サイバー保険の質問票とMicrosoft 365の証跡

結論： サイバー保険の質問票にある Microsoft 365 関連の設問は多くが「はい／いいえ」ですが、確かな「はい」には日付入りのエクスポートが必要です。本稿では、よくある設問が何を確認しているか、答えが Microsoft 365 のどこにあるか、そして「はい」を正直な「いいえ」に変えてしまう典型的な落とし穴を整理します。

サイバー保険の質問票は一見ただの書式ですが、実際には、いくつかの重要な管理策が、記入者本人のアカウントだけでなくテナント全体で有効になっていることの証明を求めています。Microsoft 365 を使っていれば、ほとんどの答えは数か所の管理ポータルで確認できます。ただし、ポータルが示すのは「今日の設定」であり、署名した申込書が対象とするのは保険期間全体です。日付入りの証跡は、そのずれを埋めるためのものです。

本稿は、更新手続きの書類を受け取った中小企業の IT 担当者や、経理・総務・事業管理の責任者に向けて書いています。最初にお断りしておきます。質問票の様式も、何を証跡として受け入れるかも、保険会社や代理店ごとに異なり、各社が自ら判断します。本稿は貴社の保険会社が何を受け入れるかを示すものではなく、署名の前に自社の状況を整理するための手引きです。

サイバー保険の質問票は、何を確認しているのか

引受担当者が知りたいのは、事故が起きる可能性と、起きた場合の損失の大きさです。サイバー保険会社の Coalition は、多要素認証（MFA）、従業員教育、バックアップ、ID・アクセス管理、データ分類を主要な要件として挙げ、EDR またはウイルス対策ソフトとインシデント対応計画にも触れています（2026年10月27日閲覧）。英国の国家サイバーセキュリティセンター（NCSC）のサイバー保険ガイダンス（2020年8月6日公開、2026年10月27日閲覧）は、毎年の保険見直しに備えて正確なセキュリティ文書を保管することを勧め、バックアップをネットワークから分離するか、そのための専用クラウドサービスに置くことを推奨しています。

避けたいのは、記憶や当初の設計だけで答えることです。問うべきは「MFA を有効にするつもりだったか」ではなく、「メール、リモートアクセス、管理者ロールに到達できるすべてのアカウントで、今日 MFA が強制されており、それを示せるか」です。

保険会社がよく尋ねる Microsoft 365 の設問

以下は、公開されている保険会社のガイダンスや一般的な申込書に繰り返し現れるテーマです。表現は会社ごとに異なるため、お手元の質問票を基準にしてください。各設問について、確認している内容、答えの在処、有効な証跡、典型的な落とし穴の四点を示します。

メールとリモートアクセスで MFA は強制されているか

本当に確認していること： 盗まれたパスワードだけで、メールの閲覧やシステムへの侵入ができてしまわないか。保険会社が見るのはカバー率であり、「どこかに MFA がある」ことではありません。
Microsoft 365 のどこにあるか： Microsoft Entra 管理センターの［Entra ID］>［条件付きアクセス］>［ポリシー］。さらに［Entra ID］>［認証方法］>［アクティビティ］の「登録」タブとユーザー登録の詳細レポートで、どのユーザーが MFA 対応済みかを確認できます（Microsoft ドキュメント、2026年6月更新、2026年10月27日閲覧）。
有効な証跡： 各ポリシーの状態（オン、レポート専用、オフ）、対象ユーザーとアプリの範囲、除外設定を示す日付入りの条件付きアクセスポリシー一覧。加えて、MFA 未対応のユーザーを絞り込んだ日付入りのユーザー登録詳細エクスポート。
典型的な落とし穴： MFA を要求するポリシーが「レポート専用」のままになっていること。Microsoft のドキュメントは、レポート専用モードのポリシーは評価されるだけで強制されないと明記しています（2026年6月更新、2026年10月27日閲覧）。ユーザーは認証を求められることも、ブロックされることもありません。もう一つは、「すべてのユーザー」ポリシーの除外グループがいつの間にか膨らみ、経営層、共有メールボックス、「一時的」なアカウントまで含んでしまっているケースです。

「MFA に対応している」ことと「MFA の利用が求められている」ことは別です。MFA を登録済みのユーザーでも、強制ポリシーの対象外なら、サインイン時に何も聞かれません。ポリシー一覧と登録レポートを合わせて確認してください。

