香港の Microsoft 365 セキュリティ監査：現地企業向けの範囲・期間・固定料金

要点： 香港 Microsoft 365 セキュリティ監査は、テナントの設定を CIS Microsoft 365 ベンチマークに照らして確認する一回限りの読み取り専用レビューです。Brocent が観塘（クントン）のオフィスから提供し、料金は人数で固定されます。1〜10 ユーザーで US$450、76〜150 ユーザーで US$2,900。グローバル管理者が一度同意すれば、報告書とワークブックは 5〜7 営業日後に届きます。

香港 Microsoft 365 セキュリティ監査を検索している方は、たいてい次のどちらかの状況にあります。保険会社、取引先の調達部門、監査人など社外の誰かから、まだ答えられない質問を受けたか。あるいは何かが起きて、毎朝全員がサインインしているテナントが本当に想定どおりに設定されているのか疑問に思い始めたか。どちらの場合も必要なのは、テナントを見て、何が問題かを率直に伝え、契約前に価格を提示できる香港の IT 企業です。

この記事では、香港の企業がまさにそれをどう購入するかを説明します。現地の IT 企業から、範囲・期間・料金がすべて公開された Microsoft 365 テナントの一回限りのセキュリティ監査を買う方法です。あわせて、この監査が「何ではないか」も述べます。本当に必要なのがペネトレーションテストや継続的な監視なのに、テナントレビューに費用を払う人を出さないためです。料金表の全文と FAQ は Microsoft 365 セキュリティ監査の料金ページにあります。本記事は香港で購入する方のための手引きです。

香港でどのような企業が Microsoft 365 セキュリティ監査を依頼するのか

ご相談いただく企業には一貫した傾向があり、それは業種よりも「きっかけ」に関係しています。

• ライセンスを持つ金融機関。 SFC（証券先物事務監察委員会）のライセンスを持つ資産運用会社、証券会社、企業金融ブティックは、コンプライアンス部門や外部監査人からメール・ファイル・ID が保護されていることの証明を求められます。この三つはすべて Microsoft 365 の中にあります。
• 保険ブローカー・代理店。 サイバー保険の更新書類が届き、多要素認証、管理者アカウント、メールフィルタリングについて質問されますが、現状の答えを知る人が社内にいません。
• NGO や協会。 助成団体のデューデリジェンス質問票で、会員・寄付者・受益者のデータがどう管理されているかを問われます。テナントは何年も前に、すでに退職した人が設定したものです。私たちの香港の非営利団体の複合事例に、このようなレビューで典型的に見つかる事柄をまとめています。
• 貿易・調達会社。 巧妙なメールのせいで仕入先への支払いが誤った銀行口座に送金された、あるいは送金されかけた。経営者はメールボックスが原因だったのか知りたいと考えます。
• 海外グループの地域拠点。 本社が、買収、合併、Copilot 展開の前に、香港のテナント、または共有テナントの香港部分について独立した評価を求めます。

これらの購入者に共通するのは、セキュリティプログラム全体を必要としていないことです。必要なのは、特定の一つのシステムについて、ライセンス販売に利害を持たない人が書いた、優先順位付きの問題リストであり、それを既知の日数と既知の価格で手に入れることです。

香港 Microsoft 365 セキュリティ監査では実際に何を確認するのか

範囲はどの料金帯でも同じで、私たちが公開しているサンプル報告書に明記されています。Brocent は CIS Microsoft 365 Foundations Benchmark の Level 1 と Level 2 に照らしてテナントを監査します。自動スキャナーが飛ばしてしまう手動コントロールも含みます。さらに、発見事項を Microsoft Secure Score と ScubaGear ベースラインと突き合わせます。確認する領域は次のとおりです。

• Entra ID。 ユーザーとゲスト、MFA の登録状況と使用中の方法、条件付きアクセスポリシー、特権ロールと Privileged Identity Management、アプリ登録と同意設定、サインインリスク。
• Exchange Online。 メールフロールール、外部転送、SMTP AUTH、メールボックス監査、フィッシング対策ポリシー、すべての承認済みドメインの SPF・DKIM・DMARC。
• Microsoft Defender。 Defender for Office 365 と Defender for Business のポータル設定。何がライセンスされ、何が有効で、何が既定値のまま放置されているか。
• SharePoint Online と OneDrive。 テナントとサイトの共有設定、リンクの既定値、ゲストの有効期限、機密サイトの扱い。
• Microsoft Teams。 外部アクセス、ゲストアクセス、会議ポリシー。
• Microsoft Purview。 データ損失防止、保持、秘密度ラベル、監査ログの保持期間。
• Secure Score と ScubaGear。 両方の結果を収録し、フレームワーク同士が一致する箇所と、人間のレビュアーが判断を下す必要があった箇所を確認できるようにします。
• Intune。 本報告書では要約のみ。デバイスの詳細な発見事項は、別の Intune デバイス監査に属します。

