Microsoft 365 セキュリティ評価の費用（香港中小企業向け）

要点：Microsoft 365 のセキュリティ評価の料金体系は大きく3つです。自社でツールを実行する（かかるのは自分たちの時間）、コンサルタントの日額（日数が決まるまで総額が不明）、人数別の固定料金の監査です。Brocent の Microsoft 365 CIS ベンチマーク監査は一回払い、米ドル建て、税別で、1～10ユーザーは450米ドル、11～25は990米ドル、26～75は1,800米ドル、76～150は2,900米ドル、150超は見積もりです。レポートは読み取り専用アクセスの付与から5～7営業日で納品されます。

香港の中小企業が Microsoft 365 のセキュリティ評価を依頼するのは、たいてい誰かに求められたときです。取引先のセキュリティ質問票、サイバー保険の更新書類、本社からの確認依頼、あるいは同業他社のメールボックス乗っ取りの記事を読んだ取締役の一言などです。すると問いは具体的になります。いくらかかり、何が含まれ、誰の承認が要るのか。

本記事はその問いから始め、固定料金の監査が一般にどう範囲を決めるか、料金が何に連動するか、社内で誰が承認するか、複数の見積もりをどう比較するかを説明します。料金は弊社が公開している米ドルの価格表のとおりで、香港ドルへの換算は行いません。

Microsoft 365 のセキュリティ評価はいくらかかる？

まず弊社の価格表です。Microsoft 365 CIS ベンチマーク監査は一回払い、米ドル建て、税別で、ユーザー数ごとの料金帯があります。

1～10ユーザー：450米ドル
11～25ユーザー：990米ドル
26～75ユーザー：1,800米ドル
76～150ユーザー：2,900米ドル
150ユーザー超：テナントに応じて見積もり

どの料金帯でも範囲は同じです。CIS Microsoft 365 ベンチマークのレベル1とレベル2（人の判断が必要な手動コントロールを含む）、Entra ID、Defender、Purview、Exchange、SharePoint、Teams、サイバー保険の一般的な質問票や Cyber Essentials の質問の証拠として使えるよう設計された資料、工数見積もり付きの優先順位付きロードマップ、報告会です。最新の価格は監査の料金ページをご確認ください。

料金帯が人数に連動するのは、会社が大きいほどレビューすべきユーザー、グループ、デバイス、ポリシーが多くなるのが普通だからです。小さい料金帯だからといって範囲が狭まることはなく、10人の会社も100人の会社も同じ完全なベンチマークで見ます。

固定料金の監査に含まれるものと含まれないものは？

含まれるのは、現状を把握して最初に何をすべきかを伝えることです。テナント設定のレビュー、見つかったギャップ、リスク順の一覧、各対応の工数見積もり、報告会です。

含まれないのは、修正作業そのものです。是正とハードニングは案件ごとの見積もりのため、本記事にハードニングの料金は載せていません。分けておく利点は、評価する側に指摘を大きく見せる動機がなく、社内チーム、既存の IT 業者、弊社のいずれが作業するかをお客様が選べることです。

修正後の再監査は別料金？

是正を Brocent が行った場合、再監査は含まれます。社内で修正した場合は、その時点の料金帯の価格です。「無料の再確認」は1回だけ、または当初の指摘事項だけという場合があるので、どの業者にも同じ質問をして、見積もりに明記してもらってください。

継続的なオプションは？

あります。一回払いの監査とは別に、ユーザー1人あたり月額6～10米ドルで四半期ごとの再監査を含むマネージドオプションがあります。人員やポリシーの変更が多く、ベースラインを維持したい会社向けです。1つの質問票や1回の更新のために証拠が必要な小さな会社には、通常は一回払いの監査で足ります。

香港の中小企業では誰が承認する？

金額は大きくありませんが、関わる人は複数になりがちです。一般的には次のとおりです。

取締役・オーナー：実施の可否と予算を判断します。固定料金なら人数からすぐ当てはめられます。
経理・総務：請求通貨と税が関心事です。弊社の価格表は米ドル、一回払い、税別で、支払い条件は見積もりで確定します。
社内 IT または現在の IT 業者：読み取り専用アクセスを付与し、「うちはどうか」と聞かれる立場です。最初から巻き込み、評価ではなくセカンドオピニオンとして位置づけましょう。
保険ブローカー、取引先、本社：多くの場合、要求した側です。監査の前に、どの形式の証拠が必要かを確認してください。

グローバル管理者は何をする？

グローバル管理者ロールを持つ1人が、読み取り専用の Microsoft Graph アプリに一度だけ同意します。所要は約15分で、後から Entra ID で削除できます。アプリが読むのは設定であり、メールや文書の内容は読みません。外部の業者がテナントを管理している場合は、セキュリティポリシーで同意がブロックされないよう、先に伝えてください。

見積もりをどう比較する？

同じ名前で、実際にはかなり違うサービスが売られています。数字を比べる前に、どのタイプの見積もりかを見分けてください。

自社ツール、日額コンサルタント、固定料金の監査

自社でツールを実行：現金コストはゼロですが、社内で PowerShell を実行し結果を読み解ける人が要ります。早い反面、従業員、ライセンス、リスクに照らして何から直すべきかは出力からは分からず、API で読めない手動コントロールも確認できません。
日額のコンサルタント：最も柔軟ですが、範囲と日数が決まるまで総額が分かりません。特殊な範囲、複数テナント、インタビューが必要な案件向きです。
固定料金の監査：総額、範囲、納期が事前に分かり、社内承認が取りやすくなります。範囲が固定のため、追加作業は別途相談になります。

どれが常に最善ということはありません。テナントが1つで人数が多くなく、特定の要求に対する証拠が要るなら、固定料金が最も承認しやすいでしょう。IT チームに余力があれば、スキャナーを最初の一歩にするのも妥当です。

どの見積もりにも尋ねたい5つの質問

CIS ベンチマークのどのレベルで、手動コントロールは含まれますか。
どのサービス（Entra ID、Exchange、SharePoint、Teams、Defender、Purview）が対象ですか。
レポートはいつ納品され、起算日はいつですか。
修正後の再監査はどう課金されますか。
レポートは質問票や更新の証拠として使えますか。それとも社内閲覧用ですか。

最後の質問の言い回しに注意してください。弊社は、レポートが「証拠として使えるよう設計されている」と述べます。保険会社、監査人、制度が「受け入れる」「認証する」とは言いません。また、この監査は Cyber Essentials の認証を付与・保証するものではありません。

期間と準備するものは？

レポートは読み取り専用アクセスの付与から5～7営業日で納品され、報告会があります。ご用意いただくのは、同意を与えられるグローバル管理者、テナントの基本情報（ユーザー数、主に使うサービス、外部 IT 業者の有無）、満たしたい具体的な要件（特定の質問票など）です。質問票を事前にいただければ、レポートの証拠部分を回答すべき質問に合わせられます。

サービスはリモートで提供します。

あわせて読みたい記事

無料ツールや他の料金体系を含む全体像はMicrosoft 365 セキュリティ監査の費用をご覧ください。固定料金と時間課金で迷う場合は固定料金か時間課金かで項目別に比較しています。香港企業向けの範囲と流れは香港の Microsoft 365 セキュリティ監査、レポートの雰囲気はサンプルレポートの解説です。確認範囲はサービスページ（英語ページ）にあります。