Microsoft 365 セキュリティ監査の費用はいくら？2026年版 料金ガイド

結論から： Microsoft 365 セキュリティ監査の費用は、自己実施のスキャナなら無料、コンサルタントは1日750〜2,000英ポンドと大きく開きます。公開されている固定価格の単発監査は約450米ドルから7,000ユーロまで。差を生むのは人数・範囲・深さです。Brocentの完全なCIS監査は人数別で450〜2,900米ドルです。

Microsoft 365 セキュリティ監査の費用を調べると、情報が食い違って見えることがあります。「無料」と書くところもあれば、7,000ユーロを提示するところ、日額だけを示すところもあります。これらは矛盾しているのではなく、同じ名前で4種類の異なるものを売っているのです。

この記事では、その4種類を切り分け、それぞれの価格で何が手に入るのか、見積額を上下させる要因は何かを説明します。そのうえで、当社の料金表を、含まれないものも含めて正直に公開します。他社の価格は各社の公開ページで2026年10月27日に確認したもので、今後変わる可能性があります。

Microsoft 365 セキュリティ監査の費用はいくらかかる？

まず全体像を一覧にします。詳細は後述します。

• 無料： Microsoft、CISA、CoreViewが提供する自己実施のスキャナ。対価はご自身の時間と専門知識です。
• ユーザー単位・席単位、多くは要見積： MSP向けの継続監視プラットフォーム。最終顧客ではなくサービス事業者向けに販売されるのが一般的です。
• 単発で約450米ドル〜7,000ユーロ： 担当者がテナントを確認し、報告書を納品する固定価格の監査。価格差は主に範囲と深さによります。
• 1日750〜2,000英ポンド： コンサルタントの日額。監査の中身はコンサルタントと相談して決めます。

テナントが1つの中小企業であれば、きちんとした単発監査の現実的な予算は数百〜数千米ドルで、数万米ドルではありません。複数テナントを持つグループや、ヒアリングやオンプレミスのActive Directory確認を含む案件は、別種のプロジェクトとして価格が決まります。

Microsoft 365 のセキュリティ評価にはどんな種類があり、いくらかかる？

無料の自己実施スキャナでは何が得られる？

知っておきたいのは次の3つです。

• Microsoft Secure Scoreは、Defenderポータルに組み込まれています。Microsoft自身の推奨アクションに沿ってテナントを採点します。Microsoftは、侵害される可能性を示す絶対的な指標ではないと明記しています。
• CISA ScubaGearは、無料のオープンソースPowerShellツールです。CISAのSCuBAベースラインに照らして、Entra ID、Exchange Online、SharePoint、Teams、Power BI、Power Platformを確認します。
• CoreViewのMicrosoft 365テナントセキュリティスキャナは2026年2月に発表されました。PowerShellで実行し、CIS Microsoft 365 v6.0.0のガイドラインと照合して、オフラインのHTMLレポートを出力します。

どれも良いツールです。ただし、結果を自社の事情に合わせて解釈することも、APIで読み取れない統制項目を確認することも、人員・ライセンス・許容リスクを踏まえて何から直すべきかを示すこともしません。PowerShellが得意な社内エンジニアがいるなら、最初の一歩として適しています。

ユーザー課金の監視プラットフォームは何のためのもの？

Octiga、Syskit、Augmenttは、テナントを継続的に見張り、設定の変化を知らせるプラットフォームの例です。ユーザー単位または席単位で課金され、MSPが再販するのが一般的です。たとえばAugmenttは料金ページで、最終価格は席数、テナント数、モジュール、契約期間によって決まるため見積依頼が必要としています。他社については公開価格を確認できなかったため、数字は引用しません。

監視が答えるのは「先月から何か変わったか」です。「このテナントは今日、安全に設定されているか」とは別の問いですが、両者はしばしば一緒に購入されます。

固定価格の単発監査は、公開価格でいくら？

固定価格を公開している会社がいくつかあります。各社の公式ページで確認できたものは次のとおりです。

• Creative Data Concepts（米国）： Security Configuration Health Check。1,500米ドル、1日、リモート。優先度付きの指摘事項レポートを48時間以内に納品。2026年10月27日確認。
• IT Partner（o365hq経由）： Microsoft 365 Security Audit ベースライン。1プロジェクト525米ドル、3日。指摘事項レポート、是正計画、報告会を含み、是正作業の実施は含みません。2026年10月27日確認。
• VidraSec（欧州）： Microsoft 365 Audit。7,000ユーロから、レポート込みで3〜5日。ライブでの説明があり、再テストは任意。2026年10月27日確認。

