ClaudeでMicrosoft 365セキュリティ監査レポートを改善ロードマップにする方法

要点： Claudeを使えば、Microsoft 365のセキュリティ監査レポートを数分で改善ロードマップの下書きにできます。指摘をリスクと工数で分類し、段階に分け、各項目に担当者と依存関係を付けます。ただしClaudeが扱うのは渡したテキストだけで、テナントに接続することも、設定を1つでも確認することもありません。貼り付ける前にテナントID、ドメイン、ユーザー名、IPアドレスを伏せ、出力は名前のある担当者が責任を持つ下書きとして扱ってください。

Microsoft 365のセキュリティ監査レポートが届いたところだとします。数十件の指摘があり、それぞれに重大度、証跡、推奨事項が書かれています。経営側が知りたいのは、次に何を、どの順番で行い、どれだけ時間がかかるかです。本稿は、その問いに答える立場にある従業員20〜500人規模の企業のIT管理者で、最初の下書きをClaudeで作りたい方に向けたものです。

Claudeに見せる前にレポートから何を取り除くか、コピーして使えるプロンプト、返ってきた内容の確認方法、そしてAIが作ったロードマップでは足りなくなる場面を取り上げます。

なぜ監査レポートは実行されずに保管されてしまうのか？

多くの監査レポートは、会社が修正する順番ではなく、監査人の作業の順番で構成されています。指摘は領域ごと（ID、メール、共有、デバイス）に並び、その中で重大度順に並びます。証跡を示すには正しい順番ですが、行動を決めるには向いていません。

レポートが止まってしまう原因はたいてい3つです。

• 順番がない。 10分で直る重大な指摘と、ライセンス変更と1か月のユーザー周知が必要な重大な指摘が隣り合っています。順番がなければ、どちらも後回しになります。
• 担当者がいない。 レポートは何を直すかは書いていても、誰が直すかはほとんど書いていません。監査人はあなたのチームを知らないからです。
• 予算の形になっていない。 財務責任者は「指摘42件」を承認できません。承認できるのは「今は2週間分の設定作業、来期に1つのライセンス判断、来年度予算に1つのプロジェクト」です。

改善ロードマップはこの3つを解決します。新しい指摘を加えるのではなく、既存の指摘を、会社が日程を組み予算を付けられる作業に並べ替えるものです。

Claudeは監査レポートに対して何ができ、何ができないのか？

Claudeが得意なのは、この作業のうち「並べ替え」の部分です。長い文書を読み、関連する項目をまとめ、2つの指摘が同じ修正で片付くことに気づき、同じ情報を別の構成で書き直します。監査人ではなく、あなたの環境を見ることもできません。

• 渡したものだけを読む。 指摘を貼り付けるか、ご利用のClaudeプランがファイルのアップロードに対応していればレポートを添付します。Claudeはそのテキストだけをもとに作業します。
• テナントにはアクセスしない。 この手順では、ClaudeはMicrosoft 365、Entra ID、管理ポータルのいずれにも接続していません。指摘がまだ残っているか、修正が効いたか、設定がレポートどおりかを確かめることはできません。
• 間違えることがある。 依存関係を読み違えたり、分けておくべき指摘をまとめたり、あなたの環境に対して工数を見誤ったりすることがあります。すべての行を人が確認する必要があります。
• 証跡の代わりにはならない。 レポートを保険会社、監査人、顧客に提出する場合、正式な記録は元の指摘と証跡のままです。ロードマップは計画であって証明ではありません。

別の業務のためにClaudeをMicrosoft 365に接続している場合は、この作業とは切り離してください。監査レポートを計画にするのにコネクタは不要で、作業に必要以上の権限をAIツールに与えることこそ、監査で指摘される種類の問題です。この点はClaudeをMicrosoft 365に安全に接続する方法で解説しています。

