米国向け Microsoft 365 セキュリティ診断：SCuBA・範囲・費用

要点： 多くの米国企業にとって適切なのは、料金が固定で読み取り専用の Microsoft 365 セキュリティ診断を購入し、CIS Benchmark と CISA の SCuBA ベースラインの両方でテナントを確認することです。当社の料金は 10 ユーザーまでで US$450 から、150 ユーザーで最大 US$2,900 で、アクセス権限の付与から 5～7 営業日でレポートをお届けします。まず CISA の無償ツールを実行するのが、最も費用を抑えられる始め方です。

Microsoft 365 セキュリティ診断が答えるのは単純な問いです。テナントは安全に設定されているか、最初に何を直すべきか。米国企業の場合、この問いは外部から届くのが普通です。サイバー保険の更新では MFA や管理者アカウントについて尋ねられます。大手顧客からはセキュリティ質問票が届きます。金融機関、規制当局、取締役会からも書面での説明を求められます。

このガイドでは、Microsoft 365 セキュリティ診断の費用、CISA SCuBA ベースラインとは何か、民間企業がなぜ気にすべきか、診断で何を確認するのか、最終的に何を受け取るべきかを説明します。出典は末尾に記載しています。

米国企業の Microsoft 365 セキュリティ診断にはいくらかかりますか？

市場には無償のセルフサービスツールから日額で請求されるコンサルティング案件まで幅があり、そのため見積もりは大きく異なります。当社は固定料金の単一商品のみを提供し、料金はユーザー数だけで決まります。以下は一回限りの料金で、米ドル建て、税別です。

1～10 ユーザー： US$450
11～25 ユーザー： US$990
26～75 ユーザー： US$1,800
76～150 ユーザー： US$2,900
150 ユーザー超： 短い範囲確認の打ち合わせの後、固定料金をお見積もりします

診断範囲はどの区分でも同じで、時間単価はなく、所在地によって料金が変わることもありません。最新の料金と現在のキャンペーンは Microsoft 365 セキュリティ診断のページに常に掲載しています。さまざまな監査の費用とその理由を広く知りたい方は、Microsoft 365 セキュリティ監査の費用の解説をご覧ください。

費用を抑えるには： 基準となる状態を整える前に、月額の監視サービスを購入しないでください。一回限りの診断で見つかった問題を修正してから、継続的な監視が必要かどうかを判断します。小規模なテナントなら、年に一度の再診断で足りることも多いでしょう。

CISA SCuBA ベースラインとは何か、政府機関以外でも重要なのはなぜですか？

SCuBA は Secure Cloud Business Applications の略で、米国サイバーセキュリティ・インフラストラクチャセキュリティ庁 (CISA) のプロジェクトです。Entra ID、Exchange Online、Defender、SharePoint と OneDrive、Teams、Power BI、Power Platform といった Microsoft 365 の各サービスについて、文書化されたセキュリティ設定のベースラインを公開しています。あわせて CISA は ScubaGear を公開しています。これは無償のオープンソース PowerShell ツールで、テナントを読み取り、ベースラインに適合している箇所を報告します。

2024 年 12 月 17 日、CISA は Binding Operational Directive 25-01 を発出しました。この指令は、連邦政府の文民機関に対し、クラウドテナントの把握、SCuBA 診断ツールの導入、必須のベースラインポリシーの適用を求めるもので、期限は 2025 年 6 月までです。発出時点で確定していたベースラインは Microsoft 365 向けのものだけでした。

この指令は民間企業を拘束しません。それでも、次の三つの実務的な理由から、御社にとって意味があります。

公開され、バージョン管理された標準です。 顧客から「何に照らして診断したのか」と問われたとき、「CISA の SCuBA ベースライン」は相手が自分で調べられる答えになります。
実際のテナント向けに作られています。 理論上の実験環境ではなく、Microsoft 365 を日常的に運用する組織のために作られたベースラインです。
有用なセカンドオピニオンになります。 CISA のベースラインと CIS Microsoft 365 Foundations Benchmark は大部分が重なりますが、完全に同じではありません。両者が食い違う箇所から、御社の設定について新しい発見が得られます。