範囲外として報告書に明記するもの：メールボックスや文書の内容（監査は設定とメタデータのみを読み取ります）、ペネトレーションテストとフィッシング訓練、Microsoft 365 以外のサードパーティ SaaS（Entra ID 上の OAuth 許可を除く）、物理セキュリティとオンプレミスのネットワーク機器。

購入前に成果物の形を確認したい場合は、Microsoft 365 セキュリティ監査のサンプル報告書（英語ページ）をご覧ください。架空の 14 名の企業を例に、エグゼクティブサマリー、態勢の概要、観察・影響・是正・ロールバックを備えた発見事項、段階的なロードマップまで、すべての章を示しています。同じ 12 領域のセルフチェック版はMicrosoft 365 セキュリティ監査チェックリストにあります。何かを依頼する前に一通り確認しておくのが賢明です。

香港での Microsoft 365 セキュリティ監査にはどのくらいかかるのか

公開している納期は 5〜7 営業日で、読み取り専用アクセスが付与された時点から数えます。手順はどのお客様でも同じです。

1. 短いスコープ確認の電話。 15〜20 分で、人数帯、承認済みドメインの数、Intune の利用有無、報告書の受領者を確認します。
2. 読み取り専用の同意。 貴社のグローバル管理者の一人が、読み取り専用の Microsoft Graph アプリケーションを承認します。所要時間は 15 分ほどで、デバイスには何もインストールされず、貴社テナントに Brocent のアカウントやパスワードが作られることもありません。同意はアプリケーションを削除することでいつでも取り消せます。
3. 収集と検証。 設定を自動で読み取り、別の日にもう一度読み取ることで、各値をいつ検証したかを報告書に記載できます。API で取得できない設定は、貴社の IT 担当者と画面共有しながら管理ポータルで確認します。
4. 報告書とワークブック。 日付入りの PDF 報告書と、すべての発見事項に重大度、工数見積もり、フェーズ、証拠参照を付けた Excel ワークブックをお届けします。
5. 報告会。 発見事項を優先順位に沿って説明し、質問にお答えします。ビデオ会議でも、観塘のオフィスでも実施できます。報告会に義務は一切伴いません。

この日数の計算において香港の祝日は営業日に含まれません。また、起算点はスコープ確認の電話ではなく同意の時点です。取締役会や保険更新の期限までに報告書が必要な企業は、丸 2 週間前にアクセスを付与してください。

料金はいくらで、なぜ人数で決まるのか

料金は固定で公開されており、テナントのライセンスユーザー数だけで決まります。

• 1〜10 ユーザー： US$450
• 11〜25 ユーザー： US$990
• 26〜75 ユーザー： US$1,800
• 76〜150 ユーザー： US$2,900
• 150 ユーザー超： スコープ確認後に見積もり

人数は作業量を最も正直に表す指標です。120 名のテナントには、確認すべき管理者、ゲスト、条件付きアクセスの例外、独自の共有設定を持つ SharePoint サイト、ルールを読まなければならないメールボックスが、より多く存在します。小さなテナントで範囲が狭まるわけではなく、見るべき対象の数が減るだけです。

料金は米ドル表示です。Brocent が展開するすべての市場で同じ基準で価格を設定しているためです。香港法人からの香港ドル建て請求書が必要な場合や、経理部門の希望する請求方法について質問がある場合は、ご自身で換算せず、スコープ確認の電話でコンサルタントにお尋ねください。

固定料金に意図的に含めていないものが二つあります。一つは是正作業です。監査は何をどう直すかをロールバック手順付きで示しますが、修正そのものは別の作業で、対応する発見事項を決めた後にテナント単位で見積もります。もう一つは、あらゆる形の継続的な監視です。一回限りの監査は、ある日付のテナントの写真です。その後に誰かが見守るべきかどうかは、報告書が判断を助ける事柄であって、代わりに決めてしまう事柄ではありません。関連記事Microsoft 365 セキュリティ監査の範囲を想定外なく決める方法で、時間課金ではなくこの方式で価格を決めている理由を説明しています。

