを送信した事実はわかりますが、内容はログに載りません）
- 「退職者のアカウントを消したらログも消える」→ ❌（アカウントを消しても、そのユーザーが過去に行った操作ログは期間内であれば検索可能です）
監査ログは万能ではなく、「何のアクティビティを、いつまで追跡できるか」を正しく把握しておく必要があります。
情シスが監査ログで確認できる具体的な操作（4分類）
① チーム・チャネルのライフサイクル
- チームの作成 / 削除（Deleted team）
- チャネルの追加 / 削除 / 復元
- チームの設定変更（ゲスト許可の変更など）
② ユーザーと権限の管理
- チームへのメンバー追加 / 削除（Added member / Removed member）
- ロール（所有者・メンバー）の変更
- 外部ゲストの招待と承諾
③ ファイルとデータ操作（※SharePointログとして検索）
- ファイルのアップロード / ダウンロード（Downloaded file）
- ファイルの削除 / 復元（Deleted file）
- 外部への共有リンクの作成とアクセス
④ アプリと会議のアクティビティ
- Teamsへのサードパーティアプリのインストール
- ボットの追加
ライセンス別 ログ保持期間の違い（比較表）
インシデント発覚時に「ログが消えていた」という事態を防ぐため、自社のライセンスと保持期間を把握することが重要です。
| 監査バージョン | 主な対象ライセンス | ログ保持期間 | 特徴 |
|---|---|---|---|
| Audit (Standard) | Microsoft 365 E3 / Business Premium など | 180日（約6ヶ月） | 標準で有効。半年以上前の調査は不可。 |
| Audit (Premium) | Microsoft 365 E5 / E5 Compliance など | 1年（追加設定で最長10年可能） | より高度な監査イベント（メールアクセス等）も記録可能。 |
セキュリティインシデントと監査ログ活用（情シス向け対応表）
「何が起きたか」に対して「どのログを検索すべきか」の対応表です。
| 発生したトラブル・疑惑 | 検索すべきアクティビティ（Purview上） | 情シスが調査するポイント |
|---|---|---|
| チームが消滅した（誰が消したか特定したい） | Microsoft Teams アクティビティ → Deleted team |
操作したユーザーアカウントと発生日時を特定 |
| 退職者が機密データを持ち出していないか | ファイルとページのアクティビティ → Downloaded file |
特定のユーザーを指定し、短期間に大量のダウンロード記録がないか確認 |
| 見知らぬ外部ゲストが参加している | Microsoft Teams アクティビティ → Added member |
社内のどのユーザーが、いつそのゲストを招待・追加したか特定 |
| 野良アプリがインストールされた | Microsoft Teams アクティビティ → Installed app |
どのチームに何のサードパーティアプリが追加されたか確認 |
監査ログの検索・抽出フロー
実際に調査依頼が来た際、情シスが手を動かすステップです。
抽出されたCSVのAuditData列はJSON形式で記述されており、そのままでは非常に読みづらいです。ExcelのPower Query機能や、PowerShellスクリプトを使って展開（パース）するスキルが求められます。
情シスの1日の運用例（インシデント調査対応）
例：「プロジェクトの重要ファイルが消えた」と現場からSOSがあった場合
- 11:00：現場から「ファイルタブにあった資料が丸ごと消えた」と連絡を受領
- 11:15：Purview監査を開き、対象チームのSharePointサイトURLと
Deleted fileアクティビティを条件に検索開始 - 11:45：検索完了。結果をCSV出力し、特定のメンバーが前日の夜に一括削除操作をした事実を確認
- 13:00：対象メンバーの誤操作と断定。SharePointの第1段階ゴミ箱から対象ファイルを一括復元
- 14:30：現場へ復旧完了を報告。同時にログの事実を共有し、今後の操作注意を促す
特徴：ログ調査は原因特定のためだけでなく、復旧作業をどこから（ゴミ箱か、バックアップか）どう行うかを判断する材料になります。
30日 監査ログ運用開始ロードマップ
インシデントが起きてから慌てないため、平時に監査ログの運用基盤を整えるステップです。
