Windows 11 の Intune セキュリティ ベースライン監査：展開したベースラインからのずれを見つける方法

要点： Intune セキュリティ ベースラインの監査が答える問いは一つです。展開した Windows ベースラインは、今も Windows 11 デバイスが実際に動いている構成と一致しているか。ずれの原因は四つあります。ほかのポリシーとの設定ごとの競合、ベースラインを受け取っていないデバイス、誰も記録していないカスタマイズ値、そして Microsoft が新しいバージョンを公開した後も古いバージョンのまま残っているプロファイルです。どれも、見る場所さえわかれば Intune 管理センターで確認できます。

Intune を使っている組織の多くは、Windows セキュリティ ベースラインを一度割り当て、健全に見える状態グラフを確認して、次の仕事に移ります。出発点としてはそれで構いません。問題は、ベースラインがあるバージョン時点での Microsoft の推奨のスナップショットであり、その後に作ったすべてのポリシーの上に重ねて適用されている、という点です。Intune セキュリティ ベースライン監査は、そのスナップショット、周囲のポリシー、その下にあるデバイスの三つが今も一致しているかを定期的に確かめる作業です。

本記事では Windows 11 でこの確認を行う方法を説明します。状態レポートの場所、競合の読み方、プロファイルが古くなっているかどうかの見分け方、そして独立した監査で何が加わるか。すでに Intune を使っていることを前提にしています。どの Intune ライセンスを買うか検討中であれば、先に Intune Plan 1、Plan 2、Suite の比較をご覧ください。

Intune セキュリティ ベースラインとは何か、何ではないのか？

Intune 管理センターの「エンドポイント セキュリティ」にある「セキュリティ ベースライン」では、Windows、Microsoft Defender for Endpoint、Microsoft Edge、Windows 365、Microsoft 365 Apps 向けに、あらかじめ構成された設定のまとまりを Microsoft が提供しています。多くの組織が「ベースライン」と言うときに指しているのは「Windows 10 以降のセキュリティ ベースライン」です。Microsoft のドキュメントは、これらのベースラインを同社の推奨構成であり、グループ ポリシーのセキュリティ ベースラインと同じガイダンスに基づくものと説明し、バージョンごとにすべての既定値を載せた参照ページを用意しています。

ベースラインでは「ない」ものが三つあります。どれも監査の指摘でよく見かける思い込みです。

• CIS ベンチマークではない。 Center for Internet Security（CIS）は、Intune で管理する Windows 11 向けに独自のベンチマークを公開しています。Microsoft のベースラインと大きく重なりますが同一ではなく、一方を満たすデバイスがもう一方で不合格になる項目もあります。顧客や保険会社、審査機関が CIS について尋ねているなら、Microsoft のベースラインだけでは答えになりません。
• コンプライアンス ポリシーではない。 ベースラインは設定を構成するものです。コンプライアンス ポリシーは少数の条件でデバイスを評価して準拠・非準拠を判定し、条件付きアクセスがそれに基づいて動きます。準拠と判定されながら、ベースライン設定の半分が競合しているデバイスもありえます。
• 自動では更新されない。 Microsoft が新しいバージョンのベースラインを公開しても、既存のプロファイルは管理者が更新するまで作成時のバージョンのままです。

ずれはどこから生じるのか？

Microsoft 365 テナントをレビューしてきた経験では、展開したベースラインからのずれの原因は、ほぼ次の四つのいずれかです。

ほかのポリシーとの競合

最もよくある原因です。誰かが設定カタログのプロファイル、エンドポイント セキュリティ ポリシー、または古いデバイス構成プロファイルを作り、ベースラインと同じ設定を異なる値で、あるいは同じ値で設定します。Intune はどちらを適用すべきか判断できず、そのデバイスではその設定が競合として報告されます。目に見えて壊れるものはありませんが、デバイスは最後に受け取った値で動いており、それが意図した値とは限りません。

グループ ポリシーをまだ受け取るハイブリッド参加デバイスでは、同じ設定が GPO によっても設定されることがあります。Windows には ControlPolicyConflict の MDMWinsOverGP というポリシーがあり、両方がある場合に MDM の値を優先させます。これが設定されているかどうかは記録しておく価値があります。設定されていなければ、「どちらの値が勝つか」の答えが設定項目によって変わるからです。

ベースラインを受け取っていないデバイス

ベースラインは割り当てたグループにしか適用されません。グループ外のデバイス、グループ構成を変えた後に登録されたデバイス、2 年前にプロジェクトのため「一時的に」除外されたデバイスは、いずれもベースラインなしで動いています。状態グラフはベースラインを割り当てたデバイスしか数えないため、何が欠けているかは示してくれません。