管理者・特権アカウントは別に保護されているか

本当に確認していること： すべてを変更できるアカウントが最も乗っ取られにくくなっているか、その数が多すぎないか。
Microsoft 365 のどこにあるか： Entra ID の［ロールと管理者］でロール保持者を確認。ディレクトリロールを対象にした条件付きアクセスポリシー。ライセンスに含まれる場合は Privileged Identity Management で「対象」と「永続」の割り当てを確認します。
有効な証跡： グローバル管理者やその他の特権ロールの保持者を示す日付入りのロール割り当てエクスポート、グローバル管理者の人数、各管理者が使う MFA 方式。管理者がメールボックスを持たない専用の管理アカウントを使い、パスキーなどのフィッシング耐性のある方式を採用していれば、さらに強い証跡になります。
典型的な落とし穴： 緊急用（break-glass）アカウント。Microsoft は2つ以上の緊急アクセスアカウントを用意し（2026年6月更新、2026年10月27日閲覧）、サインインをブロックまたは制限する条件付きアクセスポリシーから除外し、パスキーまたは証明書で保護し、使用時にアラートを出すよう推奨しています。テナントによっては、1つもない、あるいはパスワードのみで MFA がなく、使用してもアラートが出ない1つだけ、という状態です。「すべての管理者で MFA が強制されているか」への正直な答えは、「はい。ただし次のアカウントを除き、その管理方法は次のとおり」になるはずです。例外は書き出してください。

Microsoft 自身の必須 MFA（2026年10月更新、2026年10月27日閲覧）は、Azure、Entra、Intune、Microsoft 365 の各管理ポータルを対象とし、緊急用アカウントも含みます。これは管理ポータルのルールであり、メールやアプリ向けのポリシーの代わりにはなりません。

レガシー認証はブロックされているか

本当に確認していること： POP、IMAP、旧式の SMTP クライアントなど、MFA を求められない古いプロトコルを使って、MFA を迂回できないか。
Microsoft 365 のどこにあるか： Entra ID の［監視と正常性］>［サインインログ］で「クライアントアプリ」を条件に絞り込みます。対話型と非対話型の両方のタブを確認してください。Microsoft は条件付きアクセスによるレガシー認証のブロックで手順を説明しています（2026年3月更新、2026年10月27日閲覧）。関連するメールフローの設定は Exchange 管理センターにあります。
有効な証跡： レガシークライアントアプリをブロックする条件付きアクセスポリシー（状態は「オン」）と、直近30日のサインインログの日付入りエクスポート。成功したレガシーサインインがないこと、または残っているものとその理由を示します。
典型的な落とし穴： SMTP AUTH。Microsoft は、ほとんどのプロトコルで基本認証はすべてのテナントで無効化済みとしていますが（2026年7月更新、2026年10月27日閲覧）、SMTP AUTH は引き続き利用可能で、その基本認証の廃止スケジュールは別途公表されています。プリンター、スキャナー、業務アプリが依存していることがよくあります。有効なままなら、どの機器が何のために使っているかを把握しておく必要があります。「レガシー認証はない」と答える前に、必ず確認してください。

SPF・DKIM・DMARC は設定され、外部転送は管理されているか

本当に確認していること： 自社ドメインを名乗るなりすましメールを送れないか、また、乗っ取られたメールボックスから社外へメールが密かにコピーされないか。
Microsoft 365 のどこにあるか： SPF と DMARC はドメインを管理する DNS 側のレコードです。DKIM 署名は Microsoft Defender ポータルでドメインごとに有効化します。外部転送は Defender のスパム対策（送信）ポリシーで制御し、Exchange 管理センターの「自動転送メッセージ」レポートで確認できます。
有効な証跡： 送信ドメインごとの SPF・DMARC レコードを引いた日付入りの DNS 照会結果、DKIM が有効であることを示す日付入りのスクリーンショットまたはエクスポート、自動転送が「オフ」になっている送信スパムポリシー。Microsoft は DMARC の設定と、p=none から p=quarantine、p=reject へ進める手順（2026年7月更新、2026年10月27日閲覧）、および自動外部転送の制御（2026年8月更新、2026年10月27日閲覧）を文書化しています。
典型的な落とし穴： DMARC レコードはあるものの p=none のままで、監視するだけで守っていない。使っていない古いドメインに DMARC レコードがない。メールに使っていない *.onmicrosoft.com ドメインにも、Microsoft によれば独自のレコードが必要です。転送については、既定の「自動：システム制御」は組織の作成時期によって動作が異なると Microsoft が説明しているため、思い込まず明示的に設定してください。