3社の間には10倍以上の開きがあります。違いの中心は時間と深さです。低価格帯は1〜3日の設定確認、高価格帯は3〜5日のホワイトボックス監査で、Exchange Online、Teams、SharePoint、Defender for Office 365、管理者ロール、条件付きアクセスまで及び、ライブでの説明と任意の再テストが付きます。

コンサルタントの日額が適用されるのはどんなとき？

見積が「工数ベース」の場合は、日額を見ることになります。英国政府のG-Cloudフレームワークを例にすると、TransparityのMicrosoft 365 Security Assessmentの掲載ページでは、英国の日額が若手アーキテクトの750英ポンドから最上級職の2,000英ポンドまで、セキュリティアーキテクトは995〜1,500英ポンドと示されています（2026年10月27日確認）。日額制の監査は優れた内容になり得ますが、日数が決まるまで総額は分かりません。

4つの方法を比べると？

• 無料スキャナ： 現金は不要ですが、自社のエンジニアが必要です。得られるのは生の出力で、自社に合わせた優先順位付けはありません。さっと確認したい技術チーム向けです。
• ユーザー課金の監視： ユーザー単位または席単位の継続費用で、通常はMSP経由です。良好なベースラインができた後の変化の検知に向きます。手動の統制項目を含む完全なレビューの代わりにはなりません。
• 固定価格の単発監査： 金額が確定し、提供者と深さによって約450米ドル〜7,000ユーロです。決まった期日までにレポートとロードマップが必要なときに向きます。
• 日額制のコンサルティング： 1日750〜2,000英ポンドで、総額に上限はありません。複雑なテナント、複数テナントのグループ、より大きな保証プロジェクトの一部としての監査に向きます。

Microsoft 365 セキュリティ評価の費用は何で決まる？

2つの見積が10倍違うとき、原因はほぼ次のいずれか、または複数です。

ユーザー数。 ユーザーが多いほど、MFAの適用範囲、管理者権限、ゲストアカウント、長期間サインインのないアカウントの確認が増えます。人数帯で価格を決める事業者もあれば、工数で決める事業者もあります。

ライセンス。 Business Premium、E3、E5では利用できる統制項目が異なります。条件付きアクセス、Defender for Endpoint、Purview、Entra ID Protectionは一部のプランにしかありません。E5のテナントは確認項目が増え、基本プランでの不備の一部は、実はライセンスの不足です。Secure Scoreは保有ライセンスに関係なく製品の推奨事項を表示するため、ライセンスを理解したレビュアーが役立ちます。

テナント数。 複数のテナントを持つグループでは、通常テナントごとに個別のレビューと、横断的な見方が必要です。1つの価格が全テナントを含むと思い込まないでください。

手動の統制項目。 CIS Microsoft 365 Benchmarkには、APIでは正確に読み取れない統制項目があります。管理センターを開いて人が確認するしかありません。自動スキャナはこれらを飛ばします。含めれば時間も費用も増えますが、ベンチマーク全体を確認したと言えるのは、自動で測れる部分だけでなく、これを含めた場合だけです。

Intuneとデバイス。 デバイスのコンプライアンス、暗号化、登録、更新ポリシーは第2の層です。デバイスを含む監査もあれば、別売りの場合もあります。当社には独立したIntuneデバイス監査（英語ページ）があります。

保険会社やCyber Essentials向けの証跡。 サイバー保険の質問票や、日付入りエクスポートが必要なCyber Essentialsの質問に答えるなら、レポートもその用途に合わせた構成でなければなりません。その分の工数が増えるため、含まれているか確認してください。

是正作業。 固定価格の監査のほとんどは、修正を含みません。不備を塞ぐのは2つ目のプロジェクトで、別途見積になります。見積が安いときは、報告書で終わっていないか確かめましょう。