Claudeに渡す前に、レポートから何を伏せるべきか？

監査レポートは自社の弱点を示した地図です。手元から出す前に、攻撃者の助けになる情報と、個人を特定できる情報を取り除いてください。

削除または置き換えるもの

• テナント識別子。 テナントID（GUID）、テナントのonmicrosoft.com名、すべてのカスタムドメイン。TENANT、DOMAIN-1のようなプレースホルダーに置き換えます。
• 人に関する情報。 ユーザープリンシパル名、表示名、メールアドレス。特に管理者アカウントと、重大な指摘に名前が出てくるアカウント。ADMIN-1、FINANCE-USER-2のように役割で置き換えます。
• ネットワークとアプリの詳細。 グローバルIPアドレス、ネームドロケーション、アプリケーション（クライアント）ID、サービスプリンシパル名、権限を与えられたサードパーティアプリの名前。
• 証跡の抜粋。 スクリーンショット、サインインログの行、エクスポートした設定。Claudeに必要なのは指摘と推奨事項で、生の証跡ではありません。
• 顧客に関わるもの。 顧客、取引、案件がわかるサイト名やファイルパス。

残すもの

• 指摘のタイトル、重大度、領域。
• 推奨事項の本文。
• 工数やライセンスに関する記載（レポートにある場合）。
• フェーズ番号や参照番号。 ロードマップをレポートに対応づけるためです。

利用しているClaudeのプランを確認する

データの扱いはプランによって異なります。Anthropicは、顧客がオプトインしない限り（たとえば開発パートナープログラムへの参加）、商用製品（Claude for WorkのTeamおよびEnterpriseプラン、API）のコンテンツをモデルの学習に使わないと説明しています。個人向けのFree、Pro、Maxプランでは、学習に使われるかどうかはユーザーが選ぶプライバシー設定によります。実際に使っているプランについてAnthropicの最新のプライバシー文書を読み、自社のAIポリシーに従ってください。ポリシーがまだないなら、まずそれを整えるべきです。当社のAIサポートサービスはポリシーの策定や、従業員が使ってよいツールの判断を支援しており、AIツールの料金ページでは主なAIアシスタントの参考価格をまとめています。

指摘を、予算を付けられるロードマップにどう組み立てるか？

プロンプトを書く前に、返してほしい形を決めておきます。中小規模の企業に合うロードマップは、通常4つのフェーズに分かれます。

レポートの順番ではなく、リスクと修正コストで並べる

各指摘に2つの評価を付けます。悪用された場合にどれほど深刻か、そして閉じるのにどれだけの作業が必要か。有効な順番は、高リスク・低工数が先です。1時間あたりに下げられるリスクが最も大きいからです。次が高リスク・高工数で、プロジェクトとして計画します。低リスク・低工数は空いた時間に片付けます。低リスク・高工数は先送りすることが多いですが、その理由は書き残します。

予算に沿ったフェーズに分ける

• フェーズ0：安定化（今後2週間）。 既存のライセンスの範囲で設定変更だけで閉じられる重大な指摘。多要素認証の抜け、レガシー認証、匿名の共有リンク、外部へのメール転送など。
• フェーズ1：強化（次の四半期）。 計画やユーザーへの周知が必要な高リスクの指摘。フィッシング耐性のあるサインイン方法、管理者アカウントの分離、アプリへの同意の制御、DMARCの強制、デバイスとアプリの保護など。
• フェーズ2：ガバナンス（次の予算サイクル）。 ライセンス判断、ポリシー、プロジェクトが必要な指摘。データ損失防止、秘密度ラベル、保持ポリシー、ログ保持期間の延長など。
• フェーズ3：維持（継続）。 定期的な見直し、アクセスレビュー、元の指摘に対する再確認。

Brocent自身のサンプルレポートもこのフェーズ構成を採っています。監査人が書いた段階的な修正計画がどのようなものかは、Microsoft 365セキュリティ監査のサンプルレポート（英語）をオンラインでご覧ください。架空の14人規模の企業を例に、重大3件と高リスク7件の指摘を扱っています。

