Microsoft 365 セキュリティ監査は固定料金か時間制か？見積もりで失敗しない範囲の決め方

要点： Microsoft 365 セキュリティ監査は、固定料金のほうが安心して発注できることが多いです。作業量を決めるのはテナントの規模であって、監査人が「いくつ問題を見つけたか」ではないからです。Brocent は人数帯ごとの一括料金（税別）で、1～10名は450米ドルから、76～150名は2,900米ドル。どの帯でも範囲は同じです。時間制は「調べる」より「直す」作業に向いています。

Microsoft 365 セキュリティ監査の固定料金と時間制の見積もりを比べていると、数字がそのままでは比較できないことに気づくはずです。日額だけを示す会社、範囲の説明なしに「〇〇円から」とだけ書く会社、提案書の大半が自社の手法の紹介という会社もあります。この記事は、そうした見積もりを実際に比較できる形に直すためのものです。

価格表ではなく、発注の手引きです。料金の一覧は Microsoft 365 セキュリティ監査の料金ページに、金額を左右する要因は別記事の Microsoft 365 セキュリティ監査の費用にまとめています。ここでは、もっと絞った問いに答えます。料金はどんな構造にすべきか、契約前に何を確定しておくべきか、です。

Microsoft 365 セキュリティ監査で実際に買うものは何か

テナントのセキュリティ監査は、Microsoft 365 環境の設定を一度だけ点検するものです。Entra ID、Defender、Purview、Exchange Online、SharePoint、Teams の設定を読み取り、公開されている基準と照らして、見つかった差分ごとに推奨事項と作業量の見積もりを書き出します。メールや文書の中身は読みませんし、ペネトレーションテストでもありません。

大切なのは作業時間よりも成果物です。買うのは、そのまま行動に移せて、必要なら保険会社や取引先の質問票、Cyber Essentials の質問項目に答える際の証跡として使えるレポートです。見積もりに工数だけが書かれて成果物が書かれていなければ、その工数で何が手に入るのか判断できません。

これが最初の範囲決めのルールです。投入した労力ではなく、成果物に値段をつける。 レポートに何が含まれるか、どの基準と照らすか、推奨事項に作業量の見積もりと優先順位がついているかを確認してください。

セキュリティ監査は固定料金と時間制のどちらが良いか

監査そのものは、多くの場合固定料金のほうが向いています。その後の修正作業は、そうとは限りません。同じ会社が両方を提供することがあるため、混同されがちです。

固定料金と時間制の比較

• 予測しやすさ： 固定料金は着手前に総額が決まります。時間制は最後の請求書が来るまで見積もりにすぎず、監査は「想定より多く見つかった」が増額の理由になりやすい種類の仕事です。
• インセンティブ： 固定料金では、合意したレポートを効率よく納めることが監査人の利益になります。時間制では、丁寧な監査人と遅い監査人が請求書の上では区別できず、どちらに依頼したのか見分けにくくなります。
• 範囲の管理： 固定料金は、双方に範囲を文書にさせます。時間制は範囲があいまいなままでも成り立つため、最初は柔軟に見えても、ある領域が「含まれていたか」で揉める原因になります。
• 未知の部分への適合： 作業を事前に定義できない場合は時間制が適しています。移行に失敗したテナントの整理や、侵害の疑いの調査などです。通常のテナントの設定監査は、この種の問題ではありません。
• 修正への適合： 修正は、何が見つかったか、何台・何人に影響するか、貴社の変更手続きが何を許すかで変わります。事前に固定しにくいため、案件ごとに別見積もりとするのが普通です。

多くの発注者が最終的に望むのは、監査は固定料金、修正は別見積もり、という形です。前の結果を見てから次の判断ができるからです。

なぜ Brocent は人数別の料金にしているのか

作業量を実際に動かすのが人数だからです。8名のテナントと120名のテナントは同じ統制項目と照らされますが、後者は読み取り・確認するアカウント、メールボックス、サイト、ゲスト、サインイン記録がずっと多くなります。ユーザー数は妥当な代理指標で、誰かに相談する前に自分で数えられます。