Microsoft 365 監査の見積はどう比較すればよい？

安い見積が悪いとは限りませんが、同じ条件で比べる必要があります。各社に同じ質問をしてください。

1. どのベンチマークの、どのレベルか。 CISのLevel 1のみか、Level 1と2か。それとも独自のチェックリストか。
2. 手動の統制項目は含まれるか。 「スクリプトを実行します」という回答なら、買うのはスキャナのレポートです。
3. テナント単位かグループ単位か。 価格がいくつのテナントを含むか確認します。
4. レポートの中身は何か。 重大度、影響を受けるオブジェクト、是正手順、優先順位付きのロードマップ、工数見積があるか。
5. 説明会（デブリーフ）はあるか。 書面だけで対話がないと、指摘事項の解釈は自分で行うことになります。
6. 必要なアクセス権は何か。 グローバル管理者が一度だけ承認する読み取り専用アクセスのほうが、管理者パスワードの共有を求められるより望ましい形です。
7. 何が除外されているか。 是正、再テスト、デバイス監査、保険会社向け証跡が、よくある除外項目です。
8. レポートはいつ届くか。 価格だけでなく納期も比べます。
9. 通貨と税は明記されているか。 後から驚かないためです。

固定価格は予算を立てやすいものの、範囲が書面になっていてこそです。良い固定価格のMicrosoft 365監査の見積は、見出しの金額ではなく、短い仕様書のように読めます。

BrocentのMicrosoft 365セキュリティ監査の料金は？

当社は料金を公開しています。BrocentのCIS Benchmark Auditは単発のサービスで、人数別の価格です。米ドル建て、税別です。

Brocent CIS Microsoft 365ベンチマーク監査の料金表

• 1〜10ユーザー： 450米ドル
• 11〜25ユーザー： 990米ドル
• 26〜75ユーザー： 1,800米ドル
• 76〜150ユーザー： 2,900米ドル
• 150ユーザー超： 個別見積

どの区分でも範囲は同じで、価格を変えるのは人数だけです。

すべての区分に含まれるものは？

• CIS Microsoft 365 BenchmarkのLevel 1・Level 2の完全な監査。自動ツールでは確認できない手動の統制項目も含みます。
• 一般的なサイバー保険の質問票やCyber Essentialsの質問に答える際の証跡として使えるよう設計された内容。保険会社が受け入れるかどうかは各社の判断であり、お約束はできません。
• 工数見積付きで優先順位をつけたロードマップ。
• 読み取り専用アクセスの付与から5〜7営業日でのレポート納品。
• デブリーフ（説明）の通話。

アクセスは読み取り専用です。グローバル管理者が当社の監査アプリを一度承認するだけで、所要時間は約15分です。管理者パスワードの共有は不要で、終了後はEntra IDからアプリを削除できます。確認するのは設定であり、SharePointやOneDrive内の文書を開いたりコピーしたりはしません。監査は当社のFINOS ITセキュリティ監査ツールで生成し、手動の統制項目はエンジニアが確認します。

出力のイメージはサンプルレポート（英語ページ）でご覧いただけます。架空のクライアントAcme Capital、従業員14名、評価C、スコア58/100、指摘事項24件という設定です。見ていただきたいのは構成で、領域別の指摘事項、重大度、影響を受けるオブジェクト、修正手順が並んでいます。

含まれないものは？

• 是正とハードニング。 監査後に別途見積します。変更はすべて書面で承認を得て、テストし、元に戻せるようにします。
• Intuneの展開、データ保護、バックアップ。 こちらも監査後に見積します。
• コンプライアンスの保証。 監査は不備を見つけるものです。特定の基準への適合を実現するものではなく、保険会社の判断を保証するものでもありません。

現在のキャンペーンは料金ページに表示されています。監査の無料版はありません。

継続的な管理プランはある？

あります。管理オプションは1ユーザーあたり月額6〜10米ドルで、監視と四半期ごとの再監査を含みます。フルの管理型ITアウトソーシング契約までは望まないものの、監査と監査の間の設定の変化を捉えたい組織に向いています。より幅広い支援については、管理型ITセキュリティサービスをご覧ください。

単発の監査と継続的な監視、どちらを選ぶべき？

ほとんどの場合、最初は単発の監査が正解です。ベースライン、優先順位付きの修正リスト、日付入りの記録が手に入ります。監視が効果を発揮するのは、守る価値のあるベースラインができてからです。

