Cyber Essentials Plus と Microsoft 365：技術検証で実際に何がテストされ、どう準備するか

要点： Cyber Essentials Plus は、Cyber Essentials の自己評価に、現地またはリモートでの技術監査を加えたものです。Microsoft 365 と Intune の環境では、評価者がグローバル IP をスキャンし、デバイスとサーバーを無作為に抽出し、そこに入っているソフトウェアがすべてベンダーのサポート対象か、深刻度「高」「緊急」の更新が 14 日以内に適用されているか、マルウェア対策が実際に機能しているかを確認します。さらに、ユーザーがクラウドサービスにサインインする場面に立ち会い、多要素認証が求められることを確かめます。v3.3 の要件（2026 年 4 月 27 日からの「Danzell」質問セット）では、利用可能なクラウドサービスで MFA を有効にしていないと自動的に不合格になります。準備の中心は証跡です。評価者がたまたま選んだ端末だけでなく、環境全体を示すレポートが必要になります。

すでに Cyber Essentials を取得している組織にとって、Microsoft 365 環境での Cyber Essentials Plus は小さな一歩に見えるかもしれません。対象は同じ五つの技術的管理策です。変わるのは、誰がそれを確認するかです。基本認証は経営層が署名した回答に基づきますが、Plus では評価者が実際の端末と実際のサインイン画面を確認します。文書に書かれていなかった穴は、たいていここで表に出ます。

本記事では、Microsoft 365 / Intune 環境における技術検証だけを扱います。何がテストされるのか、2026 年 4 月の変更が何を意味するのか、どの Microsoft 365 レポートが証跡になるのか、そしてよくある不合格の原因です。五つの管理策そのものと Microsoft 365 での対応関係は、まず Cyber Essentials と Microsoft 365 の管理策ガイド をご覧ください。本記事はその「Cyber Essentials と Plus の違い」の続きにあたります。

最初に一点はっきりさせておきます。Brocent は Cyber Essentials の認証機関ではなく、認証の審査や発行は行いません。英国では、NCSC の制度運営パートナーである IASME と、その認定を受けた認証機関・評価者が認証を担います。私たちが行うのは、評価者が来る前の準備と証跡の整理です。

Cyber Essentials Plus とは何か、Cyber Essentials とどう違うのか

Cyber Essentials は、英国国家サイバーセキュリティセンター（NCSC）が所管する、英国政府支援の認証制度です。ファイアウォール、セキュアな構成、セキュリティ更新の管理、ユーザーアクセス制御、マルウェア対策という五つの技術的管理策を定めています。基本認証は検証付きの自己評価で、質問に回答し、経営層が署名し、評価者が回答を審査します。

Cyber Essentials Plus は同じ要件に技術監査を加えます。IASME によれば、監査は現地またはリモートで行われ、申告した範囲のインフラに対する脆弱性スキャンと、抽出したデバイスの実地確認を含みます。IASME のガイダンスのうち、スケジュールに直接影響するのは次の二点です。

• 順序： Plus の監査は、直近の Cyber Essentials 認証から 3 か月以内に完了する必要があります（両方を同時に進めることもできます）。
• 同じ範囲： 評価者がサンプルを選ぶのは、自己評価で申告した範囲からです。書類上で広く取った範囲が、そのまま抽出の母集団になります。

新規の評価に適用される要件文書は、NCSC が公表する Cyber Essentials: Requirements for IT Infrastructure v3.3 で、対応する IASME の質問セットは「Danzell」と呼ばれます。IASME は、2026 年 4 月 27 日以降に作成された評価アカウントに適用されると説明しており、それ以前に v3.2（「Willow」）で作成したアカウントは旧版のまま進みます。制度はおおむね年に一度更新されるため、準備を始める日に NCSC の Cyber Essentials 資料ページで最新版を確認してください。

Cyber Essentials Plus の評価者は実際に何をテストするのか

IASME のガイダンスと NCSC のテスト仕様に基づくと、技術検証はおおむね五つの確認に分かれます。以下の表現は当社の整理であり、評価者は最新のテスト仕様に沿って作業します。監査前に必ず全文を読んでください。

確認その一：外部からの脆弱性スキャン

評価者は、IASME が承認したスキャンベンダーのツールで、組織のすべてのグローバル IP アドレスをスキャンします。クラウド中心の Microsoft 365 環境では、対象は多くありません。オフィスのルーターやファイアウォール、VPN ゲートウェイ、自社で公開しているシステム程度です。引っかかるのは忘れられたものです。ファイアウォールで開いたままのリモート管理画面、特定の取引先のために転送した古いリモートデスクトップのポート、何年も前にインターネットに公開した NAS などです。