この監査が「何ではないか」

香港の購入者は「セキュリティ監査」「IT 監査」「ペネトレーションテスト」を混同して使うことが多く、証拠を求める側も同様です。購入前に、どれが求められているのかをはっきりさせてください。

Microsoft 365 セキュリティ監査と他の選択肢の比較

• Microsoft 365 セキュリティ監査は、一つのクラウドテナントの設定を公開されたベンチマークに照らして読み取り、ギャップを報告します。侵入は試みません。「私たちの Microsoft 365 は安全に設定されているか」が問いであれば、これが正解です。
• ペネトレーションテストは、合意した範囲と期間内で、通常は Web アプリケーション、外部公開サービス、社内ネットワークに対して脆弱性の悪用を試みます。取引先、規制当局、保険会社が明示的に求めている場合に正解となるもので、香港市場でこの言葉が指すものはテナントレビューとはかなり異なります。
• 脆弱性スキャンは、サーバー、ファイアウォール、デバイスの既知の弱点を探します。誰が MFA なしでメールにサインインできるかについては何も語りません。
• より広い IT 評価・監査は、ネットワーク、サーバー、エンドポイント、バックアップ、プロセスといった IT 環境全体を対象とし、Microsoft 365 テナントはその一要素です。テナントが問題の一部にすぎないなら、Brocent の IT 評価・監査サービスが正しい出発点です。
• マネージドセキュリティ監視は継続的で定期的なものです。監査の後で、発見事項とリスク許容度が必要だと示した場合に購入するものです。

保険会社や取引先から「セキュリティ監査」を求められ、上記のどれを指しているのか分からない場合は、質問の原文をそのまま私たちに送ってください。スコープを決める前にこの点を正しく判断することに費用はかからず、誤ったものを買わずに済みます。

PDPO や質問票にどう役立つのか

香港の Microsoft 365 テナントには通常、個人データが保存されています。従業員記録、顧客の連絡先、業種によってはさらに機微な資料もあります。個人データ（プライバシー）条例（PDPO）は、データ利用者がそれらを保護するために実行可能な措置を講じることを求めています。データを保持するシステムの設定について、日付入りで独立したレビューを行い、発見事項と証拠を残しておくことは、そうした措置を講じたことを示すための合理的な一部です。

報告書は、まさにそのような場面で証拠として使われることを想定して設計されています。社内のコンプライアンス部門、保険会社の質問票、取引先のサプライヤーセキュリティ審査、外部監査人とのやり取りです。PDPO 上の義務を果たし、他者から受ける質問に答える助けになります。ただし、何かを認証するものではなく、規制当局、保険会社、認証制度がこれを受け入れると私たちが述べることもありません。それは彼らの判断であって、私たちの判断ではないからです。言えるのは、ワークブックには各コントロール、検出された値、その根拠となる証拠ファイル、日付が記載されており、審査する側が自ら判断を下すために必要なものが揃っているということです。

報告書を受け取った後はどうなるのか

香港の企業の多くは次の三つのいずれかを選び、報告書はその三つすべてを支えるように書かれています。

• Critical と High の発見事項を自社で修正する。 すべての発見事項に、番号付きの是正手順、ロールバック、従業員が気づく変化についての注記が付いています。有能な社内管理者や既存の IT ベンダーが順に対応できます。ワークブックが進捗管理表になります。
• Brocent に堅牢化を依頼する。 対応する発見事項を選んだ後に案件単位で見積もります。作業量は何が見つかったかに完全に依存するためです。報告書のフェーズ計画がそのまま自然な作業範囲になります。
• テナントをマネージド IT サービスプランに移す。 レビューの結果、テナントを日常的に管理している人が誰もいないと分かった場合、継続的な所有者を置くことが解決策です。MFA と条件付きアクセスをポリシーとして強制し、入退社を当日に処理し、設定のドリフトを監視し、態勢を定期的に見直します。Brocent の香港向けマネージド IT サポートプランはユーザー単位で価格を公開しており、見積もりツールで貴社の人数に応じた香港の料金を確認できます。応答目標は SLA ページにあります。

