Cyber EssentialsとMicrosoft 365の設定ガイド

要点： Cyber Essentials v3.3（Danzell質問セット）は、2026年4月27日以降の英国の新規審査すべてに適用されます。Microsoft 365テナントでつまずきやすいのは、MFAの適用漏れ、管理外の個人端末、パッチ適用の遅れです。5つの対策は、いずれもEntra ID、Intune、Defenderの具体的な設定に対応します。

Cyber Essentialsは、英国政府が支援する基本的なサイバーセキュリティ認証です。英国の顧客に製品やサービスを提供している企業、あるいは英国の公共部門のサプライチェーンに入りたい企業は、遅かれ早かれこの認証を求められます。Microsoft 365を使っているなら、5つの対策の大半は管理センターで確認できる設定に落とし込めます。ただし制度は2026年に改定され、猶予のない変更もあります。本稿では質問票の順に5つの対策を取り上げ、Business Premium、Entra ID、Intune、Defenderのどこに対応するかを説明します。

一次資料は2026年10月27日に確認しました。NCSC「Requirements for IT Infrastructure v3.3」（2026年4月）、NCSCのCyber Essentials概要、IASMEの2026年4月更新のお知らせです。原文ではなく当社の解釈である部分は、その旨を明記します。

日本・香港・シンガポールの企業が英国のCyber Essentialsを気にする理由は？

英国の顧客、公共機関、一部の保険会社が、これをサプライヤー要件に含めることがあるためです。所在地は関係ありません。英国の顧客のデータを扱う、あるいはサービスを提供する場合、評価ではMicrosoft 365テナントが英国企業と同じ基準で確認されます。要否は入札書類や契約条件で確認してください。海外企業向けの一律の免除は、当社の調べた範囲では見つかっていません。

現在有効なバージョンはどれ？

現在有効なのはRequirements for IT Infrastructure v3.3です。NCSCのリソースページでは2026年4月27日からの適用とされており、2026年10月27日時点で、これより新しい版は確認できませんでした。対応する質問票は、IASMEが2026年2月に公開した「Danzell」質問セットです。

新規審査： 4月下旬以降に作成された審査アカウントは、v3.3とDanzellで審査されます。IASMEのページごとに表記が少し異なり（2025年11月のお知らせは4月27日、2026年2月のお知らせは「4月26日以降に作成」）、4月下旬が境目と考えてください。
旧アカウント： IASMEによると、それ以前に審査アカウントを作成した申請者は、最長6か月間、旧版で認証を完了できます。
役割分担： 技術要件はNCSCが定め、IASMEが運営パートナーとして、回答を採点する認証機関（Certification Body）にライセンスを与えます。

v3.3で何が変わった？MFAの「自動不合格」とは？

NCSCの文書では、「クラウドサービス」の正式な定義、パスワードレス認証へのFIDO2の追加、クラウドサービスを対象範囲から除外できないという明確な記載、バックアップの重要性の強調が加わりました。IASMEの告知は、審査結果への影響を示しています。Microsoft 365テナントに関係が深い点は次のとおりです。

MFAが利用できるクラウドサービスでは、必ず有効にする。 IASMEによれば、無料・付属・有料を問わず、MFAが利用できるのに有効化していなければ、審査は自動的に不合格となります。要件文書の記述はもっと短く、クラウドサービスへの認証には常にMFAを使用しなければならない、というものです。
パッチに関する2問が自動不合格。 A6.4は、OS、ルーターおよびファイアウォールのファームウェアについて、重大または高リスクのセキュリティ更新を公開から14日以内に適用しているかを問います。A6.5は、アプリケーション（関連ファイルと拡張機能を含む）について同じ内容を問います。
取締役の宣言が広がった。 取締役または役員は、審査当日だけでなく認証期間を通じてすべての対策を維持する責任を負うことを確認します。
クラウドサービスは常に対象範囲。 NCSCの文書は、Microsoft 365をSaaSの例に挙げています。対象から外すことはできません。

Microsoft 365を使う企業では、対象範囲をどう決める？

申請でつまずく原因は、範囲を小さくしようとすることです。v3.3の規定はかなり明確です。

クラウドサービスは対象範囲に含まれる？

含まれます。データやサービスをクラウドサービスに置いているなら、対象に含める必要があり、除外できません。Microsoft 365のようなSaaSについても、安全な構成にする責任は申請者にあると明記されています。文書の「どの対策を誰が実施するか」の表では、SaaSの場合、ファイアウォール、セキュリティ更新、マルウェア対策は通常クラウド事業者が実施し、セキュアな構成は双方で分担し、ユーザーアクセス制御（MFAを含む）は常に申請者の責任です。

