SharePoint OTP廃止：外部共有がガバナンスとコストの課題になる理由
SharePointやOneDriveを通じて組織が外部にファイル共有を行うたびに、その履歴が企業ディレクトリに恒久的に記録される時代が目前に迫っています。これは仮想的なリスクシナリオではなく、Microsoftがすでに展開を開始しているライセンスとIDの変更による機械的な結果であり、2026年10月までに全面適用されます。
これまで、SharePoint Onlineを利用してサプライヤーや監査人、外部弁護士にファイルを送信する際は、ワンタイムパスコード（OTP）リンクを生成できました。受信者はメールや電話に届いたコードを入力し、ファイルを開き、組織のID基盤には一切触れませんでした。しかし、この選択肢は廃止されます。MicrosoftはOTPベースの外部共有を終了し、すべての外部共有をEntra B2B経由に切り替えます。これにより、外部受信者ごとにEntra企業ディレクトリ内にゲストオブジェクトが作成され、場合によってはライセンス管理やガバナンス、課金の対象となります。
Microsoftはこれをセキュリティの後退とは位置付けておらず、実際にもそうではありません。条件付きアクセス、多要素認証、ゲストの監査ログ集中管理は、匿名パスコードリンクよりも本質的なガバナンス強化です。しかし、IT・セキュリティ・コンプライアンス部門にとっては、これまでディレクトリに痕跡を残さなかったプロセスが、今後は受信者ごとに必ず履歴を残す運用現実となります。1年間でやり取りする請負業者、監査人、患者、申請者、サプライチェーンパートナーの数を掛け合わせると、その変化の規模が明らかになります。
本記事では、何がどのように変わるのか、多くの組織がすでに抱えているゲストIDの実態を過小評価している理由、新しいガバナンスモデルの実際のコスト、そして専用の外部データ交換レイヤーを導入することで、監査・コンプライアンス要件を満たしつつゲストスプロール問題を完全に回避する方法を解説します。
主なポイント
1. SharePointとOneDriveのOTPベース外部共有が廃止されます。
フェーズ2は2026年10月1日〜31日に大半の本番テナント（GCC、GCC High、DoD環境は後日）で適用され、それ以降はすべての外部共有がEntra B2Bゲストアカウントを作成し、オプトアウトはできません。
2. ゲストガバナンスにはゲストごとの課金が発生し、無料枠はありません。
アクセスレビューやライフサイクルワークフロー、エンタイトルメント管理をゲストに適用すると、管理対象ゲスト1人あたり月額約$0.75が発生します。この課金は、月間アクティブユーザー5万人の無料コラボレーション枠内でも適用されます。
3. ゲストIDは想像以上の速さで増加します。
長年のアドホックなファイル共有により、多くのテナントでは従業員数の2〜4倍のゲストアカウントが存在し、その大半は「シャドーゲスト」としてチームやグループ、レビューサイクルに追加されていません。
4. ゲストを保護するためのライセンス費用が高騰しました。
外部IDのガバナンスに必要なConditional AccessやIdentity Protectionを提供するEntra ID P1/P2は、2026年7月1日に値上げされました。
5. 管理された外部データ交換レイヤーでトレードオフを回避。
Kiteworksなら、外部関係者が自社のビジネスメールでコラボレーションでき、ディレクトリゲストを作成せずに、規制対象データ交換に必要な監査証跡とコンプライアンス証拠を生成できます。
SharePoint外部共有で実際に何が変わるのか
3つのMicrosoftの変更がほぼ同時期に適用され、相互に影響し合います。単体では大きな変化に見えなくても、組み合わさることで、外部とファイルを共有する際のコスト（費用・管理工数）が大きく変わります。
まず、OTP廃止自体について。Message Center通知MC1243549で案内されている通り、SharePoint Onlineの外部共有用ワンタイムパスコード認証が段階的に廃止されます。フェーズ1はすでに開始されており、新規の外部共有はパスコードリンク発行ではなくEntra B2B経由となりました。フェーズ2は2026年10月1日〜31日に標準商用テナントで適用され、オプトアウト設定が完全に無効化されます。これにより、現在B2B連携をオフにできているテナントも、今後はその設定が機能しなくなります。政府クラウド（GCC、GCC High、DoD）は後日対応予定です。フェーズ2以降、既存のOTPリンクを持つ外部受信者は、対応するゲストアカウントがなければリンクが通知なく無効化されます。
