Intune デバイス監査とは：何を確認し、何が納品され、Intune ライセンスと何が違うのか

要点： Intune デバイス監査は、会社のデータに到達するすべてのデバイスを読み取り専用で一度だけ点検するものです。登録されているか、コンプライアンスを満たすか、暗号化されているか、Defender が有効か、重要更新が 14 日以内に適用されているか、個人スマホの業務アプリにアプリ保護があるかを確認します。納品物は評価付きレポート、指摘事項の一覧、段階的な修正計画です。ライセンスではなく、すでに支払っているライセンスが実際に機能しているかを教えてくれるものです。

Intune デバイス監査を検索している方は、おおむね二つの状況のどちらかにいます。すでに Intune を運用していて、現在の設定が本当にノート PC とスマホを守っているのか第三者に判断してほしい場合。あるいは Intune ライセンスの購入を検討していて、お金を使う前に「管理されている」とは何を意味するのかを知りたい場合です。本記事は両方に答えます。デバイス監査は何を点検するのか、納品物はどのような形か、どこで監査が終わりテナント全体の Microsoft 365 セキュリティ監査がどこから始まるのか、そしてなぜ監査とライセンスが混同されやすい別々の購入なのか、を説明します。

以下の納品物に関する記述はすべて、Brocent が公開している Intune デバイス監査のサンプルレポート（英語ページ）に基づいています。架空の 14 名・28 台の会社を題材にしたもので、実在の顧客を記述したものではありません。

Intune デバイス監査は何を確認するのか？

デバイス監査は単純な問いから始まります。どのデバイスが会社のメール、ファイル、チャットを開けるのか、そしてそれぞれの実態はどうなっているのか。Intune は登録済みのデバイスしか把握していないため、最初の作業は Intune のインベントリをサインインデータ、Exchange ActiveSync とモバイルアプリのログと突き合わせることです。その上で、九つの領域を順に確認します。

• 登録のカバー率。 会社のデータに到達するデバイスの台数、登録済みの台数、未登録のデバイスがどのように生まれたか。サンプルでは 28 台中 19 台のみが登録済みで、量販店で購入した会社所有の Mac 2 台は Apple Business Manager に入っておらず、個人スマホ 7 台はまったく管理対象外でした。
• コンプライアンスポリシー。 各プラットフォームにポリシーが存在するか、実際に何を検査しているか、非準拠のデバイスが本当に非準拠と判定されブロックされるか。サンプルの macOS ポリシーは OS バージョンとパスワードしか確認しておらず、ほぼすべてのデバイスが通過してしまいます。
• 構成プロファイルとセキュリティベースライン。 Windows セキュリティベースラインが割り当てられているか、カスタムプロファイルがそれと競合していないか、各プラットフォームの CIS Intune ベンチマークと比べた結果はどうか。
• 暗号化。 Windows の BitLocker と macOS の FileVault、回復キーが Intune にエスクローされているかを含みます。サンプルでは、コンプライアンスポリシーが暗号化を要求していなかったため、管理下の Mac 5 台のうち 2 台で FileVault が無効でした。BitLocker の回復キーが一度もエスクローされていないノート PC も 1 台ありました。
• エンドポイント保護。 Defender がすべてのプラットフォームでオンボードされ、完全に保護された状態にあるか。Mac ではシステム拡張、フルディスクアクセス、バックグラウンドサービスの三つのプロファイルが必要で、見落とされがちです。
• 更新リングとパッチ適用状況。 更新リングや期限が設定されているか、重要更新が 14 日以上遅れているデバイスが何台あるか。14 日という数字が重要なのは、Cyber Essentials v3.3 がこれを自動的な不合格として扱うためです。詳しくは Cyber Essentials と Microsoft 365 のガイドをご覧ください。
• 個人デバイスのアプリ保護。 iOS と Android のアプリ保護ポリシーが存在するか、条件付きアクセスがそれを必須にしているか、標準メールアプリが Exchange ActiveSync 経由で依然として接続できるか。後者はアプリ保護を完全に迂回します。
• 管理者ロールとローカル管理者。 誰が Intune のロールを持っているか、ノート PC にローカル管理者権限が残っていないか、Windows LAPS が構成されているか。
• インベントリの衛生状態。 長期間チェックインのないデバイス記録、個人の Windows PC の登録を許す登録制限、ポータルサイトが従業員にとって使える状態か。