社員の個人スマートフォンやPCは対象？

組織のデータやサービスにアクセスする個人所有の端末は対象です。例外は、通常の音声通話、通常のテキストメッセージ、MFA認証アプリの実行のみに使う端末で、これは対象外です。認証アプリしか入っていない個人のスマートフォンは対象外ですが、会社アカウントでOutlookやTeamsにサインインしているスマートフォンは対象になります。

在宅勤務の端末も、会社支給か私物かを問わず対象です。会社が貸与したルーターも対象ですが、それ以外の家庭用ルーターは対象外なので、端末側のソフトウェアファイアウォールが重要になります。自社所有でない端末について、従業員、ボランティア、請負業者、MSP管理者などの区分ごとに対象かどうかを示した表（文書のTable 2）もあります。判断する前に必ず読んでください。エンドユーザー端末を含まない範囲は認められません。

管理者アカウントや外部のIT事業者は？

自社が所有するすべてのアカウントが対象で、サプライヤーやマネージドサービスプロバイダー（MSP）があなたの環境を支援するために使っているアカウントも含まれます。MSPに運用を任せている場合は、各対策が実施されていることを確認し、回答の中で示せなければなりません。

対策1：ファイアウォール。Microsoft 365とどう関係する？

対象のすべての端末に、適切に構成されたファイアウォールが必要です。境界ファイアウォールでも、端末上のソフトウェアファイアウォールでも構いません。クラウドサービスについては、データフローのポリシーで同じ目的を満たせるとされ、SaaSでは通常クラウド事業者が実施します。

Microsoft 365を使う企業で実際に確認する設定は次のとおりです。

Windowsノートパソコン： すべてのネットワークプロファイルでMicrosoft Defenderファイアウォールを有効にします。Intuneでは「エンドポイントセキュリティ」にファイアウォールポリシーを作成し、全Windows端末に割り当てます。
Mac： macOS標準のファイアウォールを有効にし、Intuneの構成プロファイルで配布します。
オフィスのルーター／ファイアウォール： 初期管理者パスワードを変更し、認証されていない着信接続を既定でブロックし、すべての着信ルールに業務上の理由を文書で残し、MFAやIPアドレスの許可リストなしで管理画面をインターネットに公開しないようにします。この部分はMicrosoft 365の外ですが、同じ質問票に含まれます。

対策2：セキュアな構成。テナントのどの設定が該当する？

セキュアな構成とは、弱い初期値を取り除くことです。不要なアカウント、初期パスワード、不要なソフトウェア、自動実行、ロックされない端末などが対象です。文書は、不要なアカウントの定期的な削除または無効化、初期パスワードの変更、不要なソフトウェアの削除、自動実行の無効化、アクセス前の認証、デバイスロックの設定を求めています。

Microsoft 365では次のように対応します。

不要なアカウント： Entra IDで退職者、未使用のゲスト、テスト用アカウントを確認し、サインインをブロックします。無効化したアカウントのライセンスも解除します。
デバイスのロック解除： 端末を使う前に資格情報が必要で、総当たり攻撃への対策も求められます。5分間に10回までの試行、または失敗10回以内でのロックが目安で、ロック解除専用のPINやパスワードは6文字以上です。IntuneではコンプライアンスポリシーとWindows Hello for Businessまたはデバイスロックの構成プロファイルでWindowsの値を設定し、iOSとAndroidにはパスコードポリシーを使います。
パスワード： 文書は定期的な変更の強制や複雑性の要件を推奨していません。パスワードのみで認証する場合は12文字以上、または8文字以上で一般的なパスワードの拒否リストを併用します。Entra IDのパスワード保護と文字数中心のポリシーで満たせます。

対策3：セキュリティ更新管理。Intuneで14日以内を守るには？

要件は次のとおりです。対象のソフトウェアはすべてライセンスがありサポート中であること、サポート終了後は削除すること、可能な限り自動更新を有効にすること、重大または高リスクの修正を14日以内に適用すること。「高リスク」とは、ベンダーが critical または high とするもの、CVSS v3基本スコアが7以上のもの、あるいはベンダーが深刻度を示していないものです。1つの更新に重大または高リスクの修正が1件でも含まれていれば、更新全体を14日以内に適用する必要があります。