次に、ゲストガバナンス課金（MC1225192参照）について。2026年1月30日以降、アクセスレビューやライフサイクルワークフロー、エンタイトルメント管理承認、またはゲストを「管理対象」とする場合、Azureサブスクリプションの連携が必須となり、管理対象ゲスト1人あたり月額約$0.75が発生します。この課金には無料枠がなく、基本的なゲストコラボレーションが無料で提供される月間アクティブユーザー5万人未満のテナントでも適用されます。ゲスト全体に四半期ごとにアクセスレビューを実施すると、1ゲストあたり$0.75の課金が四半期ごとに繰り返されます。
さらに、ゲストを保護するためのライセンス費用も同時に値上げされました。2026年7月1日から、Entra ID P1は月額約$6から$7、P2は約$9から$10に値上げされ、これらをバンドルしたMicrosoft 365 E3/E5スイートも同様に値上げされています。これらのライセンスは、OTP廃止で新たに生まれるゲスト人口をガバナンスするために必要なConditional AccessポリシーやIdentity Protectionシグナル、アクセスレビュー機能を提供します。
いずれも外部ユーザー招待の禁止ではなく、その点は正確に理解すべきです。月間アクティブユーザー5万人枠内での基本的なゲストコラボレーションは無料で、招待できるゲスト数に上限はありません。変わったのはより限定的で、かつ多くの組織にとって重大な点です。外部共有の最も簡単な方法がディレクトリIDの作成にデフォルト化され、そのIDに対して最低限以上の操作を行うにはコストが発生するようになった、ということです。
業界別 セキュアファイル共有の最適な活用事例は？
Read Now
シャドーゲスト問題：なぜ多くのテナントは従業員数よりゲストが多いのか
OTP廃止によってゲストスプロール（無秩序なゲスト増加）が突然生まれるわけではなく、多くの組織がすでに抱えている問題が表面化し、期限付きで対応を迫られる形です。Entra B2Bの導入を追跡している業界アナリストによれば、長年アドホックな外部共有を続けてきたテナントでは、従業員数の2〜4倍のゲストアカウントが存在するのが一般的です。これらのアカウントは、多くの管理されていないシステム同様、静かに1ファイル共有ずつ積み重なり、誰も整理を担当しないまま増えていきます。
これらを「シャドーゲスト」と呼びます。チームやグループベースのアクセスレビューに追加されたことがなく、多くの場合、数年前の単発ファイル交換のためだけに作成され、その後忘れ去られています。標準的なアクセス制御やガバナンストゥールは、何らかの管理フローに可視化されているゲスト（プロジェクトやチーム、レビューサイクルに割り当てられているゲスト）を前提に設計されていますが、シャドーゲストはそのワークフローに現れず、誰かが意図的に探しに行くまで見つかりません。
OTP廃止のフェーズ1がすでに進行中の今、新規の外部共有ごとにゲストオブジェクトが作成されるため、シャドーゲスト問題は水面下でさらに深刻化しています。2026年10月のフェーズ2でオプトアウトが廃止される頃には、ゲストディレクトリの棚卸しを積極的に行っていないテナントは、想定よりはるかに多いゲスト人口をコストをかけて管理するか、管理できずにリスクを抱えるか、いずれかを選ばざるを得なくなります。
この問題が重要なのは、データガバナンスプログラムが通常、既知かつカタログ化された資産やIDを前提に構築されているためです。数千件もの未管理ゲストアカウントを静かに抱え、各アカウントが共有ファイルやフォルダーへの潜在的なアクセス経路となっているディレクトリは、OTP廃止以前から存在していたガバナンスギャップであり、今後は回避できない課題となります。
ゲストスプロール管理の隠れたコスト
5,000件のアクティブ外部ゲストアカウントを持つ中規模組織で計算すると、コストはもはや誤差では済みません。四半期ごとのアクセスレビューでガバナンスを行う場合、1ゲストあたり1回$0.75、年間4回で$3、5,000ゲストならガバナンス課金だけで年間$15,000にのぼります。これに加え、機能有効化に必要なAzureサブスクリプション、ゲストIDのConditional Access運用に必要なEntra P1/P2ライセンス、レビュー実施の管理工数も発生します。
コスト回避のために有料ガバナンス層を利用しない場合も、無料にはなりません。期限切れ管理やアクセスレビュー、オフボーディングは管理者が手作業やPowerShellスクリプトで対応する必要があり、コスト重視の組織にとって現実的な選択肢ですが、MicrosoftのAPIやライセンスモデルの変化に合わせて継続的なエンジニアリング対応が求められます。
いずれの方法も、外部コラボレーションの規模に比例してコストが増加します。つまり、ゲストごとに課金・管理されるガバナンスモデルでは、ビジネスがパートナーや顧客、請負業者、サプライヤーとの関係を拡大するたびにコストも増大します。すでにサードパーティリスク管理プログラムを大規模に運用している組織は、10月の切り替え前にこのコストカーブを試算しておくべきです。