誰も記録していないカスタマイズ値

ベースラインのプロファイルを作るときには、どの既定値も変更できます。たいていのテナントには、業務アプリが動かなくなったために緩めた設定や、社員の苦情で止めた確認表示など、いくつかの変更があります。それぞれは正しいかもしれません。問題は 1 年後、どれが意図的な変更で、どれが戻し忘れたテストなのか、誰も説明できなくなることです。

古いバージョンのまま残ったプロファイル

Microsoft は、Windows とそのガイダンスの変化に合わせて Windows ベースラインの新しいバージョンを公開しており、最近のバージョンは 23H2、24H2 のように Windows のリリース名で呼ばれています。古いバージョンで作ったプロファイルは、そのバージョンの設定を保ちます。Microsoft のドキュメントによれば、プロファイルを更新すると最新バージョンに基づく新しいインスタンスが元のプロファイルと並んで作成され、カスタマイズを引き継ぐかどうかを選べます。元のプロファイルはそのまま残るため、元のプロファイルの割り当てを外すよう Microsoft は案内しています。外さなければ、避けたかった競合をまさに自分で作ることになります。

Intune 管理センターでそれぞれをどう確認するか？

小規模な環境であれば、大半は午後のうちに自分で確認できます。レポートの遅延を見込んでおいてください。Microsoft によれば、ベースラインを初めて割り当ててから状態データが表示されるまで最大 24 時間、その後の変更は最大 6 時間かかります。

1. ベースライン プロファイルとバージョンを一覧にする。 「エンドポイント セキュリティ」から「セキュリティ ベースライン」に進み、「Windows 10 以降のセキュリティ ベースライン」を開きます。各プロファイルに作成元のバージョンが表示されます。最新でないプロファイルと、重なり合うグループに複数の Windows ベースライン プロファイルが割り当てられているケースを書き留めます。
2. 割り当てと除外を確認する。 各プロファイルのプロパティを開き、対象グループと除外グループを記録します。次に、Intune 上の Windows デバイスの総数と、ベースラインが報告しているデバイス数を比べます。その差がカバレッジの穴です。
3. デバイス単位だけでなく、設定単位で状態を見る。 デバイスの状態ビューには、成功、エラー、競合、該当なしのデバイス数が表示されます。役に立つ詳細は設定単位のビューにあり、どの設定が何台のデバイスで競合またはエラーになっているかがわかります。
4. 競合はすべて相手のポリシーまでたどる。 影響を受けているデバイスを開いてデバイス構成のビューに進み、同じ設定を行っているもう一方のプロファイルを探します。その設定をどちらのポリシーが持つべきか決め、もう一方から削除します。デバイスをベースラインから除外して競合を消すのはやめましょう。目に見える競合が、目に見えないカバレッジの穴に変わるだけです。
5. カスタマイズ値をすべて記録する。 プロファイルの設定を開き、そのバージョンの Microsoft 既定値と異なる値をすべて書き出します。それぞれについて、なぜ変えたのか、誰が承認したのかを記録します。比較の基準となる既定値は、そのバージョンの Microsoft の参照ページに載っています。
6. デバイスを直接抜き取り確認する。 Windows 11 デバイスの「設定」から「アカウント」の「職場または学校にアクセスする」に進むと、管理の診断レポートをエクスポートできます。デバイスが実際に受け取ったポリシーがわかるため、管理画面と利用者の言い分が食い違うときの決め手になります。

監査、状態レポート、CIS スキャンはどう違うのか？

この三つはよく混同されますが、答えている問いが違います。

状態レポート、ベースライン監査、CIS ベンチマーク スキャンのどれか？

• ベースラインの状態レポート。 Intune に組み込まれ、数時間以内の鮮度があり、対象範囲については正確です。対象は割り当て済みのデバイスで、比較の基準は自分のプロファイルの値です。プロファイルが古いこと、割り当てから漏れたデバイスがあること、カスタマイズ値が妥当かどうかは教えてくれません。
• ベースラインのずれの監査。 プロファイルのバージョン、割り当て、カスタマイズ値、競合をある時点で確認し、各指摘を原因までたどり、争いのある設定ごとにどのポリシーが持つべきかを提案します。状態レポートでは見えない部分を補い、IT 部門以外の人も読める文書になります。
• CIS ベンチマーク スキャン。 自社の意図ではなく外部のベンチマークに照らしてデバイスを測ります。顧客との契約、保険会社、審査機関が CIS を指定している場合に役立ちます。Microsoft のベースラインと設定が異なる項目が指摘されるので、それらは自動修正ではなく個別の判断が必要です。

独立した監査で何が加わるのか？

価値はレポートを読むこと自体よりも、社内チームでもできるその作業の周りにある判断にあります。独立したレビューでは、その設定をなぜ変えたのか、その競合は意図的なものか、ベースラインの割り当ては今の組織構成に合っているか、を問います。