単発の監査が向くのは、体系的なレビューを受けたことがない、保険の更新や質問票が迫っている、是正の予算が必要、というケースです。

継続的な監視が向くのは、主要な不備はすでに修正済み、設定変更が多い、管理者が複数いて設定のずれが起きやすい、というケースです。

よくある進め方は、両方を順番に行うことです。監査、是正、そして四半期ごとの再監査です。

見積依頼からレポート受領までの流れは？

手順を知っておくと、納期や価格が妥当かどうか判断しやすくなります。

1. スコープ確認。 ユーザー数、ライセンス、テナント数をお知らせください。良い事業者は、着手前に範囲を書面で確認します。
2. 承認。 グローバル管理者が読み取り専用アプリを承認します。当社の場合は約15分の作業です。
3. 収集とレビュー。 自動チェックが設定を読み取り、その後エンジニアが、管理センターでしか確認できない設定など、人の判断が必要な統制項目を順に確認します。
4. レポート。 領域別の指摘事項が、重大度、影響を受けるオブジェクト、修正手順、順位付きのロードマップとともに届きます。
5. デブリーフ。 通話で優先順位を説明し、最初に直すものを決めます。

見積にデブリーフや手動レビューが入っていなければ、安い理由はそこにあるかもしれません。

よくある質問

Microsoft 365 セキュリティ監査の費用はいくらですか？

何を買うかによります。自己実施のスキャナは無料です。公開されている固定価格の監査は約450米ドル〜7,000ユーロ。コンサルティング会社は1日750〜2,000英ポンドです。150ユーザーまでの会社なら、BrocentのCIS監査は450〜2,900米ドル（税別）です。

Microsoft 365 のセキュリティ評価費用は、ユーザー数と日数のどちらで決まりますか？

両方の方式があります。ユーザー単位の課金は監視サービスや人数帯別の監査で、日額課金はコンサルティングで一般的です。どちらを選ぶ場合も、書面の範囲にベンチマーク、テナント数、除外項目が明記されていることを確認してください。

Secure Scoreで十分ですか？CIS Microsoft 365 ベンチマーク監査は必要ですか？

Secure Scoreは有用な指標ですが、対象はMicrosoftの推奨アクションであり、CISベンチマーク全体ではなく、手動の統制項目も確認できません。CIS Microsoft 365 ベンチマーク監査はさらに踏み込み、お客様の環境に即した判断が加わります。Secure Scoreは出発点と考えてください。

固定価格のMicrosoft 365監査に、通常含まれないものは？

通常は、是正、再テスト、場合によってはデバイスやデータ保護のレビューです。見積をよく確認してください。当社の場合、修正は監査後に別途見積します。

監査で保険会社やCyber Essentialsの要件を満たせますか？

お約束はできません。判断は各保険会社や審査機関が行います。当社のレポートは、よくある質問への証跡として使えるよう設計されており、各回答に日付入りのエクスポートが付きますが、受け入れるかどうかは先方次第です。

管理者パスワードは必要ですか？

いいえ。グローバル管理者が読み取り専用アプリを一度承認します。その権限ではテナントを変更することも、メールや文書の内容を読むこともできず、アプリはいつでも削除できます。

監査にはどのくらい時間がかかりますか？

スキャン自体は数分です。レポートは読み取り専用アクセスの付与から5〜7営業日で納品され、その後デブリーフの通話を行います。

同じ監査なのに、なぜ安い事業者があるのですか？

多くの場合、範囲の違いです。統制項目が少ない、手動確認がない、数日ではなく1日、レポートが浅い、などです。上の比較の質問で確かめられます。

まず明らかな穴を塞ぐ

監査を依頼する前に、半日で自力で直せる項目を片付けておきましょう。全ユーザーの MFA を有効化し、条件付きアクセスの基本ポリシーを設定し、Secure Score の推奨事項を順に対応します。監査の時間は、ポータルからは見えない問題に使うべきです。

ご自身のテナントの料金を確認しませんか？

ユーザー数を数えて料金ページをご覧ください。150ユーザーを超える場合や複数のテナントがある場合は、お問い合わせから見積をご依頼ください。