このため当社のレポートでは、CIS Benchmark の結果と並べて、サービス別の ScubaGear の結果も掲載します。CIS が診断の正式な記録、SCuBA が独立したクロスチェック、Microsoft Secure Score が推移を見る指標という位置づけです。Microsoft Secure Score、CIS Benchmark、ScubaGear の比較では、それぞれをどの用途に使うべきかを説明しています。

診断では何を確認しますか？

Office 365 セキュリティ監査という呼び方を耳にしたことがあるかもしれません。Office 365 は、同じメール、ファイル、コラボレーションサービスの旧称ですので、作業内容は同じです。どの区分でも三つの領域を確認します。

Entra ID の ID 管理

緊急用（「break-glass」）アカウントやサービスアカウントを含む、全ユーザーの MFA 適用状況
条件付きアクセスポリシーと、その対象から除外されているユーザー
特権ロールと、管理者向けのフィッシング耐性のあるサインイン
MFA を回避できるレガシー認証と SMTP AUTH
ユーザーが同意したサードパーティアプリと、そのアプリが持つ権限
ゲストアカウントとその有効期限

Exchange Online と Defender for Office 365 のメール

未使用のドメインを含む、すべてのドメインの SPF、DKIM、DMARC
外部アドレスへの自動転送と、不審な受信トレイのルール
フィッシング対策、スパム対策、Safe Links、Safe Attachments の各ポリシー
メールボックス監査と監査ログの保持期間

SharePoint、OneDrive、Teams のファイルとコラボレーション

外部共有の設定と、匿名の「全員」リンク
秘密度ラベル、保持、データ損失防止
Teams の外部アクセスとサードパーティアプリ
アプリ保護のない個人のスマートフォンやノート PC から会社データへのアクセス

診断には、問題の修正、Microsoft 365 のバックアップ、ペネトレーションテスト、フィッシング訓練、ファイアウォール、オンプレミス機器は含まれません。メールや文書を開くことは一切ありません。

最終的に何を受け取れますか？

レポートは、IT 部門以外の人が行動に移せてこそ役に立ちます。当社のレポートには次のものが含まれます。

報告書： 重要度を付けた指摘事項、それぞれの根拠、修正に必要な工数
CIS の結果： CIS Microsoft 365 Foundations Benchmark の Level 1 と Level 2 をセクション別に整理したもので、スクリプトでは確認できない手動コントロールも含みます
ScubaGear の結果： CISA のベースラインに対する合格、不合格、警告をサービス別に整理したもの
保険会社向けエビデンス一式： MFA、特権アカウント、メール認証、エンドポイント保護、ログ保持について、それぞれ日付入りのエクスポートを添付
修正計画： 段階別に優先順位を付け、低コストで効果の大きい項目から着手できる計画
Excel ワークブック： すべてのコントロールを一枚のシートにまとめたもので、自社での進捗管理に使えます
報告会： 指摘事項と修正の順序を説明する打ち合わせ

購入前に、完全な診断レポートのサンプルをご覧いただけます。サンプルは英語版で、架空のクライアントを使用しています。

米国企業はレポートをどう活用していますか？

サイバー保険の申請

保険会社は、メールとリモートアクセスの MFA、特権アカウント、メールセキュリティ、エンドポイント保護、バックアップについて尋ねます。エビデンス一式により、各回答に日付入りのエクスポートが付きます。保険会社ごとに基準は異なるため、特定の保険会社が何を受け入れるかをお約束することはできません。「MFA をあらゆる場面で」が実際に何を意味することが多いかは、Microsoft 365 のサイバー保険 MFA 要件のガイドで説明しています。