これはライセンスだけでなくコンプライアンスの問題でもある
規制対象組織にとって、ゲストガバナンスの変化は単なる予算項目ではなく、監査リスクでもあります。金融、医療、ライフサイエンス、防衛サプライチェーン、政府請負業者は日常的に機密データを外部と共有しており、その多くはアクセス認証・範囲・ログ管理の方法を厳密に定めたコンプライアンスフレームワークに準拠しています。
SharePoint Onlineの外部共有モデルもログを生成しますが、これらはMicrosoft 365の広範な監査サブシステム内に保存されており、監査証跡としてCMMC評価パッケージやHIPAA侵害調査、FedRAMPシステムセキュリティ計画にそのまま使えるよう設計されていません。特にSharePoint Online自体はFedRAMP認証を取得できず、どの共有方法を使ってもこのギャップは埋まりません。外部データへのアクセス履歴を完全かつ標準化された証拠として残す必要がある組織にとって、未管理のシャドーゲストがディレクトリに溜まる状況は、監査人が必ず指摘するリスクです。
このように、OTP廃止とガバナンス課金はHIPAAコンプライアンス、GDPR、ISO 27001、CMMC 2.0コンプライアンスなどの要件とも密接に関わります。これらのフレームワークは、最小権限の外部アクセス、明確なデータ保持・期限管理、監査証跡として実際に利用できる証拠を求めており、個別の共有・メール・コラボレーションサブシステムに分散したログでは不十分です。誰も追跡していないゲスト人口が膨れ上がった理由を、評価面談で説明するのは困難です。
別のアプローチ：ゲストアカウントを作らない管理型外部コラボレーション
ゲストスプロールとゲストごとのガバナンス課金、どちらかを選ぶのではなく、日常的な外部共有でそもそもゲストIDを生成しないという選択肢があります。これがKiteworksセキュアデータ交換の設計思想です。外部受信者は自社のビジネスメールで認証・コラボレーションし、Kiteworks独自のディレクトリで管理されるため、顧客のEntra企業ディレクトリにガバナンス対象IDが作られることはありません。
単発や頻度の低い受信者も、従来通りSMSやメールのパスコードで認証できるため、パスコードベースのアクセスに依存した業務もSharePointのOTP廃止後も継続可能です。すべての共有には有効期限・最小権限・ライフサイクル自動クリーンアップが組み込まれており、個別ゲスト課金ではなく中央ポリシーで管理されます。このポリシーレイヤーはABACと、より一般的なRBACのフォルダーレベル制御を組み合わせており、データの機密性や受信者属性に応じたアクセス制御が可能です。
すべての外部やり取り（ファイル共有、セキュアメール、マネージドファイル転送、API連携）は、サブシステムごとに分散せず、1つの標準化・改ざん不可な監査ログに記録されます。これはCMMC、HIPAA、GDPR、ISO 27001評価で求められる完全かつ保持された証拠そのものです。データのコントロールを維持したい組織は、顧客管理型暗号鍵や、強化された仮想アプライアンスによるオンプレミス、シングルテナントクラウド、エアギャップ運用も選択でき、アップグレードやメンテナンスのタイミングも自社でコントロール可能です。
Microsoft 365を捨てる必要はありません。Microsoft Office 365プラグインやSharePoint・OneDriveへのリポジトリゲートウェイが用意されており、社内業務は従来通りのツールで継続しつつ、外部連携だけを専用レイヤーに移行できます。特に大容量ファイルやCAD、画像データ、研究データセットなどをやり取りする場合も、サイズ制限による非公認ツール利用のリスクを排除できます。また、ファイルを実際に手元にダウンロードさせずにレビューだけさせたい場合は、ポゼッションレス編集機能で外部関係者がコピーを保持せずに文書作業を行えます。
コンプライアンス重視の評価で重要となる証拠も明確です。FedRAMP High認証は現在申請中で、2017年から継続してFedRAMP Moderate認証を維持、FIPS 140-3認証暗号化、SOC 2 Type II、CMMCレベル2要件の90%を標準サポートしています。金融・医療・政府向けの業界別プログラムも同じゼロトラスト・アーキテクチャを基盤としており、ガバナンスモデルを業界ごとに再構築する必要がありません。
2026年10月の期限までにやるべきこと
OTPベースのSharePointリンクに依存している組織は、対応できる期間が限られています。