料金帯は公開しています。Microsoft 365 CIS ベンチマーク監査（一回限り）は、1～10名が450米ドル、11～25名が990米ドル、26～75名が1,800米ドル、76～150名が2,900米ドルで、いずれも米ドル建て・税別です。150名を超えるテナントは個別見積もりとなります。範囲はどの帯でも同じで、CIS Microsoft 365 ベンチマークのレベル1とレベル2（人の判断が必要な手動項目を含む）を、Entra ID、Defender、Purview、Exchange、SharePoint、Teams について確認します。サイバー保険の質問票や Cyber Essentials でよく問われる事項に対する証跡、作業量見積もり付きの優先順位つきロードマップ、報告会、そして読み取り専用アクセスの付与から5～7営業日での報告書が含まれます。

テナントの状態がどれほど悪くても、料金は変わりません。見つかった問題が3件でも30件でも、金額は見積もり時のとおりです。

どんな見積もりでも、受け入れる前に確定すべきことは何か

料金体系が何であれ、次の質問であいまいな見積もりを比較可能な見積もりに変えられます。すべての候補に同じ質問を文書で送ってください。

1. どの基準と照らすのか。「ベストプラクティス」は基準ではありません。どのベンチマークの、どのレベルか、手動項目を含むかを確認します。自動ツールには、API で読めない項目を飛ばすものがあります。
2. どの製品が範囲に入るのか。 IDだけを見て Exchange、SharePoint、Teams を見ない診断は、すべてを見る診断とは別の商品です。
3. アクセスはどう付与するのか。 最も安全なのは、グローバル管理者が一度だけ同意し、後で削除できる読み取り専用アプリです。何を読めるのか確認してください。範囲が適切な監査が読むのは設定であり、メールや文書の中身ではありません。
4. テナントとユーザーはいくつか。 テナントが複数ある、ゲストアカウントが非常に多い場合は、見積もり前に伝えてください。範囲は書面で確認します。
5. 所要日数はどれくらいか。 契約時点ではなく、アクセスが付与された時点から数えた営業日数を尋ねます。
6. 報告書の後はどうなるか。 報告会はあるか。再確認は含まれるか。自社で修正した場合、再確認はいくらか。
7. 修正は誰が行い、別料金か。 安い監査が、高額な是正契約への入り口にすぎないなら、安くはありません。

固定料金に通常含まれないものは何か

驚きは境界で起きがちなので、はっきり書いておきます。

是正（修正）作業。 差分を見つけることと、直すことは別の仕事です。Brocent では監査と是正は分かれています。ハードニング作業は、見つかった内容と貴社の環境に依存するため、案件ごとの見積もりです。ロードマップを受け取って自社で進めても、他社に任せても、当社に依頼していただいても構いません。

デバイス監査。 Intune やエンドポイントの診断は、テナント設定の監査とは別のレポートです。デバイスも確認したい場合は、テナント監査に含まれていると思い込まず、明示して依頼してください。

再監査。 修正後の再監査は、Brocent が是正を行った場合は料金に含まれます。自社で修正した場合は、該当する料金帯の価格で承ります。妥当な決まりだと考えますが、どの会社にも明確なルールがあるか確認してください。

認証。 監査は Cyber Essentials などの認証を付与することも、保証することもありません。保険会社が何を受け入れるかを、誰も代わりに約束することはできません。当社のレポートは、Microsoft 365 の設定に関する証跡として使えるよう設計されています。保険会社や評価者がどう判断するかは、その相手が決めることです。

非常に大きい、または特殊なテナント。 150名を超える場合は公開の料金帯の代わりに個別見積もりとなり、複数テナントの環境は個別に範囲を確認します。これは普通のことで、同じ書面の範囲が付いている限り、疑う理由にはなりません。

