ケント州 Microsoft 365 セキュリティ監査：範囲・料金・期間

要点： ケント州の企業向け Microsoft 365 セキュリティ監査は、テナントの設定を CIS Microsoft 365 Benchmark の Level 1 と Level 2 に照らして一度だけ確認するサービスで、人の判断が必要な手動コントロールも含みます。Brocent はリモートで提供し、料金はユーザー数で決まる固定額です（1〜10 ユーザーは US$450、76〜150 ユーザーは US$2,900）。読み取り専用アクセスの付与後、5〜7 営業日でレポートを提出します。

ケント州やイングランド南東部で事業を営み、Microsoft 365 セキュリティ監査を探しているなら、知りたいことはおそらく三つです。誰かに自社のテナントを見てもらい、問題点を教えてもらえるのか。費用はいくらか。そして、その結果をサイバー保険の更新、取引先の質問票、Cyber Essentials の申請に役立てられるのか。

本稿は中小企業向けに、テナント監査の対象範囲、監査担当者が貴社のオフィスにいない場合の進め方、お客様側の作業、所要期間、費用を説明します。監査にできないことも率直に書きます。完全な料金表は Microsoft 365 セキュリティ監査の料金ページにあり、末尾でもう一度触れます。

Microsoft 365 セキュリティ監査とは何か。ケント州のどんな企業に必要か

Microsoft 365 セキュリティ監査とは、テナントが「実際にどう設定されているか」を、「そうなっているはずの状態」と突き合わせる体系的な確認です。Entra ID、Exchange Online、SharePoint、Teams、Defender、Purview の設定を読み取り、公開されている基準と比較し、差異ごとに推奨事項と作業量の目安を記録します。

ペネトレーションテストではなく、ノートパソコンの脆弱性スキャンでもありません。見るのは一点だけ、メール・ファイル・チャット・ID を保持するクラウドのテナントです。多くの小規模企業にとって、これは最も価値の高い資産です。ほかのシステムはすべてここを通ってサインインするからです。

ご相談をいただく企業には共通点があります。数人から数十人へと成長した。テナントは当時急いで構築され、その後見直されていない。そこへ、次のようなきっかけが訪れます。

サイバー保険の更新書類で、多要素認証、管理者アカウント、メール保護について尋ねられた。
大きな取引先からサプライヤー向けセキュリティ質問票が届いた。
Cyber Essentials の申請を検討しており、Microsoft 365 の設定がどの状態か知りたい。
従業員のアカウントが乗っ取られた、あるいは未遂があり、再発の可能性を確認したい。

どれかに当てはまるなら、監査は妥当な最初の一歩です。直すべき点が優先順位の付いた一つのリストになるからです。ID 面の詳細は、Entra ID のセキュリティ監査に関する記事もご覧ください。

監査担当者がケント州にいなくても、きちんと監査できるか

できます。その理由を明確にしておきます。Brocent は監査をリモートで提供します。ケント州を含む英国内に拠点や常駐チームがあるとは申し上げませんし、その必要もありません。テナント監査は Microsoft 自身のインターフェース経由で設定を読み取るため、どこで行っても作業内容は同じです。

Brocent が英国のお客様にどのように対応しているか（契約主体、審査済みの現地エンジニアによる公開派遣料金でのオンサイト対応の手配など）は英国向け IT サポートページ（英語ページ）にまとめています。監査料金ページの英国・オーストラリア向けセクション（英語ページ）では、Cyber Essentials 対応表とお客様のタイムゾーンに合わせた報告会の進め方を説明しています：Microsoft 365 セキュリティ監査の料金。

重要なのはアクセス権と責任の所在です。進め方は次のとおりです。

読み取り専用アクセス。 貴社の Global Administrator（全体管理者）が、読み取り専用の Microsoft Graph アプリケーションに一度だけ同意します。所要時間は約 15 分です。このアプリは設定を読み取りますが、メールやドキュメントの内容は読み取りません。
いつでも取り消し可能。 Entra ID でアプリを削除すればいつでも同意を取り消せ、その後に残るものはありません。
端末へのインストールは不要。 テナント監査でノートパソコンやスマートフォンに何かを展開することはありません。
報告会。 レポートが完成したら、ビデオ会議で内容を説明し、ご質問に答えます。時間帯はお客様の都合に合わせます。

リモートの代償も正直に述べます。オフィスを歩いて物理的なセキュリティを確認することはしません。これはもともとテナント監査の範囲外です。サーバールームに立ち会う担当者が必要な場合、このサービスは該当しません。

Microsoft 365 セキュリティ監査では何を確認するか

対象範囲はどの料金区分でも同じです。Brocent は CIS Microsoft 365 Benchmark の Level 1 と Level 2 に基づいて監査し、手動コントロール、つまりスクリプトでは読み取れず人が判断する項目も含めます。