確認その二：デバイスとサーバーの無作為抽出

評価者は、エンドユーザー端末の代表的なサンプル（IASME によれば通常は約 10%）に加え、すべてのインターネットゲートウェイと、認証なしでインターネットからアクセスできるサービスを提供するすべてのサーバーを対象にします。抽出した各端末について、認証付きの脆弱性スキャンまたは手作業で次の点を確認します。

• インストールされたソフトウェアがすべてベンダーのサポート対象であること。 古いブラウザー拡張機能、旧版の PDF リーダー、誰も入れた覚えのないランタイムも対象です。
• 深刻度「高」「緊急」のセキュリティ更新が公開から 14 日以内に適用されていること。 これは Cyber Essentials のセキュリティ更新管理の要件です。

確認その三：マルウェア対策

テスト仕様には、申告したマルウェア対策が抽出端末で実際に機能しているかの確認が含まれます。たとえば Microsoft Defender ウイルス対策が動作し最新の状態であるか、メールや Web で届くテストファイルに反応するかといった点です。

確認その四：クラウドサービスの MFA

Microsoft 365 環境で最も重要な確認です。評価者は、信頼されていない端末やブラウザーのプライベートウィンドウから、ユーザーが組織アカウントで各クラウドサービスにサインインする様子に立ち会い、多要素認証が求められることを確認します。公開されている Cyber Essentials Plus テスト仕様（v3.2）では、クラウドサービスごとに少なくとも一般ユーザー 1 名と管理者 1 名を対象とし、同じ ID プロバイダーを共有するサービスはその ID プロバイダーについて一度テストすれば足りるとされています。本記事の執筆時点では v3.3 専用のテスト仕様は見つかっておらず、評価の前に新版が出ていないか確認してください。すべての SaaS が Microsoft Entra ID でサインインするなら、テストは一度で、その結果がすべてのサービスに及びます。

確認その五：アカウントの分離と管理者権限

評価者は、ユーザーが日常業務を管理者権限で行っていないこと、管理者アカウントが管理作業だけに使われ、メールや Web 閲覧に使われていないことを確認します。Windows 端末では抽出端末のローカル管理者グループ、Microsoft 365 ではグローバル管理者などの特権ロールを誰が持っているかを見ます。

2026 年 4 月（v3.3「Danzell」）で Plus の何が変わったのか

Plus の準備をする Microsoft 365 組織にとって、2026 年 4 月の更新で重要なのは次の三点です。いずれも IASME の告知と NCSC の v3.3 要件に記載されています。

• クラウドの MFA 未設定は自動的に不合格。 IASME は、MFA が利用可能なすべてのクラウドサービスで MFA は必須であり、それが追加料金なしで使えるか有料オプションかを問わず、実装していない組織は自動的に不合格になると明記しています。「ほとんどの社員には MFA がある」は、もはや部分的な回答として通用しません。
• クラウドサービスは範囲から除外できない。 v3.3 ではクラウドサービスの定義が追加され、範囲に含まれることが明確になりました。Microsoft 365、会計システム、人事システム、CRM もすべて対象です。
• サンプルが不合格なら、範囲を広げて再テスト。 最初の無作為サンプルが不合格の場合、是正したうえで、評価者は元のサンプルと新たな無作為サンプルの両方を再テストします。IASME はその理由を、抽出された端末だけにパッチを当てる組織があったためと説明しています。また、IASME の認証機関向けスケジュールには、Danzell 質問セットを用いる Plus 評価がソフトウェアの未パッチを理由に不合格となった場合、関連する Cyber Essentials 認証が取り消されると記載されています。

三点目によって、準備は環境全体の取り組みになりました。以前は、評価者が 10 台のノート PC で見つけた問題を直せば済んだかもしれません。今は、範囲内のすべての端末で本当に直っている必要があります。次に選ばれる 10 台は別の端末だからです。

各テストは Microsoft 365 と Intune のどこに対応するのか

それぞれのテストには、Microsoft 365 の管理ツールの中に対応する場所があります。当社が証跡を準備するときに見る場所であり、評価者の指摘もたいていここにさかのぼります。

• クラウドの MFA → Microsoft Entra ID。 すべてのユーザーとすべてのクラウドアプリに MFA を求める条件付きアクセスポリシー（ごく小規模なテナントではセキュリティの既定値）、誰が実際に認証方法を登録したかを示す登録レポート、MFA が満たされたことを示すサインインログです。レガシー認証が残っていないか、例外の文書がない緊急アクセス用アカウントはないか、Entra を経由せず独自の ID とパスワードでサインインするサードパーティ SaaS はないかに注意します。
• 14 日以内のパッチ → Intune と Windows Update for Business。 更新リングや機能・品質更新ポリシー、遅れている端末を示す Windows 更新レポートです。よくある穴はサードパーティ製アプリで、Windows は期限内でも、同じ PC のブラウザーや Java ランタイム、PDF リーダーが何か月も古いままということがあります。
• サポート対象のソフトウェア → Intune の検出されたアプリ。 評価者のスキャンより先に、サポート切れのソフトウェアを見つける最も手早い方法です。
• マルウェア対策 → Microsoft Defender。 Intune のエンドポイントセキュリティにあるウイルス対策ポリシーと、登録済みのすべての端末でリアルタイム保護が有効かつ定義が最新であることを示すデバイス正常性レポートです。
• アカウントの分離 → Entra のロールと Intune のローカル管理者ポリシー。 責任者を明記した特権ロールの一覧、管理者ごとの専用管理アカウント、Windows 端末のローカル管理者グループを制御する Intune ポリシーです。
• セキュアな構成 → Intune のコンプライアンスと構成プロファイル。 デバイスコンプライアンスポリシー（暗号化、ファイアウォール、最低 OS バージョン）と、どの端末が満たしているかを示すコンプライアンスレポートです。

