CIS Microsoft 365 Foundations Benchmark v7.0.0 で何が変わったか：セキュリティ監査への影響

要点： CIS Microsoft 365 Foundations Benchmark は、独立したテナント監査の多くが基準として使う公開チェックリストです。バージョン 7.0.0 は 2026 年 5 月に公開され、Brocent の一回限りの Microsoft 365 セキュリティ監査は Level 1・Level 2 の両方を測定し、公開サンプルでは 118 項目を評価しています。本記事では、このベンチマークとは何か、何が変わったか、合格率の読み方、そして契約前に提供者へ必ず確認すべき質問を説明します。

テナント診断の提案書に「CIS Microsoft 365 ベンチマーク v7 に基づいて測定」と書かれていたら、その一文が提供者に何を約束させているのかを本記事でお伝えします。ベンチマーク本体は管理者向けの長い文書で、購買担当者向けの解説は細部を省くか、すでにセキュリティチームがある前提で書かれているものがほとんどです。本記事は、監査にお金を払う価値があるかを判断し、届いたレポートを評価しなければならない中小企業の経営者・財務責任者・IT 担当者に向けて書いています。

以下で Brocent 自身の監査に触れる部分は、架空の 14 名の企業を使った公開サンプルレポート（英語ページ）と Microsoft 365 セキュリティ監査の料金ページに基づいています。顧客データは一切含みません。

CIS Microsoft 365 Foundations Benchmark とは何か

Center for Internet Security（CIS）は、OS・クラウドプラットフォーム・アプリケーション向けの設定ベンチマークを公開しています。Microsoft 365 Foundations Benchmark は Microsoft 365 テナント向けのもので、Entra ID、Exchange Online、SharePoint と OneDrive、Teams、Defender、Purview、Intune 管理センターを対象とします。各推奨項目は、対象の設定、あるべき値、その理由、確認手順と修正手順を示します。

単なる堅牢化ガイドではなく監査の尺度として役立つ理由は三つあります。

• Microsoft から独立している。 Secure Score は Microsoft 自身によるテナント評価で、Microsoft がライセンス販売する機能に重みが置かれています。CIS ベンチマークは実務者コミュニティが維持しており、ライセンス構成が変わっても変わりません。
• バージョン管理されている。 各推奨項目には安定した識別子があり、文書全体にバージョン番号が付くため、同じテナントを一年おきに監査しても項目単位で比較できます。
• 自動確認項目と手動確認項目を区別している。 スクリプトで読み取れる設定もあれば、管理者の一覧や条件付きアクセス ポリシー、共有設定を人が見て判断しなければならない項目もあります。ベンチマークが各項目にその区別を付けているので、監査レポートは「検証したもの」と「人がレビューしたもの」を正直に書き分けられます。

Secure Score、CIS ベンチマーク、CISA の ScubaGear の違いについては、別記事 Secure Score・CIS ベンチマーク・ScubaGear の比較にまとめています。本記事はベンチマーク本体に絞ります。

Level 1 と Level 2 は何が違うのか

ベンチマークの各推奨項目には、プロファイル レベルが割り当てられています。

• Level 1 は基本線です。業務のやり方に目立った影響を与えずにリスクを下げる設定で、レガシー認証のブロック、管理者への MFA 必須化、統合監査ログの有効化、匿名共有リンクの無期限化の防止などが含まれます。基本を済ませた中小企業なら、Level 1 はほぼ全項目を満たせるはずです。
• Level 2 は多層防御です。保護は増えますが、利便性を少し犠牲にしたり、上位ライセンスが必要になることがあります。特権ロールへのフィッシング耐性認証、より厳格な条件付きアクセス、Purview のデータ損失防止ポリシー、外部共有の制限などです。一部の Level 2 項目は Business Premium、E3 または E5 でなければ実現できません。

監査がどのレベルまでを対象にするかが重要なのは、Level 1 だけを測ったレポートは立派に見えても、最初のパスワードがフィッシングされた後に攻撃者が使う Level 2 のギャップがテナントに残り続けるからです。サンプルレポートは両レベルを測り、各項目に適用ライセンス プロファイルを付記しているため、Business Premium のテナントが E5 専用項目で不合格にされることはありません。提供者が「CIS に沿っている」と言うときは、Level 1 だけを意味していないかを確認してください。

バージョン 7.0.0 で何が変わったのか

CIS は 2026 年 5 月に Microsoft 365 Foundations Benchmark バージョン 7.0.0 を公開しました。CIS の 2026 年 6 月のベンチマーク更新情報に掲載されており、当社のケント州向け監査ページでも出典として引用しています。