DMARC が p=none の段階は、強制へ向かう途中の正当なステップです。現在地と、quarantine や reject へ移行する予定時期を正直に書いてください。

すべての端末にエンドポイント保護または EDR があるか

本当に確認していること： 不審なリンクを開いたノート PC に、攻撃を止める、少なくとも検知できる仕組みがあるか。また、何台がカバーされているかを説明できるか。
Microsoft 365 のどこにあるか： Microsoft Defender ポータル（デバイスインベントリ、オンボード状態）と、Intune 管理センターの［デバイス］（コンプライアンス状態、そもそも管理されているデバイスはどれか）。
有効な証跡： 全デバイスについて OS、保護状態、最終チェックイン日時を列挙した日付入りエクスポートを、従業員数と突き合わせたもの。
典型的な落とし穴： 把握できていない端末。「端末の100%をカバー」という答えは、90日間チェックインのない端末、会社のメールを読んでいる私物ノート PC、未登録の Mac が台帳に見つかった途端に崩れます。私物端末から会社のメールにアクセスしているなら、そう明記し、アプリ保護ポリシーやブラウザー限定アクセスなどの対策を説明してください。

デバイス管理をゼロから整える場合は、Microsoft Intune の料金ページもご覧ください。

パッチは適用され、最新に保たれているか

本当に確認していること： 管理下のデバイスとソフトウェアで、既知の脆弱性がどれだけ速やかに塞がれるか。
Microsoft 365 のどこにあるか： Intune の更新リングと Windows Update for Business のレポート。ライセンスがあれば Defender 脆弱性管理。
有効な証跡： デバイスごとの更新コンプライアンスの日付入りエクスポートと、インストール期限を定めたポリシー。
典型的な落とし穴： パッチポリシーはあるが、デバイスが守っている証拠がない。電源が切れている、ネットワークに接続していない、未登録のデバイスは「失敗」としても表示されません。サーバーやサードパーティ製ソフトは Intune の範囲外なので、環境全体について答えてください。

Microsoft 365 のデータを含め、バックアップはあるか

本当に確認していること： ランサムウェアや誤削除の際に、身代金を払わずに復旧できるか、そしてバックアップが同じ攻撃を生き延びるか。
Microsoft 365 のどこにあるか： 保持ポリシーやごみ箱はバックアップではありません。Microsoft のサービス契約（2026年10月27日閲覧）は、顧客自身が自分のコンテンツとデータをバックアップするよう求めています。メールボックス、SharePoint、OneDrive、Teams のバックアップは、通常、別途購入して設定するサービスです。
有効な証跡： ワークロードごとの直近の成功ジョブを示すバックアップレポート、結果付きの日付入り復元テスト、コピーの保管場所と削除できる人。
典型的な落とし穴： ファイルが OneDrive に同期されているから「はい」と答えること。同期は、削除や暗号化されたファイルも正常なファイルと同じように忠実に複製します。もう一つは、バックアップが管理者 ID をテナントと共有していて、攻撃者がテナントを奪うとバックアップも一緒に消せてしまうことです。

NCSC の基準、すなわちバックアップをネットワークから分離するか専用サービスに置くことは、妥当な判断軸です。当社のクラウド運用型バックアップサービスはこの領域をカバーします。

ログはあるか、どのくらい保持されるか

本当に確認していること： 事故の後で、何が起きてどこまで広がったかを突き止められるか。
Microsoft 365 のどこにあるか： Microsoft Purview の「監査」（統合監査ログ）、Entra のサインインログと監査ログ、Defender のアラートとインシデント。
有効な証跡： 監査が有効であることを示すスクリーンショットまたはエクスポート、実際の保持期間、結果が返る検索例。Microsoft の Purview 監査のドキュメント（2026年5月更新、2026年10月27日閲覧）によれば、Audit（Standard）の保持は180日、Audit（Premium）では Entra、Exchange、SharePoint、OneDrive のレコードが最長1年保持されます。
典型的な落とし穴： 質問票が求める保持期間が、テナントの実際の180日より長い。ログを定期的に別の保管先へエクスポートするか、ライセンスを見直してください。単にチェックを入れて済ませてはいけません。