確認する領域は次のとおりです。

Entra ID： 多要素認証の適用範囲、条件付きアクセスポリシー、レガシー認証、管理者ロールとその保有人数、ゲストアカウント、緊急用（break-glass）アカウント、アプリの同意設定。
Exchange Online： メールフロールール、外部転送、フィッシング対策・マルウェア対策ポリシー、SPF・DKIM・DMARC レコード、共有メールボックスのサインイン設定。
Defender： 有効な保護、ライセンスはあるが未設定の保護、アラートとレポートの設定。
Purview： 監査ログの設定と保持期間。ライセンスがある場合は秘密度ラベルとデータ損失防止も。
SharePoint と OneDrive： 外部共有の設定、匿名リンク、既定の権限。
Teams： 外部アクセス、ゲストポリシー、会議への参加や共有に影響する会議設定。

CIS はベンチマークを公開し更新するため、バージョンが重要です。CIS は 2026 年 5 月に Microsoft 365 Foundations Benchmark の 7.0.0 を公開しました（CIS の 2026 年 6 月のベンチマーク更新に記載、2026 年 10 月 28 日確認）。監査を依頼する際は、どのバージョンを基準にするかを尋ね、レポートにバージョンが明記されることを確認してください。

手動コントロールはなぜ重要か

自動ツールは、設定値を読んで目標値と比較することは得意です。一方、次のような問いは苦手です。緊急用アカウントは本当に保護・監視されているか。管理者ロールを持つ人は今もそれを必要としているか。書面上は正しく見える条件付きアクセスポリシーが、特定のグループやアプリに抜け穴を残していないか。これらは文脈の中で人が見る必要があります。

そのため、自動チェックだけの監査は、整ったレポートを出しながら最も重要な指摘を見逃すことがあります。複数の提案を比べるときは、手動コントロールが含まれるかを確認してください。Brocent の監査では、すべての料金区分に含まれます。

監査にはどれくらいの期間がかかるか

レポートは、読み取り専用アクセスの付与から 5〜7 営業日で提出します。期間の起点はお申し込みではなく、全体管理者が同意を完了した時点です。最も早い進め方は、最初に管理者または IT 担当者と 15 分の枠を押さえることです。

流れは単純です。

0 日目： 料金区分を決め、全体管理者が読み取り専用アクセスを付与します。
その後 5〜7 営業日： 設定を収集し、手動コントロールを含めて基準に照らして確認し、レポートを作成します。
提出時： 優先順位付きのロードマップと作業量の見積もりを添えたレポートをお渡しし、報告会を行います。

作業はリモートで、期間は営業日で数えるため、ケント州の企業が他の地域より長く待つことはありません。複数のテナントがある、最近移行を行ったなど特殊な事情がある場合は、最初にお知らせください。区分と期間を現実的に決めます。

ケント州の企業にとって、Microsoft 365 セキュリティ監査の費用はいくらか

Brocent は米ドル建て・税別の一回限りの料金を、テナントのユーザー数に応じて設定しています。

1〜10 ユーザー： US$450
11〜25 ユーザー： US$990
26〜75 ユーザー： US$1,800
76〜150 ユーザー： US$2,900
150 ユーザー超： 個別見積もり

一回限りの費用です。小さい区分でも範囲は縮小しません。10 人の会社も 150 人の会社も、同じ CIS Level 1・Level 2 の確認（手動コントロール込み）、同じロードマップ、同じ報告会を受けられます。料金が違うのは、大きなテナントほどユーザーやグループが多く、読み取る対象が増えるからです。

英ポンドへの換算はしていません。為替は変動し、換算額はすぐ古くなるためです。購入日のレートをご利用ください。

監査の買い方の違いを知りたい場合は、費用ガイド「Microsoft 365 セキュリティ監査の費用はいくらか」で、自己実行のスキャナーから日額制のコンサルティングまでの幅を比較しています。要するに、価格差の大半は、誰が判断作業を行うか、テナントをどこまで深く見るかの違いです。

継続オプションの費用と、選ぶ価値があるのはどんなときか

もう一つの買い方があります。監査を一度きりで終わらせたくない場合は、継続オプションがあります。ユーザー 1 人あたり月額 US$6〜10 で、四半期ごとの再監査が含まれます。新しいメンバー、新しいアプリ、新しい共有の取り決めが次々に増えるなど、テナントがよく変わる企業に向いています。

安定した 12 人の会社なら、通常は一回限りの監査で足ります。毎月アプリとユーザーが増える 60 人の会社なら、四半期ごとの確認で、設定がいつの間にか元に戻ることを防げます。

監査はサイバー保険、取引先の質問票、Cyber Essentials に役立つか

問い合わせのきっかけとして最も多い点なので、慎重にお答えします。レポートには、サイバー保険の質問票でよく問われる Microsoft 365 関連の項目、つまり多要素認証が強制されているか、管理者アカウントがどう保護されているか、メールのフィルタリングと認証レコードがあるか、ログが有効かについての証跡が含まれます。レポートは証跡として使えるよう設計されています。ただし保険会社や審査機関の声明ではなく、特定の保険会社や取引先が受け入れるとは申し上げません。何を受け入れるかは引受側や取引先が決め、書式もそれぞれ異なります。