• 新しい識別子体系。 当社が読んだ唯一の公開サマリー（Secure Score・CIS ベンチマーク・ScubaGear 比較記事で紹介）は、新規 21 項目、更新約 55 項目、残りは番号の付け直しと報告しています。これらの数字は CIS の変更履歴と照合していません。番号が変わったため、v6 に基づいて書かれた指摘を旧番号のまま v7 のレポートで探すことはできません。新旧レポートを比較する提供者は識別子の対応付けを行う必要があり、良いレポートはその旨を明記します。
• サンプルレポート自体から分かること。 v7.0.0 のレポートは項目を九つのセクションに分け、Purview、Intune、Fabric が Entra、Exchange、SharePoint、Teams、Defender と並んでいます。当社は CIS の変更履歴を読んでいないため、本記事は v6 が何を対象としていたか、どのガイダンスが書き直されたか、どの項目が廃止されたかについて何も断定しません。それはベンチマーク文書に付属する変更履歴でご確認ください。

購買担当者にとっての実務的な影響は単純です。2026 年に発行されたのにバージョン 6 を引用しているレポートは、Microsoft の管理センターと噛み合わなくなったチェックリストで測られています。バージョンは書面で確認してください。

監査はベンチマークをどう使うのか

監査はベンチマークの読み上げではありません。ベンチマークは監査人に設定の一覧と各項目の目標値を与え、監査はそこに四つのことを加えます。

1. 実際の構成を読み取り専用で取得する。 Brocent の監査は、お客様のグローバル管理者が一度だけ同意する Microsoft Graph アプリケーションを使います。設定とレポートを読むだけで、メールやファイルの内容は読みません。終了後は Entra から削除できます。
2. 機械で読める設定は自動確認する。 ポリシーのエクスポート、レポートの行、取得日といった証拠を添えて合格・不合格を出します。
3. ベンチマークが人の判断を求める箇所は手動でレビューする。 誰がグローバル管理者を保持し、それが今も必要か。緊急アクセス アカウントは本当に保護されているか。正しく見える条件付きアクセス ポリシーに、社員の半分を静かに外している除外グループがないか。これらはスキャナーでは出せない指摘で、サンプルレポートは合格をでっち上げる代わりに「手動」と記しています。
4. 重大度、工数、優先順位。 三十件の不合格のどれを先に直すかはベンチマークは教えてくれません。レポートは段階的な計画とともにそれを示します。

委託前に自己点検したい場合は、Microsoft 365 セキュリティ監査チェックリストがレポートと同じ順序で 12 の領域を辿ります。

セクション別の合格率はどう読むのか

サンプルレポートは詳細な指摘の前に、ベンチマーク結果を一つの表に要約しています。その数字では、118 項目を評価し、72 項目が合格、31 項目が不合格、9 項目が手動レビュー要、6 項目が該当なしです。合格率は「合格 ÷（合格＋不合格＋手動）」で、該当なしの項目は加点も減点もしません。サンプルの各セクションは次のとおりです。

• §1 Microsoft 365 管理センター： 合格 9、不合格 3、手動 1、69%。未使用ライセンスやセルフサービス購入など、テナント全体の衛生項目が中心です。
• §2 Microsoft Defender： 合格 13、不合格 4、手動 1、72%。フィッシング対策、安全なリンク、安全な添付ファイルのポリシーと、プリセット ポリシーが既定のままかどうかです。
• §3 Microsoft Purview： 合格 4、不合格 5、手動 1、40%。サンプルで最も低いセクションです。監査ログの保持、DLP、秘密度ラベルは小規模テナントが最も手を付けていない項目です。
• §4 Microsoft Intune 管理センター： 合格 2、不合格 2、50%。デバイスの状態は別の Intune デバイス監査の対象なので、ここでは項目が少なくなっています。
• §5 Microsoft Entra 管理センター： 合格 19、不合格 9、手動 2、該当なし 1、63%。最大のセクションで、サンプルの三つの重大な指摘のうち二つ、MFA から除外されたグローバル管理者の緊急アクセス アカウント（F-01）と、レポート専用のままのレガシー認証ブロック（F-03）がここにあります。恒久的に割り当てられた管理者（F-04）は「高」の指摘です。
• §6 Exchange 管理センター： 合格 12、不合格 4、手動 1、71%。メール フロー、転送、SMTP AUTH、メールボックス監査です。
• §7 SharePoint 管理センター： 合格 7、不合格 3、手動 2、58%。外部共有の既定値と「すべてのユーザー」リンクです。
• §8 Microsoft Teams 管理センター： 合格 6、不合格 1、手動 1、該当なし 1、75%。外部アクセスと会議ポリシーです。
• §9 Microsoft Fabric（Power BI）： 該当なし 3。サンプル企業は使用していないため、合格と数えるのではなく該当なしとして報告されています。

この表から三つの読み方が導けます。第一に、全体の 64%（レポート冒頭のタイルは該当なしを分母に含めるため 61% と表示）より分布の形が重要です。顧客の身分証明書を扱う企業の Purview が低いことと、Fabric を使わない企業の Fabric が低いことは、まったく別の問題です。第二に、「手動」は軟らかい不合格ではなく、人が見て記録したことを意味し、詳細な指摘が結論を示します。第三に、項目数の少ないセクションは一つの変更で大きく振れるため、二回の監査を比べるときは割合だけでなく件数を見てください。