フィッシング対策の教育を実施しているか

本当に確認していること： 従業員が不審なメールをクリックせず、報告するか。
Microsoft 365 のどこにあるか： ライセンスがあれば Defender ポータルの攻撃シミュレーショントレーニング。なければ研修提供元の記録。
有効な証跡： 従業員別の日付入り受講完了レポートと、直近のシミュレーションの実施日。
典型的な落とし穴： 入社時に一度実施しただけで記録がない。委託先スタッフや新入社員の記録が抜けている。

インシデント対応計画はあるか

本当に確認していること： 午前2時に何か起きたとき、誰に連絡し、まず何をするかを皆が知っているか。
Microsoft 365 のどこにあるか： 主に文書ですが、Defender のアラートポリシー（誰に通知されるか）と Purview の監査（どう調査するか）が支えになります。
有効な証跡： 日付と責任者が入った計画、保険会社の事故受付窓口を含む連絡先一覧、直近の訓練の実施日。
典型的な落とし穴： 計画が特定の人の頭の中にしかない、または連絡先一覧に退職者の名前が残っている。

スクリーンショットと日付入りエクスポート、どちらが証跡になるか

保険会社が求める証明は様々で、事故が起きるまで何も求めない会社も少なくありません。それでも、より強い方を前もって用意しておけば手間は小さく、自社の回答も裏付けやすくなります。

日付入りスクリーンショットと日付入りエクスポートの比較

日付入りスクリーンショット： 手早く読みやすい。ただし、ある日の一つの画面しか示せず、トリミングされたり、別のテナントを撮ってしまったりしがちです。「DKIM 有効」「監査オン」のような設定向きです。
日付入りエクスポート（CSV、JSON、タイムスタンプ付き PowerShell 出力）： 最初のページだけでなく全レコードを示すため、トリミングされたスクリーンショットが隠す除外設定も見えます。MFA 登録、ロール割り当て、デバイス台帳、サインインログに向いています。
顧客署名の声明書： 上記のどちらでもありません。回答が正確であることを自社が文書で宣言するもので、他に何を添付しても求める保険会社が多い書類です。その強さは、裏付けとなるエクスポートに左右されます。

ファイル名、日付、テナント名、エクスポートした人を記録しておいてください。日付のわからないエクスポートは、記憶とあまり変わりません。

更新前の Microsoft 365 チェックリスト

更新日の4〜6週間前に始めてください。問題を報告するだけでなく、修正する時間が確保できます。

条件付きアクセス： ポリシー一覧をエクスポート。MFA とレガシー認証ブロックのポリシーがすべて「オン」で、「レポート専用」でないことを確認。除外グループを見直し、メンバーを一人ずつ書き出す。
MFA のカバー率： ユーザー登録詳細をエクスポート。MFA 未対応のユーザーを一人ずつ追う。
管理者： ロール割り当てをエクスポート。グローバル管理者を説明できる人数まで減らす。緊急用アカウントが存在し、設計どおり除外され、保護され、監視されていることを確認。
レガシー認証： 30日分のサインインログをレガシークライアントアプリで絞り込む。SMTP AUTH を使っているものを見つけて対処する。
メールセキュリティ： 所有するすべてのドメインの SPF と DMARC を照会。DKIM がオンであることを確認。自動外部転送を「オフ」にするか、理由を記録。
デバイス： Intune と Defender のデバイス一覧をエクスポート。未管理や長期間非アクティブなものを解消し、私物端末の扱いを書き出す。
パッチ： 更新コンプライアンスをエクスポートし、ポリシーが定める期限を記す。
バックアップ： ワークロードごとの直近の成功ジョブを取得し、日付入りの復元テストを実施。
ログ： 監査がオンであることを確認し、実際の保持期間を書き留める。
人とプロセス： 研修記録とインシデント対応計画に日付を入れる。
署名： 書式に署名する人が、先にこれらのエクスポートを読む。