これらの Intune レポートについては Intune デバイス監査 の記事で詳しく説明しており、Intune 監査のサンプルレポート（英語）では実際の出力形式をご覧いただけます。

Plus の監査前にどのような証跡を用意すべきか

評価者がテストするのはサンプルですが、2026 年 4 月の再テストルールにより、環境全体の状態を把握しておく必要があります。監査の 2 週間前に用意しておくと役立つ証跡フォルダーは次のとおりです。

1. 範囲の説明書。 自己評価と一致させます。どの拠点、どの端末、どのクラウドサービスか、除外したものがあればその理由（クラウドサービスは除外不可）。
2. 端末一覧。 Intune からエクスポートし、OS バージョン、最終チェックイン、コンプライアンス状態を含め、資産台帳と突き合わせて Intune 外の端末も見えるようにします。
3. MFA の適用状況のエクスポート。 条件付きアクセスポリシー、登録レポート、MFA の対象外としているすべてのアカウントとその理由。
4. パッチの状況。 OS とサードパーティ製アプリの両方について、14 日の期限を過ぎているものと対応予定。
5. 特権アクセスの一覧。 Microsoft 365 と端末で管理者ロールを持つすべてのアカウントと、各管理者が日常業務に使う別アカウント。
6. マルウェア対策の状態。 範囲内のすべての端末について Defender から取得したもの。
7. 外部への露出。 グローバル IP アドレスの一覧と、それぞれが何を公開しているか。

いずれも Plus の認証そのものではありません。評価者より先に、サンプルが合格するかどうかを知るための材料です。

Plus の準備方法：英国の組織が取る三つのアプローチ

当社がお話しする英国の組織は、おおむね三つの方法で準備しています。どれも正当な方法で、違いは監査当日にどれだけリスクを残すかです。

• そのまま評価者を呼ぶ： 準備の手間は最小ですが、監査そのものが問題の発見作業になります。再テストルールのもとでは、サンプルが不合格になると環境全体の是正と二回目の抽出が、時間に追われる中で、しかも認証を懸けて必要になります。
• 社内での事前チェック： 自社の IT チームが上記のレポートを確認します。Entra、Intune、パッチ適用をチームが一貫して担っている場合は有効です。弱点になりやすいのは、サードパーティ製アプリのパッチと、Entra を経由しないクラウドアプリです。
• Microsoft 365 部分の独立した事前評価： 日常の運用担当以外の第三者が、v3.3 の管理策に照らしてテナントと端末を確認し、日付入りの証跡と是正リストを返します。事前の費用がかかり、評価者の代わりにも認証にもなりません。価値は、環境全体で穴をふさぐ時間があるうちに、それを見つけられることです。

Brocent ができること、できないこと

当社の Microsoft 365 セキュリティ監査 は、テナントと Intune で管理されている端末を対象にした、固定価格の単発レビューです。利用者数に応じた価格で、10 名までは US$450 から、最大 150 名まで固定の価格帯があり、レポートは 5〜7 営業日でお届けします。レポートには Microsoft 365 の観点での Cyber Essentials v3.3 準備状況表（クラウドサービスの MFA、管理者アカウント、レガシー認証、セキュアな構成）が含まれ、各行が日付入りのエクスポートを参照しています。

正確に言えば、これは準備段階の証跡であり、Cyber Essentials の評価で証跡として使えるよう設計されたものです。Cyber Essentials Plus の監査ではなく、何かを認証するものでもありません。認証機関とその評価者が当日に独自に判断します。また、対象は Microsoft 365 と Intune の観点に限られます。オフィスのインターネット回線に対する外部スキャンや、Intune 管理外の端末は別途確認が必要です。

英国のお客様の契約先は Brocent の香港法人またはシンガポール本社で、英国内での現地作業は、当社が手配・品質管理する審査済みの現地エンジニアが行います。具体的な提供内容は 英国 IT サポートページ（英語）に記載しています。事前評価が自社の環境に見合うか迷う場合は、予約の前に コンサルタントにご相談ください。