Brocent の Intune デバイス監査は、ベースラインに加えて、登録、コンプライアンス、暗号化、Defender、更新リング、アプリ保護を確認します。レビューは読み取り専用です。グローバル管理者が読み取り専用のアプリケーションを一度承認し、API で取得できない設定は IT 担当者と画面共有で確認します。範囲の全体は Intune デバイス監査で確認する項目の記事で説明しています。Intune デバイス監査のサンプル レポート（英語）では、架空の会社を例に成果物を示しており、ベースラインに関する指摘の評価方法や、段階的な修正計画への組み込み方も確認できます。

ベースラインについては、確認したベースラインの種類とバージョン、割り当てとカバレッジの穴、カスタマイズ値とその理由、競合と相手側のポリシー、バージョン更新に関する推奨をレポートに記載します。CIS との比較を求められた場合は CIS の結果を別に示し、両者を同じものとして扱うことはしません。

デバイス監査は通常、テナント全体のレビューと合わせて範囲を決めます。Microsoft 365 セキュリティ監査の料金ページに、ユーザー数による固定の価格帯（10 ユーザーまで 450 米ドルから）と、5～7 営業日の納期を掲載しています。一度きりの確認ではなく継続的なデバイス管理が必要になった場合は Brocent の MDM・BYOD 管理サービスで対応でき、ライセンスについては Microsoft Intune の料金ページをご覧ください。

英国のチームにとって、ベースラインは Cyber Essentials のセキュアな構成の要件にそのまま対応します。オーストラリアのチームにとっては、多くのサイバー保険の申込書にある構成やパッチ適用の質問の裏付けになります。いずれの場合も、監査レポートは証拠として使えるよう設計されたもので、認証や補償を与えるものではありません。

監査の後によくある失敗は？

修正を始める前に、知っておく価値のあるパターンがいくつかあります。

• バージョンを一度に更新する。 新しいバージョンのベースラインは、業務アプリが依存している既定値を変えることがあります。更新したプロファイルはまずパイロット グループに割り当てて 1 週間様子を見てから全体に広げ、古いプロファイルの割り当てを外します。
• ベースライン側の設定を消して競合を解消する。 ベースラインから設定を外して競合を消したくなりますが、譲るべきなのはたいていもう一方のポリシーです。文書化された基準はベースラインのほうだからです。
• 除外を開けたままにする。 除外グループにはすべて担当者と見直し日を設けます。そうしなければ、一時的な除外が恒久的なものになります。
• 重なり合うベースラインを併用する。 Windows のベースラインと Defender for Endpoint のベースラインは一部の領域が重なっています。両方をすべてのデバイスに割り当てて競合を受け入れるのではなく、重なる設定ごとにどちらが持つかを決めてください。

よくある質問

Intune セキュリティ ベースラインは Windows 11 の CIS ベンチマークと同じですか？

いいえ。Microsoft のベースラインは Microsoft 自身の推奨構成で、CIS は Intune で管理する Windows 11 向けに別のベンチマークを公開しています。重なる部分は多いものの、一方に合格してもう一方で不合格になる項目があるため、どちらを基準にしているかを明確にしてください。

Intune はセキュリティ ベースラインを自動で更新しますか？

いいえ。既存のプロファイルは作成時のバージョンのままです。更新すると最新バージョンの新しいインスタンスが元のプロファイルと並んで作られ、カスタマイズを残すかどうかを選べます。更新後は元のプロファイルの割り当てを外し、競合を避けてください。

ベースラインのレポートの「競合」とは何ですか？

二つのポリシーが同じデバイスに同じ設定を適用し、どちらを優先すべきか Intune が判断できない状態です。どちらのポリシーがその設定を持つかを決め、もう一方から削除するのが解決策です。

ベースラインの監査はどのくらいの頻度で行うべきですか？

少なくとも年 1 回、加えて Microsoft が新しいバージョンを公開したとき、デバイス グループを再編したとき、重要な構成ポリシーを追加したときです。ポリシーを頻繁に変える組織なら四半期ごとが妥当です。

問題を解決するために、デバイスをベースラインから除外してもよいですか？

できますが、理由、担当者、見直し日を記録してください。除外したデバイスはベースラインの状態グラフに現れないため、ずれは除外の中に隠れます。

ベースライン監査でデバイスに変更は加わりますか？

当社が変更することはありません。レビューは読み取り専用です。変更は、修正計画に沿って御社のチームか、その後に依頼する事業者が行います。

まず何から始めるか

今週、Intune 管理センターで Windows セキュリティ ベースラインを開き、三つの数字を書き留めてください。プロファイルのバージョン、ベースラインが報告しているデバイス数と Intune 上の Windows デバイス総数の比較、そして競合している設定の数です。どれか一つでも意外な数字なら、ベースラインはずれています。社外の目で全体を確認し、優先順位付きの修正計画を受け取りたい場合は、コンサルタントにご相談ください。