読み取るのは構成とメタデータのみです。メールや文書の中身は読みませんし、デバイスに何かをインストールすることもありません。

監査はどのように実施されるのか？

デバイス監査はテナント監査と同じ読み取り専用モデルで行います。グローバル管理者が読み取り専用の Microsoft Graph アプリケーションに一度だけ同意します。所要時間は約 15 分です。API で読めない設定は、貴社の IT 担当者と画面共有しながら管理ポータルで確認し、各指摘事項には取得方法を明記します。Graph または PowerShell で検証、顧客と確認、手動レビュー、のいずれかです。同意はアプリケーションを削除すればいつでも取り消せます。

Brocent は香港とシンガポールから監査をリモートで提供し、貴社のタイムゾーンに合わせてビデオ会議で説明会を行います。Microsoft 365 セキュリティ監査の料金ページには、プロセスとテナント監査の 5〜7 営業日の納期が記載されています。デバイス監査はそれと併せて範囲を決めます。

最終的に何が納品されるのか？

サンプルレポートが納品物の形を示しています。全文を読む価値がありますが、構成は次のとおりです。

• 評価と一行の結論。 サンプル企業は 100 点中 54 点、C マイナス。Windows は健全で、Apple デバイスと個人スマホにリスクがある。結論は最初の一手、つまり個人スマホ 7 台へのアプリ保護を名指しします。
• デバイス資産の一覧。 六つの数字です。会社データに到達するデバイス数、管理下、準拠、暗号化済み、14 日以内にパッチ適用済み、保護のない個人スマホ数。準拠、暗号化、パッチは登録済みデバイスのみで測定しており、レポートはそのことを明記しています。管理下 68 パーセントと準拠 79 パーセントはまったく別の数字だからです。
• 所有形態別の推奨管理モデル。 会社所有の Windows ノート PC と Mac は完全管理。個人の iPhone と Android はアプリ保護のみで登録しない。自宅の PC はブラウザーのみでダウンロード不可。各行に制御内容と、それを強制する条件付きアクセスの許可条件を記載します。
• プラットフォーム別の CIS ベンチマーク結果。 CIS Intune Windows 11 ベンチマーク、macOS と iOS のベンチマーク、個人スマホ向けのアプリ保護ベースラインについて、評価項目数、合格、不合格、手動確認の件数。サンプルの個人スマホはポリシーが存在しないため 18 項目中 0 点です。
• 指摘事項の一覧。 サンプルでは 15 件。各件に領域、深刻度、S・M・L の工数、クローズするフェーズ、信頼度ラベルが付きます。唯一の重大項目は個人スマホにアプリ保護がないこと。四つの高リスク項目は、ActiveSync 経由の標準メールアプリ、未登録の Mac 2 台、Mac での Defender の不完全な状態、FileVault が必須になっていないことです。
• 提案するアプリ保護ポリシー。 実際の設定をアプリごとに列挙します。PIN、データ転送の制限、暗号化、条件付き起動、選択的ワイプ、条件付きアクセスの許可条件です。
• Cyber Essentials v3.3 のデバイス対応表。 セキュアな構成、ユーザーアクセス制御、マルウェア対策、更新管理、BYOD の範囲について、充足、一部充足、未充足のステータスを付けます。レポートはそのプロセスで証拠として使えるよう設計されたものであり、認証を付与したり保証したりするものではありません。
• 段階的な修正計画。 フェーズ 0 安定化は約 1 日、フェーズ 1 強化は約 3.5 日、フェーズ 2 統制は約 1.5 日。各フェーズにクローズする指摘事項と成功指標、たとえばモバイルからのサインインの 100 パーセントが保護されたアプリ経由であること、を記載します。

レポートの裏付けとなる Excel ワークブックも納品されます。同じ指摘事項とデバイス行が入っており、貴社のチームや別のプロバイダーがそのまま作業に使えます。

デバイス監査と Intune ライセンスの購入は何が違うのか？

これが多くの人を検索窓に向かわせる混同です。Intune Plan 1、Plan 2、Intune Suite は機能です。監査は、その機能が構成され、想定どおりに動いているかについての判断です。三つの問いを立てれば簡単に区別できます。