A6.4とA6.5が自動不合格になったため、この対策は従来より慎重に扱うべきです。

Windows： Intuneの更新リング（Windows Update for Business）で、品質更新の期限を14日より十分手前に設定します。電源が入っていない端末のための余裕も見込んでください。詳細はWindows Update for BusinessとIntuneに関するMicrosoftの資料を参照してください。
Windowsのバージョン： Windows 10は、拡張セキュリティ更新プログラムに加入していない端末では2025年10月にサポートが終了しました。サポート対象外のソフトウェアは削除するか、対象範囲から外す必要があります。利用者の申告ではなく、端末ごとに確認してください。
Mac、iPhone、Android： Intuneのコンプライアンスポリシーで最低OSバージョンを定め、条件付きアクセスで非準拠の端末のアクセスを止めます。
アプリケーション： Danzellの設問は、アプリケーションとその拡張機能も対象にしています。ブラウザー、PDFリーダー、Zoom、Javaなどが含まれます。Microsoft 365アプリは自動更新されますが、サードパーティ製アプリには配布と更新の経路が必要で、ここが全く管理されていないテナントが少なくありません。

パッチ運用を継続的に任せたい場合は、パッチ管理サービスをご覧ください。Intune側はIntuneの料金ページにあります。

対策4：ユーザーアクセス制御。Entra IDでのCyber Essentials MFA要件とは？

この対策が結果を左右することが多くあります。文書が挙げる義務は、アカウントの作成と承認のプロセス、一意の認証情報、不要になったアカウントの削除、利用可能な場合のMFA（クラウドサービスでは常に）、管理作業専用のアカウント、不要になった特権の削除です。

MFAはどう設定する？

MFAを提供するすべてのクラウドサービスで、全ユーザーに有効にします。Entra IDには2つの方法があります。

セキュリティの既定値（Security defaults）： 無料で、新規テナントでは既定で有効です。全ユーザーにMFA登録を求めます。簡単ですが、例外やデバイス条件は設定できません。Microsoftのセキュリティの既定値の資料を参照してください。
条件付きアクセス（Business Premiumに含まれる）： 全ユーザー、全クラウドアプリにMFAを要求するポリシーを作成し、理由を説明できないユーザーやアプリの除外は設けません。全ユーザーにMFAを要求する方法に関するMicrosoftの資料を参照してください。

NCSCは、SMSは弱い方式だがMFAがないよりはるかに良いとし、パスキーとFIDO2キーを認めています。方式よりも適用範囲が重要です。

ほかのクラウドサービスも忘れないでください。会計、CRM、ファイル共有、給与システムにも会社のデータがあり、同じ規則が適用されます。MFAを選べるのに有効にしていないものが1つでもあれば、自動不合格のリスクがあります。

レガシー認証はどうする？

POP、IMAP、SMTP基本認証などの古いプロトコルはMFAに対応できません。許可したままだと、パスワードだけでポリシーを回避されます。条件付きアクセスでブロックしてください。レガシー認証のブロックに関するMicrosoftの資料を参照してください。スキャナーや古い業務アプリがSMTPを必要とする場合は、例外を残さず、最新の方式に切り替えます。

管理者アカウントはどう扱う？

文書は、管理作業専用のアカウントを使い、メールの送受信やWeb閲覧には使わないことを求めています。Entra IDでは次のようになります。

管理者はクラウド専用アカウントを使い、メールボックスを持たせず、ライセンスはロールに必要なものだけにします。
グローバル管理者は少数にします。Microsoftのロールのベストプラクティスは5人未満を推奨しています。
特権ロールは必要な期間だけ割り当てます（Privileged Identity ManagementにはEntra ID P2が必要でBusiness Premiumには含まれないため、小規模テナントでは毎月ロール一覧を見直す運用が現実的です）。
すべての管理者にフィッシング耐性のあるMFAを使います。

対策5：マルウェア対策。Defenderで足りる？

対象のすべての端末に、マルウェア対策ソフトウェアまたはアプリケーションの許可リストが必要です。マルウェア対策ソフトを使う場合、文書はベンダーの推奨どおりの更新、マルウェアの実行阻止、悪意あるコードの実行阻止、悪意あるWebサイトへの接続阻止を求めています。

Business Premiumに含まれるMicrosoft Defender for Businessは、Windows、macOS、iOS、Androidをカバーします。Intuneで確認する設定は次のとおりです。

リアルタイム保護と改ざん防止を有効にし、シグネチャを自動更新にします。
Web保護（SmartScreenまたはネットワーク保護）を有効にし、悪意あるサイトへの接続をブロックします。
Macと管理対象のモバイル端末をDefenderにオンボードし、競合する別のウイルス対策ソフトを併用しないようにします。

この対策は対象範囲のスマートフォンにも適用されます。文書は、公式ストアの署名済みアプリのみを許可するといったアプリケーション許可リストを、モバイル端末での方法として認めています。

