英国向け Microsoft 365 セキュリティ診断：固定料金と範囲

要点： Microsoft 365 を利用する英国企業に通常必要なのは、固定料金で実施する読み取り専用のテナント診断を 1 回、というものです。CIS Benchmark に照らして評価し、結果を Cyber Essentials に対応づけます。当社の料金は 10 ユーザーまで US$450、76～150 ユーザーで US$2,900 で、アクセス許可から 5～7 営業日で報告書をお届けします。費用を抑える近道は、Cyber Essentials を申し込む前に、自動的に不合格となる項目を修正しておくことです。

Microsoft 365 を使う英国企業でセキュリティ診断が話題になるのは、たいてい次の 3 つのどれかが理由です。顧客や公共部門から Cyber Essentials を求められた、保険会社の申込書でアカウントの保護方法を尋ねられた、あるいは Outlook、SharePoint、Teams にある個人データが本当に安全なのか経営層が知りたい、というものです。3 つの問いに答えるのは同じ作業です。テナントの設定を確認し、広く認められた基準に照らして評価し、問題点の修正計画を立てます。

この記事では、その作業の費用、対象範囲、Cyber Essentials や UK GDPR との対応関係、そして無駄な支出を避ける方法を説明します。標準規格を引用した箇所は、出典を末尾にまとめています。

英国での Microsoft 365 セキュリティ診断の費用は？

当社は、ユーザー数に応じた 1 つの商品として価格を設定しています。料金は作業開始前に確定し、どの国でも同じです。リーズの企業でもシンガポールの企業でも、同じユーザー数なら同じ金額です。金額はすべて 1 回限り、米ドル建て、税別です。

1～10 ユーザー: US$450
11～25 ユーザー: US$990
26～75 ユーザー: US$1,800
76～150 ユーザー: US$2,900
150 ユーザー超: 簡単な範囲確認の通話のあと、固定料金でお見積もり

日額料金も「日数は別途協議」もありません。範囲はどの区分でも同じです。10 人の事務所も 150 人の会社も同じ項目を確認し、報告書の分量が違うだけです。現在のキャンペーン、任意の月次モニタリングプラン、大規模テナント向けの選択肢は英国向け Microsoft 365 セキュリティ診断の価格ページにあり、価格はこのページが常に最新です。

価格表は米ドルの 1 種類のみです。他の通貨でのお見積もりが必要な場合はご相談ください。請求可能な通貨をお伝えします。

費用を抑えるには: ユーザー数が区分の境界に近い場合は、見積もり依頼の際にお知らせください。作業開始前に区分と固定料金を確定するので、最後に想定外の請求が出ることはありません。

対象範囲は？対象外は？

Microsoft 365 の診断は設定レビューであり、ネットワークスキャンではありません。調べるべきお客様のサーバーはないため、対象はテナントの設定と、データに誰が到達できるかです。どの区分でも次の 3 分野を確認します。

ID: 誰が、どのようにサインインできるか

緊急用（「break-glass」）アカウントやサービスアカウントを含む、全ユーザーの MFA の適用状況
Conditional Access ポリシーと、その対象から除外されているユーザー
特権ロールと、管理者がフィッシング耐性のあるサインイン方法を使っているか
MFA を回避できるレガシー認証と SMTP AUTH
ユーザーが同意したサードパーティ製アプリと、そのアプリが読み取れる内容
ゲストアカウントと、それらに有効期限があるか

メール: Exchange Online と Defender for Office 365

すべてのドメインの SPF、DKIM、DMARC（すでに使っていないドメインを含む）
外部アドレスへの自動転送と、メールを隠す受信トレイルール
フィッシング対策、迷惑メール対策、Safe Links、Safe Attachments の各ポリシー
メールボックス監査と、統合監査ログの保存期間

ファイルとコラボレーション: SharePoint、OneDrive、Teams

外部共有と、誰でもアクセスできる匿名の「Anyone」リンク
個人データに対する秘密度ラベル、保持、データ損失防止
Teams の外部アクセスとサードパーティ製アプリ
アプリ保護なしでメールやファイルにアクセスしている個人のスマートフォンやノート PC

対象外のもの: 修正作業の実施（報告書をお渡しした後、別途固定料金でお見積もりします）、Microsoft 365 のバックアップ、ペネトレーションテスト、フィッシング訓練、オフィスのファイアウォールなどのオンプレミス機器、そして誰かのメールや文書を開くことです。診断が読み取るのは、設定とメタデータのみです。