ダッシュボードか、監査か、ライセンスのアップグレードか？

• Intune のコンプライアンスダッシュボード。 どの Intune プランにも含まれ、即座に使え、自分が知っていることについては正直です。限界は、登録済みデバイスについて、あなたが書いたポリシーへの準拠だけを報告することです。ポリシーが暗号化を問わなければ、暗号化オフのデバイスも準拠と表示されます。一度も登録されていない 7 台のスマホは見えません。
• ベースラインに基づくデバイス監査。 一度きり、読み取り専用で、自社ポリシーではなく公開ベンチマークに対して測定し、サインインデータの突き合わせによって未登録デバイスも対象にします。ギャップがどこにあるかを示し、優先順位を付け、解消に必要な工数を見積もります。それ自体は何も変更しません。
• ライセンスのアップグレード。 リモートヘルプ、エンドポイント特権管理、高度な分析などの機能を追加します。それだけでは何も修正されず、ベースラインが誤っていれば同じギャップがより多くの機能に広がるだけです。サンプルの指摘事項の大半は、その会社がすでに保有していたライセンスの設定でクローズできます。

実務的な順序は、まずダッシュボード。すでに含まれているからです。次に、外部から証拠を求められたとき、あるいはダッシュボードが実態より良く見せていると疑うときに監査。最後に、監査で本当に不足している機能が判明してからライセンス変更です。プラン比較とユーザー単価は Microsoft Intune 料金ページに、どのプランにどの機能が含まれるかは Intune Plan 1・Plan 2・Suite のガイドにあります。本記事ではそれらの表を繰り返しません。

デバイス監査と Microsoft 365 セキュリティ監査の関係は？

両者は同じテナントの異なる層を見ます。Microsoft 365 セキュリティ監査はテナント本体、つまり Entra ID の ID、条件付きアクセス、Exchange Online、SharePoint、Teams、Defender for Office 365、Purview を CIS Microsoft 365 ベンチマークに照らして確認します。デバイス監査はそのテナントにサインインするエンドポイントを確認します。サンプルでは二つのレポートが同じ顧客を扱い、相互に参照しています。テナントレポートがデバイスの指摘事項を要約し、デバイスレポートが詳細を保持します。

どちらを先に行うかは、きっかけによります。

• サイバー保険の更新や取引先のセキュリティ質問票は通常、デバイスより先に MFA、管理者アカウント、メール保護を尋ねます。テナント監査から始めてください。
• Cyber Essentials の申請はデバイスを直接テストし、業務メールを開く個人スマホも対象です。ID 側がすでに整っていれば、デバイス監査のほうが質問票の多くに答えられます。
• ノート PC の紛失、退職者のスマホに会社メールが残っている、調達を通さず購入した Macは、デバイス監査を直接指しています。
• 「どれも一度も見直したことがない」なら両方必要で、テナント監査が先です。盗まれたデバイスが何に到達できるかを決めるのは ID の制御だからです。

ID 側については テナント監査で何を確認するかのガイドで詳しく解説しています。

Intune デバイス監査の費用は？

Brocent は Intune 監査単体の価格を公開していません。デバイス監査は Microsoft 365 セキュリティ監査と併せて範囲を決めます。後者の定価は人数で決まり、1〜10 ユーザー US$450、11〜25 ユーザー US$990、26〜75 ユーザー US$1,800、76〜150 ユーザー US$2,900、150 ユーザー超は個別見積もりです。デバイス台数、プラットフォームの構成、個人スマホを対象に含めるかどうかで、上乗せされるデバイス作業の量が決まるため、デバイス部分は短い範囲確認の後に見積もりとなり、定価としては掲載していません。監査の料金ページに各価格帯の内容と見積もりの組み立て方があります。強化作業は含まれず、指摘事項一覧を受け取った後に是正を案件ごとに見積もります。

価値について二点述べておきます。第一に、デバイスの指摘事項の大半は、機能がすでにライセンスに含まれているため、数日の設定作業以外に修正コストがかかりません。第二に、監査自身の工数見積もりこそが有用な点です。サンプルの修正計画全体は 4 か月にわたる約 6 営業日で、発注側はこの数字を当社を含むどのプロバイダーにも求めることができます。