契約前に提供者へ何を聞くべきか

一つの質問でほとんどが片付きます。「レポートは CIS Microsoft 365 Foundations Benchmark のどのバージョンに基づいて測定され、表紙にバージョンを明記するか」です。「最新版」と数字なしで答えられたら、数字を求めてください。2026 年後半にバージョン 6 と答えられたら、理由を聞いてください。7.0.0 と答えられたら、Level 1 と Level 2 の両方が範囲に入るか、手動項目をどう報告するかを聞いてください。

残りは、どのベンチマークであっても監査の購買者が聞くべき質問です。アクセス権の付与と削除の方法、レポートの内容、所要期間、費用。Brocent の回答は公開されています。読み取り専用の Graph アプリケーション、証拠として使えるよう設計されたレポートとワークブック、同意から 5〜7 営業日での納品、人数別の固定料金（1〜10 名 US$450 から 76〜150 名 US$2,900 まで、それ以上は個別見積もり）です。Microsoft 365 セキュリティ監査とはで工程全体を解説しています。

Secure Score、CIS Level 1、CIS Level 2：どの指標が必要か

• Microsoft Secure Score： テナントに組み込まれ、継続的に更新され、推移を見るのに向いています。Microsoft の API が公開する範囲しか見えず、Microsoft の推奨に沿って採点するため、手動項目は見えず、ライセンス機能を評価しがちです。
• CIS Level 1： 独立した基本線です。一度もレビューされていないテナントが、証拠付きの基本項目一覧を得るのに向いています。Level 1 が高く Level 2 が低いのは、中小企業では一般的で正直な結果です。
• CIS Level 2： 保険会社や大口顧客の質問票が尋ねがちな項目まで含む全体像です。規制業種、サイバー保険を更新する企業、Level 1 のギャップをすでに埋めたテナントに向いています。

Brocent の一回限りの監査は Level 1 と Level 2 を同時に測り、Secure Score も併記するため、一度の委託で三つの数字が揃い、ご自身で突き合わせる必要がありません。

よくある質問

CIS Microsoft 365 Foundations Benchmark の文書は有料ですか

いいえ。CIS のサイトで登録すればベンチマーク文書を入手でき、料金はかかりません。費用がかかるのは、118 項目をお客様のテナントと照合し、手動項目を判断し、証拠を添えて書き上げる時間であり、それが監査の対価です。

CIS ベンチマークを満たせば何らかの認証や法令要件を満たしたことになりますか

なりません。レポートもそう書くべきではありません。ベンチマークは設定基準であり、法律でも認証制度でもありません。それに基づいて測定した監査レポートは、保険会社、顧客の質問票、Cyber Essentials の審査機関に回答する際の証拠として使えるよう設計されたものであり、いずれかの結論を認証・充足・保証するものではありません。

Brocent の監査はどの CIS バージョンを使っていますか

CIS Microsoft 365 Foundations Benchmark バージョン 7.0.0 です。サンプルレポートの表紙にバージョンを明記し、結果表に 118 項目という件数を示しています。CIS が新バージョンを公開した際も、レポートには測定の基準としたバージョンを記載し、二つのレポートを正直に比較できるようにします。

昨年バージョン 6 で監査を受けました。結果は比較できますか

部分的に可能です。v7.0.0 は推奨項目の番号を付け直したため、比較は識別子ではなく項目ごとに行う必要があり、少数の項目が廃止または追加されています。再監査を行う提供者はその対応表を提供すべきで、お客様に任せるべきではありません。

Business Premium しかなくても Level 2 は必要ですか

Level 2 の多くの項目は、Entra ID P1、Intune、Defender for Business を含む Business Premium で実現できます。レポートは各項目に適用ライセンス プロファイルを付記するため、本当に E5 が必要な Level 2 項目は不合格ではなく該当なしと表示されます。

監査の所要期間と費用はどのくらいですか

グローバル管理者が読み取り専用アプリケーションに同意してから 5〜7 営業日でレポートをお届けします。料金は人数別の固定額で、1〜10 名 US$450、11〜25 名 US$990、26〜75 名 US$1,800、76〜150 名 US$2,900、150 名超は個別見積もりです。

スキャナーで監査の代わりになりますか

スキャナーは自動項目を確認し、数分で合格・不合格の一覧を出せます。しかし手動項目を判断することも、何を先に直すか決めることも、技術に詳しくない経営者に指摘を説明することもできません。サンプルレポートでは 9 項目が手動レビューを必要とし、最上位の指摘（F-01）は除外グループのメンバーを読んで初めて分かるものでした。合格・不合格式のスキャナーにはできない判断です。

次のステップ

契約前に v7.0.0 の結果がどのように提示されるかを確かめたい場合は、Microsoft 365 セキュリティ監査のサンプルレポート（英語ページ）をオンラインでお読みください。PDF と Excel ワークブックは短いフォームの後に入手できます。範囲と人数別の固定料金は監査料金ページに掲載しています。お客様のテナントの見積もりはコンサルタントにご相談ください。