顧客のセキュリティ質問票

大手顧客からテナントの設定について尋ねられたとき、指摘事項の一覧とワークブックが裏付けの記録になります。記憶ではなく、証拠に基づいて回答できます。

規制対象の事業

米国の規則には、Microsoft 365 に直接かかわるものがあります。たとえば FTC Safeguards Rule は、住宅ローンブローカーや税務申告代行業者など、銀行以外の多くの金融事業者に適用されます。顧客情報にアクセスするすべての人に多要素認証を求め、書面でのリスク評価を求めるほか、継続的な監視、または年一回のペネトレーションテストと六か月ごとの脆弱性診断のいずれかを求めています。ただし、保有する消費者情報が 5,000 人分未満の事業者は、書面でのリスク評価や上記のテストなど一部の要件が免除されます。多要素認証は免除されません。医療機関には HIPAA Security Rule があります。Microsoft 365 セキュリティ診断は、これらの義務のうちクラウド設定にかかわる部分の証拠になりますが、それだけでコンプライアンスを満たすわけではなく、法的助言でもありません。

ScubaGear を自分で実行するか、診断を購入するか

ScubaGear は無償で、品質も優れています。PowerShell に慣れたエンジニアがいるなら、実行してみるのは妥当な第一歩です。両者の違いは次のとおりです。

自社実行のツールと固定料金の診断

ScubaGear を自分で実行する： 現金の支出はなし。エンジニアの時間が必要。単一のベースラインに対する合否の生データが得られる。手動コントロールは対象外。自社の事業にとって何が重要かの判断はなし。
固定料金の診断： 人数に応じた明確な料金。CIS と SCuBA の結果を並べて確認できる。手動コントロールは担当者が確認する。指摘事項に重要度が付き、修正順に整理される。保険会社や顧客に提出できる形でエビデンスがまとめられる。
日額制のコンサルティング： 費用に上限がない。複数のテナントがある場合、インタビューが必要な場合、または診断がより広範な保証プロジェクトの一部である場合に最適。

費用を抑えるには： 先に ScubaGear を実行して明らかな不合格項目を修正しておけば、有償の診断はより難しい項目に時間を使え、レポートの指摘事項も少なくなります。

アクセス権限、スケジュール、契約

診断はすべてリモートで行うため、米国内のどこにオフィスがあっても問題ありません。

該当する区分と固定料金を確認します。通常は 1 営業日以内です。
グローバル管理者が、当社の読み取り専用の監査アプリケーションを承認します。所要時間は約 15 分です。アカウントやパスワードの作成・共有は一切ありません。
自動チェックは数分で完了し、その後エンジニアが手動コントロールを順に確認します。
アクセス権限の付与から 5～7 営業日で報告書をお届けし、その後に報告会を行います。

このアプリケーションは読み取り専用の Microsoft Graph 権限のみを使用し、作業が終わったその日に Entra ID から削除できます。権限の全一覧は、読み取り専用の Microsoft 365 監査アプリが求める権限の記事に掲載しています。

契約は通常、クライアントの所在国にある Brocent の法人が締結します。当社の 11 の現地法人のいずれも契約当事者になることができ、提案書でどの法人かを明記します。Brocent は 2007年に北京で創業、本社はシンガポールで、100 以上の国と地域のお客様にサービスを提供しています。現地対応や日常のサポートについては、米国の IT サポートをご覧ください。

出典

CISA、BOD 25-01：クラウドサービスのセキュアな運用の実施: cisa.gov
CISA、Secure Cloud Business Applications (SCuBA) プロジェクト: cisa.gov
GitHub 上の CISA ScubaGear: github.com/cisagov/ScubaGear
FTC、Safeguards Rule：事業者が知っておくべきこと: ftc.gov
HHS、HIPAA Security Rule: hhs.gov
CIS Microsoft 365 Foundations Benchmark: cisecurity.org

よくある質問

Microsoft 365 セキュリティ診断の費用はいくらですか？

人数に応じた一回限りの固定料金で、米ドル建て、税別です。1～10 ユーザーは US$450、11～25 ユーザーは US$990、26～75 ユーザーは US$1,800、76～150 ユーザーは US$2,900 です。150 ユーザーを超える場合は固定料金をお見積もりします。時間単価はありません。