診断は Cyber Essentials v3.3 とどう対応しますか？

Cyber Essentials は、NCSC が運営し、IASME が実施パートナーを務める、英国政府が支援する制度です。IT インフラストラクチャ要件のバージョン 3.3 は、「Danzell」の設問セットで評価され、2026 年 4 月下旬以降の新規評価に適用されます。Microsoft 365 を使う企業にとって、特に重要な点は 3 つあります。

クラウドサービスは常に対象です。 NCSC の文書は、Microsoft 365 を SaaS（Software as a Service）の例として挙げています。対象から外すことはできず、MFA を含むユーザーアクセス制御は、Microsoft ではなく常にお客様の責任です。
クラウドサービスで MFA が未設定なら自動的に不合格です。 IASME は、クラウドサービスで MFA が利用可能なのに有効にしていなければ、評価は不合格になると述べています。
14 日以内のパッチ適用も自動不合格の項目です。 OS やアプリケーションの高リスクまたは重大な更新は、公開から 14 日以内にインストールしなければなりません。

当社の報告書には、Microsoft 365 の観点から 5 つのコントロールを整理した Cyber Essentials 準備状況の表を含めています。クラウドサービスの MFA、管理者アカウント、未使用アカウント、セキュア構成、マルウェア対策、更新設定を扱い、評価で不合格になる項目すべてに印を付けます。ファイアウォールは Microsoft 365 のレビューの範囲外であることがほとんどなので、表には、証拠を別の場所で揃える必要がある箇所を明記します。

2 つの注意点があります。報告書はお客様の評価のための証拠であり、判断するのは認証機関です。当社が認証するわけではありません。また、テナントのレビューでは、すべてのノート PC までは調べません。コントロールごとの詳細は、Microsoft 365 と Cyber Essentials のガイドをご覧ください。評価員が端末のサンプルを検査する Plus レベルを目指す場合は、申し込む前に Cyber Essentials Plus の技術検証で何がテストされるかをお読みください。

費用を抑えるには: まず自動不合格の項目を修正します。一般的な小規模テナントでは、MFA が未設定のアカウントが数件、有効のままのレガシープロトコル、期限のない更新リングが典型です。不合格になって再申請するほうが、1 週間早く見つけるよりも手間がかかります。

UK GDPR は何を求め、診断はどこで役立ちますか？

UK GDPR は、処理に伴うリスクに見合ったセキュリティを求めています。第 32 条に措置が列挙されており、その 1 つが「技術的および組織的措置の有効性を定期的にテスト、評価、検証するプロセス」です。ICO のガイダンスも同じことをより平易に述べています。自社のリスクに合った方法で、措置を定期的にテストするということです。特定のテスト方法や頻度は定めていません。

英国の中小企業の多くにとって、個人データが実際に置かれている場所は Microsoft 365 です。OneDrive の履歴書、SharePoint の顧客ファイル、Outlook の給与関連の添付ファイルなどです。そのデータを守る設定について、日付入りで評価した診断結果は、「定期的なテストと評価」の記録として実用的な一部になります。指摘事項が個人データに関わる場合、報告書にその旨を記載し、評価します。代表的な例は次のとおりです。

顧客や人事のファイルを置くフォルダーに匿名の共有リンクがある
メールボックスルールが個人のアドレスにメールを転送している
パスポート番号や National Insurance 番号に対するデータ損失防止ポリシーがない
監査ログの保持期間が短く、侵害を後から調査できない

この診断は法的助言ではなく、データ保護影響評価の代わりにもなりません。診断が示すのは、テナントの設定が何を許しているかです。それが義務にとって何を意味するかは、データ保護責任者が判断します。

保険会社や取引先のセキュリティ質問票は何を求めますか？

英国のサイバー保険の申込書や取引先のセキュリティ質問票は、たいてい同じ短いリストを尋ねます。全員で MFA を有効にしているか、管理者アカウントをどう保護しているか、メールは認証されているか、端末は保護されパッチが適用されているか、ログを何日保存しているか、です。それぞれの「はい」が日付入りのエクスポートに裏付けられていれば、答えやすく、反論もされにくくなります。

当社の報告書には、まさにこれらの質問に対応する証拠パッケージを含めています。各回答は、お客様のテナントから取得した日付入りのエクスポートと結び付いています。保険会社ごとに規則が異なるため、特定の会社が何を受け入れるかをお約束することはできません。お約束できるのは、回答が事実であり、提示できる裏付けがあるようにすることです。保険の各質問の裏付けとなる Microsoft 365 の証拠の記事で、質問を 1 つずつ解説しています。