Cyber EssentialsとCyber Essentials Plusの違いは？

Cyber EssentialsとCyber Essentials Plusの比較

方式： Cyber Essentialsは外部で採点される自己評価の質問票です。Plusは同じ対策を対象に、実機の技術監査を加えます。
技術テスト： Plusでは、評価者がサーバー、デスクトップ、ノートPC、タブレット、スマートフォンから代表的な端末を抽出して脆弱性スキャンなどを行います。現地でもリモートでも実施でき、ソフトウェアがサポート対象で重要なパッチが適用済みかを確認します。
時期： IASMEによれば、Plusは基本のCyber Essentials認証から3か月以内に完了する必要があります。
不合格時： IASMEの説明では、Plusには是正のための30日間の猶予があります。2026年4月の更新で、再テストではランダムな端末抽出が加わり、2回目の不合格でVSAの証明書が失効します。
実施者： どちらもIASMEのライセンスを受けた認証機関が評価します。NCSCは、Plusを独立したシステムテストを加える方法と説明しています。

Cyber Essentials PlusとMicrosoft 365では、評価者は実際の端末を見ます。ポリシーがすべてのノートPCに届いていなければ、そこで露見します。テストの予約前に端末を直しておいてください。

Microsoft 365テナントでよくある不合格要因

当社が最初に確認する項目を、不合格につながりやすい順におおよそ並べました。いずれもv3.3の記述から直接導かれるものです。

MFAの除外設定。 条件付きアクセスに、サービスアカウント、サインインできる共有メールボックス、誰も取り消さない「一時的」な例外などの除外ユーザー、グループ、アプリが長く並んでいる。
レガシー認証が有効のまま。 プリンターや古いアプリのために、POP、IMAP、SMTP基本認証を残している。
サポート対象外のOS。 拡張サポートのないWindows 10、最新のmacOSに更新できない古いMac、忘れられたサーバー。
管理外の個人端末。 ポリシーなし、最低OSバージョンなし、画面ロックなしの個人のスマートフォンやPCで会社のメールを読んでいる。これらは対象範囲です。
管理者アカウントの日常利用。 経営者の普段使いのメールアカウントがグローバル管理者を兼ねている。
更新は有効だが期限がない。 更新は有効でも更新リングの期限がなく、電源の切れたノートPCが数か月遅れ、サードパーティ製アプリは全く更新されない。
Microsoft以外のクラウドアプリ。 Microsoft 365ではMFAを有効にしているが、会計やCRMのアプリでは無効。

認証を発行するのは誰？Brocentの役割は？

認証は、IASMEの認証機関が発行します。当社は、お客様のテナントと回答を準備します。認証機関はお客様が選び、評価の前に範囲を取り決め、質問票を採点します。Cyber Essentials Plusの場合は、技術監査も認証機関が行います。

Brocentは香港に本社を置くマネージドITサービスプロバイダーで、アジア太平洋、英国・欧州、中東のお客様を支援しています。当社のMicrosoft 365 CISベンチマーク監査は、Cyber Essentialsの質問票で問われるMicrosoft 365の管理項目（MFAの適用状況、管理者アカウント、デバイスのコンプライアンス、メールセキュリティなど）を対象とし、証拠として使えるよう設計されており、お客様の回答を支えます。この監査によって認証が得られるわけではなく、審査の代わりにもなりません。Cyber Essentialsには、オフィスのルーター、ファイアウォールのルール、Microsoft 365外のサーバーなど、監査の範囲外の項目もあります。

内容は次のとおりです。

CIS Microsoft 365ベンチマークのレベル1と2を対象にした読み取り専用の監査（手動確認の項目を含む）。
工数の見積りを付けた優先順位付きのロードマップ、報告会、Cyber Essentialsと保険の質問向けの証拠。
読み取り専用アクセスをいただいてから5〜7営業日でレポートを提出。

公開価格（一回限り、ユーザー数別、米ドル、税別）：

1〜10ユーザー：US$450
11〜25ユーザー：US$990
26〜75ユーザー：US$1,800
76〜150ユーザー：US$2,900
150ユーザー超：お見積り

指摘事項の是正は監査料金に含まれません。お客様のIT担当がロードマップに沿って対応することも、当社が是正を別途お見積りすることもできます。詳細は監査の料金ページをご覧ください。公開しているサンプルレポート（英語ページ）は、架空の英国14名企業Acme Capitalのもので、Cyber Essentialsの準備状況の章を含みます。Intuneデバイス監査のサンプルもあります。ご相談はお問い合わせからどうぞ。