Cyber Essentials も同様です。制度の要件文書 3.3 版は、クラウドサービスの認証には常に多要素認証を使うよう求めています。IASME は2026 年 4 月の更新で、多要素認証を利用できるクラウドサービスで有効にしていない場合は自動的に不合格になると説明しています（2026 年 10 月 28 日確認）。IASME の記事ごとに 4 月下旬の適用日が少し異なるため、お客様の申請に適用される日付は最新の案内でご確認ください。

Microsoft 365 を使う企業にとって、テナント側の質問はまさに監査が調べる内容です。監査は Microsoft 365 の設定に関する証跡と変更すべき点の一覧を提供します。Cyber Essentials を付与するものではなく、合格を保証するものでもありません。審査は認証機関が行い、範囲は Microsoft 365 にとどまらず、端末、ファイアウォール、アップデートにも及びます。

保険会社が質問をどう表現するかの全体像は、サイバー保険の要件と IT 更新のガイドをご覧ください。香港企業向けに書かれた記事ですが、Microsoft 365 に関する質問の多くは共通しています。

最終的に何を受け取れるか

ユーザー数が 8 人でも 140 人でも、成果物は同じです。

書面のレポート： 上記の各領域を対象に、リスク順に並べた指摘事項。
作業量の見積もり付き優先順位ロードマップ： 10 分で終わる変更と、プロジェクトが必要な変更を見分けられます。
よくある質問票の項目に対する証跡： テナントから取得し、記入担当者が該当設定を探しやすいよう整理します。
報告会： 指摘事項を説明し、何から着手するかを一緒に決めます。

決める前にレポートの形を確認したい場合は、サイト上に監査レポートのサンプルがあります（英語ページ）。

レポートの後はどうなるか

お客様が選べます。ロードマップが詳細なので、社内担当者や既存の IT 事業者がすべて自分たちで修正する企業もあります。Brocent に是正作業を依頼する企業もあります。再監査の条件は明確です。是正を Brocent が実施した場合、是正後の再監査は料金に含まれます。社内で是正した場合の再監査は、該当区分の料金となります。

どの事業者に頼む場合でも、事前に確認すべき質問

Brocent でも他社でも、次の質問が役に立つ監査と形だけの監査を分けます。私たち自身も同じ質問をします。

どのベンチマークの、どのバージョンか。 回答にはベンチマーク名とバージョンが含まれるはずです。
手動コントロールは含まれるか。 「スキャナーを実行します」という答えなら、買うのはスキャナーのレポートです。
必要なアクセス権は何で、取り消せるか。 読み取り専用、一度だけの同意、取り消し可能、メールやドキュメントの内容は読まない、が妥当な答えです。
料金は固定か、含まれないものは何か。 特に再監査と是正について尋ねてください。
具体的に何を受け取れるか。 不合格チェックの一覧より、作業量見積もり付きの優先順位ロードマップのほうが有用です。
誰かが説明してくれるか。 レポートが意思決定に変わるのは報告会の場です。

よくある質問

ケント州で Microsoft 365 セキュリティ監査はいくらですか。

Brocent の固定料金は、1〜10 ユーザーが US$450、11〜25 ユーザーが US$990、26〜75 ユーザーが US$1,800、76〜150 ユーザーが US$2,900で、いずれも一回限り・税別です。150 ユーザーを超えるテナントは個別見積もりです。範囲はどの区分でも同じです。

監査にはどれくらいかかりますか。

読み取り専用アクセスの付与から 5〜7 営業日でレポートを提出します。アクセス付与は、全体管理者で約 15 分です。

ケント州のオフィスへの訪問は必要ですか。

不要です。監査はリモートで提供し、読み取り専用の Microsoft Graph アプリで設定を読み取ります。メールやドキュメントの内容は読まず、Entra ID でいつでもアプリを削除できます。

監査を受ければ Cyber Essentials に合格できますか。

そのような約束ができる監査はありません。当社のレポートは Microsoft 365 の設定に関する証跡として使えるよう設計されており、クラウドサービスで多要素認証を強制するなど、変更すべき点を示します。Cyber Essentials は別途審査され、端末、ファイアウォール、アップデートも対象です。

加入しているサイバー保険会社はレポートを受け入れますか。

お答えできませんし、保険会社に代わって答えられる人もいません。レポートにはサイバー保険の質問票でよく問われる Microsoft 365 項目の証跡が含まれますが、各社が何を必要とするかは各社が決めます。まずご自身の書式を確認してください。

Microsoft Secure Score との違いは何ですか。

Secure Score は、Microsoft 自身の推奨アクションに基づく組み込みのスコアです。この監査は CIS Microsoft 365 Benchmark の Level 1 と Level 2 を基準に、人の判断が必要な手動コントロールを含み、優先順位付きロードマップと報告会が付きます。