Microsoft 365 環境が Plus のサンプルで不合格になる主な理由

管理策の内容から見て、評価者が Microsoft 365 / Intune 環境を抽出したときに見つかりやすい穴は次のとおりです。

• Entra を経由しないクラウドサービス。 ある SaaS ツールが独自のパスワードでサインインし、MFA は使えるのに無効のまま。v3.3 では、これだけで自動的に不合格です。
• 広がり続けた MFA の例外。 移行のために作った条件付きアクセスの除外グループに、今も十数名が残っている。
• 古いままのサードパーティ製アプリ。 Windows は更新済みでも、抽出されたノート PC のブラウザーやランタイムが古い。
• 登録されていない端末。 役員が業務メールに使う個人のノート PC や、一度登録したきり何か月もチェックインしていない端末。
• 日常的に使われる管理者アカウント。 管理者がグローバル管理者アカウントでメールを読み、Web を閲覧している。
• 忘れられた公開ポート。 オフィスのファイアウォールのポート転送や管理画面が外部スキャンで見つかる。

MFA の例外の問題は、サイバー保険の MFA 要件 の記事でさらに詳しく扱っています。保険会社と Cyber Essentials は、言い方が少し違うだけで同じことを尋ねています。

よくある質問

Cyber Essentials Plus に合格するには、Microsoft 365 の全ユーザーに MFA が必要ですか？

v3.3 では、IASME は MFA が利用可能なすべてのクラウドサービスで MFA が必須であり、実装していなければ自動的に不合格になるとしています。評価者のテストは、クラウドサービスごと（サインインを共有する場合は ID プロバイダーごと）に少なくとも一般ユーザー 1 名と管理者 1 名を対象にします。どのアカウントが選ばれるかは予測できず、申告はすべてのアカウントを対象にしているため、実際には全ユーザーが必要です。

Cyber Essentials Plus に Intune は必須ですか？

必須ではありません。Cyber Essentials は特定の製品を求めていません。Intune は、Microsoft 365 を使う組織が端末のセキュアな構成、パッチ、マルウェア対策、管理者権限の証跡を得る場所として一般的だというだけです。Intune で管理していない端末も範囲に含まれ、別の手段で同じ管理策を満たす必要があります。

Plus のテストでいう「14 日以内のパッチ」とは何を指しますか？

Cyber Essentials の要件では、深刻度「高」「緊急」のセキュリティ更新を公開から 14 日以内に適用することが求められます。評価者はこの基準で抽出端末のソフトウェアを確認し、すべてのソフトウェアがベンダーのサポート対象であることも確かめます。OS だけでなく、アプリケーション、ブラウザー拡張機能、ファームウェアも対象です。

Microsoft 365 セキュリティ監査で Cyber Essentials Plus の代わりになりますか？

なりません。Cyber Essentials Plus を付与できるのは、評価者が技術監査を行ったうえでの認定認証機関だけです。当社のような Microsoft 365 セキュリティ監査は準備段階の証跡であり、評価の中で証跡として使えるよう設計され、事前に穴を把握するためのものです。

端末のサンプルが不合格になったらどうなりますか？

2026 年 4 月のルールでは、是正したうえで、評価者が元のサンプルと新たな無作為サンプルを再テストします。IASME の認証機関向けスケジュールには、Danzell 質問セットを用いる Plus 評価がソフトウェアの未パッチを理由に不合格となった場合、関連する Cyber Essentials 認証が取り消されると記載されているため、是正は抽出端末だけでなく範囲全体に適用する必要があります。

監査のどれくらい前から準備を始めるべきですか？

穴の数によります。MFA の例外がいくつかと古いアプリが見つかる程度なら数日で片づきますが、Intune 外の端末や MFA に対応していないクラウドサービスが見つかった場合は、より長い変更期間が必要になることがあります。Plus の実施予定の数週間前に始め、Cyber Essentials 認証から 3 か月以内という期限も念頭に置けば、どちらにも対応できます。

Brocent は英国で現地対応できますか？

はい。英国 IT サポートページに記載の範囲で対応します。英国のお客様は Brocent の香港法人またはシンガポール本社と契約し、現地訪問は当社が手配する審査済みの現地エンジニアが行います。Microsoft 365 セキュリティ監査そのものはリモートで実施します。

出典

本記事の要件と制度のルールは、NCSC の『Cyber Essentials: Requirements for IT Infrastructure v3.3』、NCSC の Cyber Essentials Plus テスト仕様（v3.2）、および 2026 年 4 月の変更と Cyber Essentials と Plus の違いに関する IASME の公開ガイダンス（2026 年 10 月 31 日時点で参照可能なもの）に基づいています。制度文書は更新されるため、ncsc.gov.uk と iasme.co.uk の最新版が本記事の要約に優先します。