Brocent にできること、できないこと

Brocent は香港に拠点を置くマネージド IT サービス事業者で、アジア太平洋、英国・欧州、中東のお客様を支援しています。当社の CIS ベンチマーク監査は、読み取り専用のアクセスで Microsoft 365 テナントを読み込み、CIS Microsoft 365 Benchmark のレベル1・レベル2に照らして確認します。セキュアスコアでは確認できない手動のコントロールも含みます。レポートには保険会社向けの証跡セクションがあり、上記の設問に答え、各項目について日付入りのエクスポートを示します。たとえば、ユーザーごとの MFA カバー率、除外設定を含む条件付きアクセス一覧、SPF・DKIM・DMARC のレコードです。

レポートは証跡として使われることを想定して設計されています。何かへの準拠を保証するものではなく、何を受け入れるかは各保険会社が決めます。また、多くの保険会社は顧客の署名入り声明書も求めます。当社でレビュー用の案を用意できますが、内容が事実かどうかを判断し、署名するかどうかを決めるのはお客様です。

公開価格は一回払いで、従業員数に応じた区分、米ドル建て、税別です。

1〜10ユーザー： US$450
11〜25ユーザー： US$990
26〜75ユーザー： US$1,800
76〜150ユーザー： US$2,900
150ユーザー超： お見積り

どの区分でも対象範囲は同じです。読み取り専用アクセスをいただいてから5〜7営業日でレポートをお届けします。詳細は Microsoft 365 セキュリティ監査の料金ページをご覧ください。架空の顧客によるサンプルレポート（英語、保険会社向け証跡パック付き）もご覧いただけます。単発のレポートではなく継続的な支援をお探しなら、マネージド IT・セキュリティサービスをご確認いただくか、お問い合わせください。更新手続きについてご相談に応じます。

よくある質問

サイバー保険の質問票は、Microsoft 365 について通常何を尋ねますか？

メール、リモートアクセス、管理者アカウントの MFA、特権アカウントの管理、SPF・DKIM・DMARC、エンドポイント保護または EDR、パッチ、バックアップ、ログ、従業員教育、インシデント対応計画です。表現は保険会社ごとに異なるため、お手元の質問票を基準にしてください。

サイバー保険の MFA の証跡として何が有効ですか？

カバー率と強制の両方を示せる証跡が最も強力です。状態と除外設定を含む日付入りの条件付きアクセスポリシーのエクスポートと、誰が MFA 対応かを示す日付入りのユーザー登録詳細エクスポートです。ポリシーを1枚撮ったスクリーンショットでは、誰が除外されているかは通常わかりません。

条件付きアクセスポリシーが「レポート専用」でも、MFA を強制していることになりますか？

なりません。Microsoft のドキュメントによれば、レポート専用モードのポリシーは評価されるだけで強制されず、ユーザーは MFA を求められることも、ブロックされることもありません。MFA ポリシーがレポート専用なら、正直な答えは「そのポリシーではまだ MFA を強制していない」です。影響を確認してから「オン」に切り替えてください。

緊急用アカウントを除外しても、MFA の設問に「はい」と答えられますか？

Microsoft は、緊急アクセスアカウントを、サインインをブロックまたは制限する条件付きアクセスポリシーから除外し、代わりにパスキーまたは証明書で保護するよう推奨しています。質問票には事実どおり、「名前を挙げた緊急用アカウント2つを除きすべてのアカウントで MFA を強制。この2つはフィッシング耐性のある方式を使い、監視している」と書いてください。

Microsoft 365 は保険目的でデータをバックアップしてくれますか？

保険会社が通常想定する意味では、バックアップしてくれません。Microsoft のサービス契約は、顧客自身がコンテンツとデータをバックアップするよう求めており、ごみ箱や保持ポリシーは独立して保護されたコピーではありません。独立したコピーと、日付入りの復元テストを残してください。

Microsoft 365 の監査ログはどのくらい保持されますか？

Audit（Standard）は180日です。Audit（Premium）では、Entra、Exchange、SharePoint、OneDrive のレコードが既定で1年保持され、ライセンスが許せば、カスタムの保持ポリシーでさらに延ばせます。保険会社が求める期間がライセンスの範囲を超える場合は、エクスポートまたはライセンスの変更を計画してください。

保険会社は Brocent の CIS ベンチマーク監査レポートを受け入れますか？

お約束はできません。レポートは証跡として使われることを想定して設計されており、保険会社向けの証跡セクションが各項目について日付入りのエクスポートを示しますが、受け入れるかどうかは各保険会社が決めます。更新のためだけに何かを購入する前に、代理店にご確認ください。顧客声明書のレビュー用の案も当社で用意できます。