コピーして使えるプロンプト

匿名化した指摘を、このプロンプトの後に貼り付けます。各フェーズの期間はチームの状況に合わせて調整してください。

• 役割と情報源 ——「あなたはIT管理者の改善計画づくりを手伝っています。以下の指摘だけを使い、リストにない指摘は加えないでください。」
• 評価 ——「各指摘について、リスク（レポートに記載のとおり重大・高・中・低）と工数（小：半日未満、中：3日まで、大：それ以上）を示し、工数があなたの推定であればその旨を書いてください。」
• 依存関係 ——「先に別の指摘を直す必要があるものと、レポートが不足と指摘しているライセンスが必要なものに印を付けてください。」
• グループ化 ——「同じ変更で閉じられる指摘をまとめ、どれがそうかを示してください。」
• フェーズ ——「各指摘をフェーズ0（2週間、設定のみ）、フェーズ1（1四半期）、フェーズ2（次の予算サイクル）、フェーズ3（継続）のいずれかに入れ、それぞれ1行で理由を書いてください。」
• 担当者の列 ——「作業に最も適した役割を書く担当者の列を加えてください。例：ITリーダー、Microsoft 365管理者、人事、マネージングパートナー。名前は作らないでください。」
• ユーザーへの影響 ——「事前に周知できるよう、ユーザーが気づく変更を書いてください。」
• ルール ——「レポートの参照番号を残してください。不明な点は推測せず、最後に質問として挙げてください。」

結果はフェーズごとのリストで求めます。スプレッドシートが必要なら、1行に1指摘で上記の列を持つ版をClaudeに頼み、どこかに出す前に確認してください。

例：3件の重大な指摘を並べ替える

多くのMicrosoft 365監査に何らかの形で現れ、Brocentのサンプルレポートにもある3件の指摘を例にします。多要素認証なしでサインインできるアカウントが2つあり、うち1つがグローバル管理者であること。レガシー認証がブロックされておらず、テナント全体でSMTP AUTHが有効なこと。「すべてのユーザー」向けの匿名共有リンクが許可され、顧客向けサイトの既定になっていること。

レポートではID、メール、共有の3つの領域に分かれています。上のプロンプトを渡すと、Claudeはたいてい次の3つの役に立つことをします。

• 3件ともフェーズ0に入れる。 いずれも重大で、すでに契約しているライセンスの範囲の設定で閉じられます。
• 依存関係に気づく。 レガシー認証をブロックすると、古い複合機や、SMTP AUTHでメールを送る業務アプリが動かなくなる可能性があります。ロードマップには、ブロックの前の手順として「メールを送信するデバイスとアプリの棚卸し」を入れるべきです。
• ユーザーへの影響を示す。 残り2アカウントの多要素認証の有効化と、既定の共有リンクの変更は、どちらも従業員が目にするものを変えます。ヘルプデスクに問い合わせが殺到してからではなく、変更前に短い案内を出す必要があります。

Claudeには、その複合機が存在するか、グローバル管理者アカウントを使っているのが人かスクリプトか、匿名リンクに頼っている顧客がいるかはわかりません。こうした問いは環境を知る人に回します。ロードマップの価値は、それらの問いに答えることではなく、変更の前に見えるようにすることにあります。

AIで作るロードマップと、事業者に任せる改善サービスの比較

どちらも同じレポートから始まります。違いは、計画ができた後の作業を誰が担うかです。

• AIで作るロードマップ（自社とClaude） ——計画の段階は速く安価で、構成、グループ化、文章化が得意です。工数の見積もりは一般論になります。結果に責任を持つ人はおらず、修正が効いたかを確かめる仕組みもありません。作業が始まれば、誰かが手入れしない限りすぐに古くなります。
• 事業者が修正を担う改善サービス ——事業者が実際の環境に合わせて計画し、変更管理のもとで変更を行い、修正を1件ずつ検証し、元の指摘に対する進捗を報告します。費用は高く契約も必要ですが、すべての行に責任者がいます。BrocentのマネージドITセキュリティサービスはこの領域を扱っており、予算見積もり付きの優先順位を付けた改善計画も含まれます。
• よくある中間の形 ——Claudeでロードマップを下書きし、フェーズ0は自社で片付け、ライセンス判断やユーザーの変更管理が重要になるフェーズ1とフェーズ2で事業者を入れる企業が多くあります。