三つのどれも前提ではありません。監査を実施し、既存のベンダーと最重要項目を修正し、1 年後に再度のレビューに戻ってくるお客様も少なくありません。それは全く妥当な結果です。

なぜ香港の IT 企業から購入するのか

クラウドテナントを読み取る作業にエンジニアが香港にいる必要はなく、他の市場のお客様にも同じ監査をリモートで提供しています。現地のプロバイダーが加えるのは、実務上の利便性です。

報告会は貴社のオフィスでも当社のオフィスでも、広東語、北京語、英語で実施できます。コンサルタントは、SFC ライセンス企業のコンプライアンス担当者や香港の保険会社の更新書類が実際に何を問うているのかを理解しています。請求と契約は当社の香港法人を通じて行えます。監査の結果として堅牢化作業やデバイスの現地対応が必要になった場合、駆けつけるのは同じチームで、観塘から九龍、香港島、新界をカバーします。Brocent は 2007 年からアジアで事業を行い、グループ本社はシンガポール、香港オフィスは観塘の駿業街 62 号 Capital Trade Centre にスタッフが常駐しています。現地で提供しているその他のサービスは香港 IT サポートのページをご覧ください。

よくある質問

香港での Microsoft 365 セキュリティ監査の費用はいくらですか

料金は人数で固定されています。1〜10 ユーザーで US$450、11〜25 ユーザーで US$990、26〜75 ユーザーで US$1,800、76〜150 ユーザーで US$2,900 です。150 ユーザーを超えるテナントはスコープ確認後に見積もります。料金には CIS Level 1 と Level 2 の完全なレビュー、報告書、ワークブック、報告会が含まれます。是正作業と継続的な監視は別途です。

どのくらいの期間がかかりますか

報告書とワークブックは、グローバル管理者が読み取り専用アクセスを付与してから 5〜7 営業日でお届けします。その前のスコープ確認の電話と、その後の報告会を含めると、全体はおおむね 2〜3 週間の暦日に収まります。

テナントの管理者権限が必要ですか

いいえ。監査は、貴社のグローバル管理者の一人が一度同意する読み取り専用の Microsoft Graph アプリケーションを使用します。Brocent のユーザーアカウントは作成されず、デバイスには何もインストールされず、Entra ID でアプリケーションを削除すればいつでも同意を取り消せます。

監査でメールや文書を読みますか

いいえ。読み取るのは設定とメタデータのみです。ポリシー、設定値、ロールの割り当て、共有の既定値などです。メールボックスやファイルの内容は明示的に範囲外であり、報告書にもそう記載されます。

ペネトレーションテストと同じものですか

いいえ。ペネトレーションテストはシステムの悪用を試みますが、テナント監査は一つのクラウドサービスの設定をベンチマークに照らして読み取ります。取引先や保険会社がペネトレーションテストを求めているなら、それは別の業務です。Microsoft 365 が安全に設定されているかを問われているなら、こちらが該当します。

報告書は保険会社や取引先のセキュリティ質問票に通用しますか

報告書とワークブックは証拠として使われることを想定して設計されており、お客様はまさにそうした質問票に使っています。特定の保険会社、取引先、監査人が受け入れるかどうかは、その方々の判断です。私たちは誰かが受け入れると主張しませんし、報告書は PDPO やその他の制度に適合していると認証するものでもありません。貴社が講じた措置を示す助けになるものです。

香港と深圳のオフィスが一つのテナントを共有しています。全体を監査できますか

はい。監査の対象はオフィスではなくテナントなので、共有テナントは一度のレビューで、ライセンスユーザーの総数に基づいて価格が決まります。中国本土側が別運用のテナントを使っている場合は、スコープ確認の電話でお知らせください。二つを適切に分けて範囲を決めます。

監査だけで、他には何も要らない場合は

それはごく普通の結果で、固定料金以外に義務はありません。報告書とワークブックは貴社のものとなり、自社チームや既存ベンダーが対応できます。後日、進捗を測るために再監査を依頼していただくことも歓迎します。

次のステップ

まず Microsoft 365 セキュリティ監査の料金ページで料金表の全文、サンプル報告書、FAQ をご確認ください。あるいは先にセルフチェックリストで、自力でどこまで進めるか試してみてください。スコープを決める準備ができたら、おおよその人数と今回の検討のきっかけを添えてコンサルタントにご連絡ください。同じ通話の中で料金帯と開始日を確定します。