まずは棚卸しから始めましょう。多くのテナントは、長年のアドホック共有で生まれたシャドーゲストの全数把握を一度も行っておらず、実際のリスク（$0.75/ゲストのガバナンスコストと、誰もレビューしていないアカウントのコンプライアンスリスク）を把握する唯一の方法です。次に、OTPリンク廃止でサイレントにアクセス不能となる外部受信者を特定し、サポートチケットで発覚する前に移行や通知を行いましょう。より難しい判断は、どの外部共有をMicrosoft 365のEntra B2Bゲスト関係で継続し（既知パートナーとの継続的なコラボレーションに適しています）、どの共有をセキュアファイル共有レイヤーに移すかを意図的に決めることです。このレイヤーなら単発や大量の外部交換でもディレクトリに痕跡を残しません。
この3つ目の判断が最も重要です。なぜなら、ゲストガバナンスコストが今後もビジネス成長に比例して増え続けるのか、今の段階で抑制できるのかが決まるからです。2026年7月1日以降にMicrosoft 365の更新を控えている組織は、更新交渉のタイミングで外部レイヤー導入による将来コストの抑制を検討する絶好の機会です。
OTP廃止前に外部コラボレーションのガバナンスと予測可能性を高める方法について詳しく知りたい方は、カスタムデモを今すぐご予約ください。
よくある質問
Microsoftは、SharePoint OnlineおよびOneDriveの外部共有におけるワンタイムパスコード（OTP）認証を廃止します。フェーズ1では新規外部共有がすでにEntra B2B経由になっており、フェーズ2（オプトアウト不可）は2026年10月1日〜31日に大半の商用本番テナントで適用されます（GCC、GCC High、DoD環境は後日）。フェーズ2以降、すべての外部共有で組織のEntra企業ディレクトリにゲストIDが作成され、既存のOTPリンクも対応するゲストアカウントがなければ利用できなくなります。これはMicrosoft管理者向けの備考ではなく、規制コンプライアンスの期日と同様、確定した締切として扱うべきです。
いいえ。月間アクティブユーザー5万人枠内での基本的なゲストコラボレーションは無料で、招待できる外部ユーザー数にも上限はありません。変わったのは、従来OTPでIDが作成されなかった通常の外部共有が、今後は必ずディレクトリゲストIDを生成する点と、プレミアムガバナンスやアクセスレビュー、ライフサイクルワークフロー、エンタイトルメント管理を適用する際に無料枠なしでゲストごとに課金が発生する点です。今回の変更はガバナンスやIDアーキテクチャの問題であり、アクセス制限ではありません。監査証跡要件を評価する際は、まずディレクトリ管理の観点から検討してください。
ガバナンス課金は、管理対象ゲスト1人あたり月額約$0.75で、プレミアムガバナンス機能・アクセスレビュー・ライフサイクルワークフロー・エンタイトルメント管理をゲストアカウントに適用するたびに発生し、無料枠はありません。四半期ごとにアクセスレビューを実施する場合、ゲスト1人あたり年4回課金されます。さらに、2026年7月1日からEntra ID P1（約$6→$7/月）、P2（約$9→$10/月）も値上げされ、これらはゲスト保護に必要なConditional AccessやIdentity Protection機能を提供します。大規模な外部人口を管理する場合、コストは急速に増加します。KiteworksセキュアMFTやセキュアファイル共有の導入と比較し、予測可能なライセンス費用とゲストごとの課金をモデル化できます。
ガバナンス課金を回避しても、ゲスト人口自体はなくなりません。期限管理や定期的なアクセスレビュー、オフボーディングは管理者が手作業でアカウント管理したり、PowerShellスクリプトでガバナンス操作を自動化したりする必要があります。この方法は直接的なライセンスコストを抑制できますが、継続的な管理工数が発生し、根本的なデータガバナンスギャップ（アドホック共有で増え続けるシャドーゲスト、統一ポリシーや監査ログの欠如）は残ります。
Kiteworksは外部受信者を顧客のEntra企業ディレクトリではなく自社ディレクトリで管理するため、パートナーや顧客、請負業者は自社のビジネスメールや、単発アクセス用のSMS/メールパスコードで認証し、顧客テナント内のライセンス管理・ガバナンス対象IDにはなりません。すべての共有には有効期限・最小権限・ライフサイクルクリーンアップが中央ポリシーで適用され、改ざん不可な監査ログに記録されます。これはCMMC 2.0コンプライアンスなどのフレームワークに必要な証跡です。Microsoft Office 365プラグインやリポジトリゲートウェイで、社内のMicrosoft 365ワークフローはそのまま、外部連携のみこの管理レイヤーに移行できます。
追加リソース
- ブログ記事
エンタープライズ向けセキュアファイル共有ソリューション5選 - ブログ記事
ファイルを安全に共有する方法 - 動画
Kiteworks Snackable Bytes：セキュアファイル共有 - ブログ記事
セキュアファイル共有ソフトウェアに必要な12の要件 - ブログ記事
エンタープライズとコンプライアンス向け最も安全なファイル共有オプション