うまく進めるには：すべての行に責任者が必要

担当者のいないロードマップは、レポートを長くしただけのものです。経営に出す前に4つのことをしてください。

• すべての行に人を割り当てる。 Claudeが提案した役割を、名前と期日に置き換えます。
• 工数の見積もりを自社の環境で確認する。 Claudeの見積もりは一般的なもので、テナントにはそれぞれの経緯があります。
• 証跡との対応を残す。 ロードマップの各行にレポートの参照番号を付けておけば、監査人や保険会社にF-01は閉じたのかと聞かれたとき、修正前後を示せます。
• 思い込まずに再確認する。 フェーズ0が終わったら、管理ポータルか再スキャンで設定を1つずつ確認します。計画では「完了」なのにテナントは違う、というのが最悪の結果です。

まだMicrosoft 365の監査を受けていないなら、まずレポートそのものから始めましょう。BrocentのMicrosoft 365セキュリティ監査は、CIS Microsoft 365ベンチマークに沿ってテナント全体を確認し、優先順位付きの改善ロードマップを含む、証跡として使えるよう設計されたレポートを提供します。すでにどこかの事業者のレポートがあり、それを実際の作業に落とし込む手助けが必要なら、当社チームにご相談ください。

よくある質問

ClaudeはPDFの監査レポートを直接読めますか？

ファイルのアップロードに対応したClaudeプランなら、PDFを添付すればClaudeがそのテキストを読みます。ご利用のプランで扱えるファイルの種類とサイズの上限は、Anthropicの最新ドキュメントで確認してください。先にレポートを匿名化し、長いレポートなら指摘の表だけを貼り付けるほうがすっきりします。

ClaudeはMicrosoft 365テナントに接続して指摘を確認しますか？

この手順では接続しません。Claudeは渡されたテキストだけを読み、指摘がまだ残っているか、修正が効いたかは確認できません。確認には管理者、管理ポータル、または再スキャンが必要です。

事業者の見積もりなしで工数をどう見積もればよいですか？

レポートに工数の記載があればそれを使います。なければClaudeに小・中・大の見積もりと理由を出させ、テナントを管理している人が1件ずつ調整します。Claudeの数字は出発点であって見積書ではありません。

2つの指摘の優先順位がぶつかったらどうしますか？

Claudeに解決させず、衝突をリストにさせます。よくあるのは、重大なIDまわりの修正が古いアプリを動かなくするケースです。通常は依存関係を先に片付けますが、どのアプリが事業にとって重要かを知る人が決めるべきです。

取締役会に見せるのは元の指摘ですか、ロードマップですか？

通常はロードマップに1ページの要約を付けたものです。総合スコア、重大な項目、フェーズ0で何が閉じるか、何に予算判断が必要か。指摘の全体は、監査委員会や証跡を求める人のために手元に置いておきます。

ロードマップはどのくらいの頻度で見直すべきですか？

各フェーズの終わりと、リスクを変える出来事があったときです。新しいライセンス、合併、セキュリティインシデントなどです。この規模の企業なら、未完了項目を毎月短く確認すれば十分なことがほとんどです。

監査レポートをAIツールに貼り付けても安全ですか？

匿名化した後で、かつ自社が機密情報用に承認したツールとプランに限ります。匿名化していない監査レポートは、自社の最も弱い部分を正確に示しています。まずテナント識別子、人の情報、ネットワークの詳細、証跡を取り除いてください。