診断の進め方: アクセス、スケジュール、成果物

作業はすべてリモートで行い、報告会は英国の営業時間内に設定します。

ユーザー数の区分と固定料金を確認します。通常は 1 営業日以内です。
お客様の Global Administrator が、読み取り専用の監査アプリケーションを承認します。所要時間は約 15 分です。お客様のテナントに Brocent のアカウントやパスワードは作成されません。
自動チェックは数分で完了します。その後、スクリプトでは読み取れない手動コントロールをエンジニアが確認します。
アクセス許可から 5～7 営業日後に、書面の報告書をお渡しします。
報告会で、指摘事項と修正の優先順位を順に説明します。

診断が終わったその日に、Entra ID からアプリケーションを削除できます。どのアクセス許可を要求するのかを正確に知りたい場合は、読み取り専用の Microsoft 365 監査アプリが要求する権限とその理由をお読みください。

お渡しするもの:

評価付きの指摘事項、各項目の根拠、修正に要する工数を記した書面の報告書
CIS Microsoft 365 Foundations Benchmark の Level 1 と Level 2 のセクション別の結果（手動コントロールを含む）
独立したクロスチェックとしての、CISA の ScubaGear ベースラインのサービス別の結果
Microsoft Secure Score（最終的な判定ではなく、推移を見るための指標として使用）
Cyber Essentials 準備状況の表と、保険向けの証拠パッケージ
段階的な修正計画と、全コントロールを一覧にした Excel ワークブック

購入前に、完全な診断報告書のサンプルをご覧いただけます。英語版で、架空の顧客を使用しています。

契約: Brocent の 11 の現地法人のいずれも契約当事者になれます。どの法人かは提案書に明記します。Brocent は 2007年に北京で創業、本社はシンガポールで、100 以上の国と地域のお客様にサービスを提供しています。英国で現地での支援も必要な場合は、英国の IT サポートのページをご覧ください。

診断、Cyber Essentials Plus、ペネトレーションテスト: どれが先か？

英国企業は、同じ月にこの 3 つすべてを勧められることがよくあります。3 つは異なる問いに答えるものです。

どれがあなたの問いに答えますか？

Microsoft 365 セキュリティ診断: 公開されたベースラインに照らして、テナントの構成を確認します。「クラウドの設定は安全か、まず何を直すべきか」に答えます。固定料金、リモート、数日で報告書。
Cyber Essentials: 自己評価の質問票に基づき、認証機関が確認する証明書です。「基本的なコントロールを満たしていると、顧客や入札先に示せるか」に答えます。
Cyber Essentials Plus: コントロールは同じで、加えて評価員が端末のサンプルを実地でテストします。「コントロールは実際に自社の端末で機能しているか」に答えます。
ペネトレーションテスト: テスターが侵入を試みます。「現在の弱点を攻撃者が突いたら何ができるか」に答えます。対象を明確に定める必要があり、通常は費用も高くなります。

英国の小規模企業の多くにとって、順序としては、診断、修正、Cyber Essentials、契約で求められれば Plus、が現実的です。ペネトレーションテストは、基本が整ってからのほうが効果的です。Microsoft 365 セキュリティ監査とペネトレーションテストの比較では、それぞれをどんなときに選ぶべきかを説明しています。

出典

NCSC、Cyber Essentials: IT インフラストラクチャ要件 v3.3（2026 年 4 月）: ncsc.gov.uk
NCSC、Cyber Essentials の概要: ncsc.gov.uk/cyberessentials/overview
IASME、2026 年 4 月の Cyber Essentials の変更点: iasme.co.uk
UK GDPR 第 32 条、処理のセキュリティ: legislation.gov.uk
ICO、データセキュリティのガイド: ico.org.uk
CIS Microsoft 365 Foundations Benchmark: cisecurity.org

よくある質問

英国での Microsoft 365 セキュリティ診断の費用は？

ユーザー数に応じた 1 回限りの固定料金で、米ドル建て、税別です。1～10 ユーザーは US$450、11～25 は US$990、26～75 は US$1,800、76～150 は US$2,900 です。150 ユーザーを超える場合は固定料金でお見積もりします。日額料金はなく、国によって価格が変わることもありません。