監査前に何を準備すべきか？

• 誰がどのデバイスを使っているかの一覧。 監査はサインインデータからデバイスを突き合わせますが、所有形態（会社のノート PC、個人スマホ、自宅 PC）を記した従業員一覧があれば確認時間は半分になります。
• Apple Business Manager と Autopilot へのアクセス。 監査側が何かを変更するためではなく、どのデバイスが登録済みでどれが未登録かを確認するためです。
• 現状のポリシーを、そのままで。 監査前に整理しないでください。目的はドリフトを見ることであり、片付けの翌日のスナップショットではありません。
• きっかけ。 保険会社のためか、Cyber Essentials か、顧客の質問票か、自社の安心のためかを伝えてください。レポートがどの対応表を先頭に置くかが決まります。

よくある質問

Intune デバイス監査とは何ですか？

会社のデータに到達するすべての Windows、macOS、iOS、Android デバイスを、会社所有か個人所有かを問わず、読み取り専用で一度だけ点検するものです。登録、コンプライアンスポリシー、CIS Intune ベンチマークに照らした構成、暗号化、Defender、パッチの適用時期、個人スマホのアプリ保護、管理者権限、インベントリの衛生状態を確認し、評価付きレポート、指摘事項一覧、段階的な修正計画を作成します。

Intune デバイス監査は個人のスマホも対象ですか？

はい。多くの小規模企業では、重大な指摘事項はまさにそこにあります。Outlook、Teams、OneDrive を開く個人スマホは対象です。アプリ保護ポリシーが存在するか、条件付きアクセスがそれを必須にしているか、標準メールアプリが Exchange ActiveSync 経由でメールボックスに到達していないかを確認します。推奨モデルは、個人スマホをデバイス登録の対象外とし、代わりに業務アプリを保護することです。

監査の前に Intune Plan 2 や Intune Suite が必要ですか？

いいえ。監査は現在の構成をベンチマークに照らして測定します。サンプルの指摘事項の大半は、Plan 1 と Microsoft 365 Business Premium に同梱されるライセンスの設定でクローズできます。本当に上位プランが必要な指摘事項があれば、レポートにそう明記しますので、その後に Intune 料金ページでプランを比較できます。

Intune のコンプライアンスレポートとデバイス監査の違いは？

Intune 管理センターのコンプライアンスレポートは、登録済みデバイスがあなたの書いたポリシーを満たしているかを示します。監査は、そのポリシーが正しい問いを立てているか、未登録デバイスが何をしているか、資産全体が公開ベンチマークに対してどの水準かを示します。ポリシーが一度も確認していなければ、ダッシュボード上で準拠と表示されるデバイスが暗号化されていないこともあり得ます。

Intune デバイス監査にはどれくらいかかりますか？

データ収集は数日間の読み取り専用スキャンで、レポート発行前に再確認を行います。サンプルの評価期間は 3 日でした。監査ファミリーのレポートは、読み取り専用の同意から 5〜7 営業日以内に発行されます。貴社側の負担は、同意、短い範囲確認の打ち合わせ、手動確認項目のための画面共有だけです。

Intune デバイス監査のレポートは Cyber Essentials に受理されますか？

レポートにはデバイスの制御と Cyber Essentials v3.3 の要求事項領域の対応表が含まれ、審査の準備で証拠として使えるよう設計されています。認証を付与、認定、保証するものではありません。それができるのは認証機関だけです。

Windows だけでなく Mac や iPad も監査できますか？

できます。サンプルは Windows ノート PC 13 台、Mac 7 台、共用 iPad 1 台、個人の iPhone と Android を対象とし、Windows 11、macOS、iOS の CIS Intune ベンチマークと、Microsoft の Android Enterprise 構成フレームワークに照らして測定しています。Android には CIS Intune ベンチマークが存在しないためです。

監査の後はどうなりますか？

レポート、ワークブック、説明会をお渡しします。ご自身で修正する、ワークブックを既存のプロバイダーに渡す、修正計画を Brocent に案件単位で見積もり依頼する、のいずれも可能です。修正後の検証再監査は選択肢であり、条件ではありません。

次のステップ

まず Intune デバイス監査のサンプル（英語ページ）をオンラインでお読みいただき、次に Microsoft 365 セキュリティ監査の料金ページで価格帯とプロセスをご確認ください。ライセンスを検討中であれば、Intune 料金ページにプラン比較があります。貴社のデバイス資産に合わせた監査の範囲を決めるには、おおよそのデバイス台数と、この疑問が生じたきっかけを添えてコンサルタントにご相談ください。