時間制が適切なのはどんなときか

次のような場面では、時間制（タイム・アンド・マテリアル）が適した方法です。

• 問題はすでに分かっていて、直せる専門家が必要な場合。たとえば、合併後の条件付きアクセスの整理です。
• 進行中の事象を調べている場合。不審なサインインや、誰も心当たりのないメールボックスルールなど、分かるにつれて範囲が変わるものです。
• 成果物ではなく、継続的な助言を求める場合。

こうした場合に買うのは時間と判断力であり、料金表は誠実なやり方です。間違いは、範囲が決まっていて繰り返し行える点検にこの方式を当てはめ、総額に上限がないことに驚くことです。

固定料金と継続オプションはどう違うか

テナントの変更が多いなら、一度の監査はスナップショットにすぎません。入退社があり、新しいアプリが接続され、設定は少しずつずれていきます。Brocent は、1ユーザー月額6～10米ドルで四半期ごとの再監査を含む継続オプションも用意しています。基準が「あるはず」ではなく、あらためて確認されます。

選び方はシンプルです。更新時期、質問票、最初の基準づくりなど、ある時点の必要には一回限りの監査が合います。誰も見続ける時間がないテナントには継続オプションが合います。定期的な確認が要らない小さなチームなら、一回限りの固定料金が適しています。

妥当な発注の進め方とは

1. ライセンスを割り当てたユーザー数を数え、追加のテナントや多数のゲストアカウントがあれば記録する。
2. 監査のきっかけを整理する。保険の更新、取引先の質問票、Cyber Essentials、インシデント、あるいは一般的な点検。
3. 上の7つの確認事項を、各社に文書で尋ねる。
4. まず成果物を比べ、価格は次に比べる。
5. 是正を誰が行うかを決め、別途見積もりを取る。
6. グローバル管理者と一度きりの同意の日程を決める。当社の監査では約15分です。

よくある質問

固定料金の Microsoft 365 セキュリティ監査は、時間制より安いですか。

必ず安いとは限りませんが、予測しやすくなります。より大きな利点は、作業が始まる前に総額が分かることです。

Brocent の Microsoft 365 セキュリティ監査はいくらですか。

人数別の一回限りの料金で、米ドル建て・税別です。1～10名は450米ドル、11～25名は990米ドル、26～75名は1,800米ドル、76～150名は2,900米ドル。150名超は個別見積もりです。最新の一覧は料金ページをご覧ください。

問題がたくさん見つかったら、料金は変わりますか。

変わりません。監査料金は帯ごとに固定で、テナントの中身に左右されません。問題の修正は別の作業で、案件ごとに見積もります。

監査にはどれくらいかかりますか。

読み取り専用アクセスの付与から5～7営業日で報告書をお渡しします。グローバル管理者による同意の作業は約15分です。

再監査は含まれますか。

Brocent が是正を行った場合、修正後の再監査は含まれます。自社で修正した後の再監査は、該当する帯の料金です。

監査でメールや文書は読まれますか。

いいえ。読み取り専用の Microsoft Graph アプリが読むのは設定であり、メールや文書の中身は読みません。監査の後は、Entra ID でそのアプリを削除できます。

サイバー保険や Cyber Essentials に役立ちますか。

サイバー保険の質問票や Cyber Essentials でよく問われる事項に対する証跡として使えるよう設計されています。認証を付与することも保証することもなく、保険会社が何を受け入れるかは保険会社が決めます。背景はサイバー保険の要件に関するガイドをご覧ください。

次のステップ

まず人数を確認し、上の7つの確認事項を書き出して、候補のすべての会社に送ってください。候補に Brocent が含まれる場合は、Microsoft 365 セキュリティ監査の料金ページで貴社の規模の料金帯が分かり、サンプルレポート（英語ページ）で、契約前に成果物の形を確認できます。まず相談したい場合は、おおよその人数と監査のきっかけを添えてお問い合わせください。該当する料金帯と準備事項をお伝えします。