あなたの組織の監査ログ準備度チェック
トラブル時に「証拠を出せる」状態か確認しましょう。
- 自社のM365ライセンスにおけるログの保持期間（180日か1年か）を正確に知っている
- Microsoft Purviewへのアクセス権限を持つ管理者が社内に複数名いる
- Teamsのファイル操作を調べる際は、SharePointのアクティビティを検索すべきだと理解している
- CSV出力された監査ログの"AuditData"（JSON形式）をExcel等で読みやすく成形する手段を持っている
「いいえ」がある場合は、平時のうちに一度テスト検索とCSVの解析を体験しておくことを強くおすすめします。
管理に必要なスキルと設定知識
必須になりやすい領域
- Microsoft Purview コンプライアンスポータルの操作
- PowerShell（
Search-UnifiedAuditLogコマンドレットを用いた大量ログの自動抽出） - Excel / Power Query（複雑なJSONデータを表形式に展開・フィルタリングするスキル）
- M365のアーキテクチャ理解（Teamsの裏でSharePointやExchangeがどう動いているかの知識）
役立つ資格・関連機能
評価されやすいカテゴリ
- SC-400（Microsoft Information Protection Administrator）
- MS-102（Microsoft 365 Administrator）
- アラートポリシー機能（Purview内で、特定の監査イベントが発生したら情シスにメール通知を飛ばす機能）
運用をどう始めるか？
監査ログは「見に行く」だけでは時間がかかります。まずは手動検索に慣れ、次に自動通知（アラート）を仕掛けるのが王道ルートです。
おすすめの順番（実務への定着ルート）
目指すべき運用体制
- 事後調査（リアクティブ）だけでなく、アラート通知による事前検知（プロアクティブ）を組み合わせる
- 「監視されている」というネガティブな印象ではなく、「不正から社員を守り、誤操作はすぐに直せる」という安心感として社内にアピールする
- 監査ログの検索権限は強力なため、情シス内でも特定の管理者のみに最小特権で付与し、管理者の操作自体も監査対象とする
高度な情報ガバナンス（自動アラート）への展開
Purviewの監査ログを使いこなせるようになれば、より高度なセキュリティ監視（SOC）業務へステップアップできます。
- 単なるログ検索 → Purviewのアラートポリシーによる異常検知の自動化
- Microsoft Defender for Cloud Apps連携による、シャドーITや異常なログイン場所からのアクセスブロック
- Microsoft Sentinel（SIEM）へM365監査ログを取り込み、社内の他ネットワーク機器ログと相関分析を行うゼロトラスト監視基盤の構築
よくある質問（FAQ）
近年作成された多くのMicrosoft 365テナントではデフォルトで有効になっています。しかし、古いテナントの場合は無効のままになっていることがあるため、必ずPurviewで「ユーザーと管理者のアクティビティの記録を開始する」設定がオンになっているか確認してください。
操作が行われてから監査ログに検索結果として反映されるまで、通常30分〜最大24時間程度のタイムラグが発生します。直前の操作はすぐには表示されない点に注意してください。
監査ログでは「メッセージを送信した」「メッセージを編集した」というイベント（行為）のみが記録され、本文のテキストは記録されません。会話の内容を調査したい場合は、Purviewの「電子情報開示（eDiscovery）」を使用する必要があります。
Teamsの監査ログは、情シスがインシデント（データの消失や不正持ち出し）の原因を客観的に特定するための最強の武器です。
成功の鍵は、問題が起きてから慌てるのではなく、「Purviewで検索できること」「ログには保持期間があること」「CSVの解析方法」を事前に習得しておくことにあります。
まずは“平時のうちに一度、自分のテスト操作をPurviewで検索してみる”ところから始めてみてください。
※本記事は一般的な情報提供を目的としています。実際の設定にあたっては、組織のコンプライアンス要件やM365のライセンス状況に沿って設計・検証を行ってください。
▼ITフリーランス・エンジニア案件をお探しの方
ジェイテックフリーランスへ →
▼ 採用情報はこちら
採用情報ページへ →
▼ Microsoft 365 / AI導入のご相談
お問い合わせフォームへ →