Microsoft 365 セキュリティ評価レポートには何が書かれているべきか：サンプルで読み解く

要点： 良い Microsoft 365 セキュリティ評価レポートには、専門外の経営者でも判断できる要約、明確な範囲と手法、「何を確認したか・なぜ重要か・どう直すか・どう戻すか」を書いた指摘事項、そして優先順位つきのロードマップがあります。Brocent は架空のクライアントで作成したサンプルレポートを公開しているので、発注前にどの会社のレポートとも見比べられます。

Microsoft 365 セキュリティ評価レポートを検索する人の多くは、知りたいことが一つだけです。最終的に何を渡されるのか、ということです。提供会社はプロセスを長々と説明しても、成果物を見せることはほとんどありません。そのため、役に立つレポートと、設定を長く書き出しただけのファイルを見分けにくくなっています。

当社は架空の企業を対象にした Microsoft 365 セキュリティ監査のサンプルレポート（英語ページ）を公開しており、この記事では章ごとに読み解きます。ここで引用する内容はすべて、構成と深さを示すために作った架空のものです。クライアント、ドメイン、ユーザー、数値のすべてが創作で、実際のテナントのデータは含まれません。提供会社を選んでいる最中であれば、この解説はそのままチェックリストになります。実際の費用は Microsoft 365 セキュリティ監査の料金ページをご覧ください。

Microsoft 365 セキュリティ評価レポートには何が含まれるべきか

最低でも次の6点です。

1. 1ページに収まるエグゼクティブサマリー。
2. 範囲と手法の説明（使用したフレームワークとバージョンを含む）。
3. 重大度、作業量、推奨順序のついた指摘事項の一覧。
4. 各指摘事項について、推測なしで修正できる程度の詳細。
5. 第三者に渡せる証跡。
6. 段階に分けた是正ロードマップ。

サンプルは27ページで、この構成に沿っています。以下、順に見ていきます。

レポートの冒頭には何があるか

最初の数ページは文書管理です。管理番号、版、機密区分、データ取得日・検証日・発行日、作成者とレビュー担当者です。事務的に聞こえますが、後で重要になる問いに答えてくれます。保険会社に設定をいつ読み取ったか聞かれたとき、あるいは手元のものが最終版かどうか尋ねられたとき、答えは2ページ目にあります。

注目すべき点が2つあります。1つ目は、「データ取得」と「指摘事項の検証」の間に間隔があることです。サンプルでは、「検証済み」と記された指摘事項を、取得の2日後、発行前にテナントから再び読み取っており、監査中に設定が変わるリスクを避けています。2つ目は、機密保持の記載です。弱点を列挙するレポートは、誰が閲覧できるかを明記すべきです。

エグゼクティブサマリーはどんな内容か

1ページで、作業を承認する立場の、管理画面を見ない人に向けたものです。サンプルには次が含まれます。

• 等級つきの総合スコア。 CIS ベンチマークの合格率、Microsoft Secure Score、MFA の適用率を並べて示します。
• 重大度別の指摘件数。 重大なものが中心なのか、日常的な整理が中心なのか、ひと目で分かります。
• 平易な言葉で書かれた上位5つのリスク。 それぞれに「なぜ重要か」の一文と、該当する指摘事項への参照がつきます。
• うまくいっている点。 省かれがちですが重要です。触ってはいけないものが分かります。
• 依頼される決定事項が1つ。 サンプルでは、重大な項目を閉じるための短い第1段階の作業です。

サマリーの良し悪しは、読んだ後で経営者が「自分は何を承認するよう求められているか」を言えるかどうかで決まります。サイバーセキュリティの重要性を述べた段落だけなら、役割を果たしていません。

範囲と手法はどう書かれるべきか

率直に、範囲内と範囲外の2つの一覧で示します。サンプルでは、範囲内が Entra ID、Exchange Online、Defender、SharePoint と OneDrive、Teams、Purview、Secure Score、Intune の概要です。範囲外は、メールボックスや文書の中身、ペネトレーションテスト、フィッシング訓練、Microsoft 365 以外のサードパーティ製アプリ、物理的セキュリティです。

アクセスの取得方法も明記されています。グローバル管理者が同意する読み取り専用の監査アプリで、コンサルタントのアカウントやパスワードはテナントに残りません。慎重な情シス担当者や取締役が最初に探すのは、この一文です。

次に、フレームワークのバージョンが別表で示されます。サンプルでは、CIS Microsoft 365 Foundations Benchmark v7.0.0 のレベル1とレベル2、CISA SCuBA ベースライン、日付つきの Microsoft Secure Score、Cyber Essentials v3.3 が挙げられています。バージョン番号は飾りではありません。バージョンなしに「CIS 準拠」とだけ書いたレポートは、再現も、来年の結果との比較もできません。

最後に、以降の内容の読み方を示す3つの尺度があります。修正期限つきの重大度、半日未満から3日超までの作業量、そして確度（テナントから読み取り検証済み、クライアントと確認済み、API では読めないため手動で確認）です。手動の統制項目は、自動スキャンだけでは見逃されるものです。どの指摘が人の目で画面を確認した結果なのか、レポートに示されているべきです。

セキュリティ態勢の概要には何が示されるか

詳細に入る前の結果の要約です。サンプルでは、CIS の結果が管理センター、Defender、Purview、Intune、Entra、Exchange、SharePoint、Teams、Fabric といった章ごとに分けられ、合格・不合格・手動確認・対象外の件数が並びます。その横に、同規模の組織と比較した Secure Score のカテゴリ別結果と、SCuBA ベースラインの製品別結果が示されます。

独立した3つの見方があるほうが1つよりも良いのは、互いに食い違うことに意味があるからです。Secure Score と CIS の統制項目では、Secure Score がベンチマークのすべてを測るわけではないため、結果が異なることがあります。3つを並べると、どこが確かで、どこがどの物差しを使うかに左右されるのかが見えてきます。

良い指摘事項とはどういうものか

レポートが使えるかどうかを決めるのはこの部分です。サンプルでは、すべての指摘事項が同じ様式のカードになっています。

• タイトル、重大度、作業量、段階、確度。 並べ替えと計画ができます。
• フレームワークのタグ。 対応する CIS の推奨事項、SCuBA のポリシー、Cyber Essentials の要件、Secure Score のアクションを示します。ダッシュは直接の対応がないことを表します。
• 確認内容。 漠然とした記述ではなく、名前や設定まで具体的に書きます。
• 影響。 攻撃者が実際にたどる経路の観点から、なぜ重要かを説明します。
• 是正手順。 実施する順に番号を振った手順です。
• ロールバック。 問題が起きたときに変更を元に戻す方法です。
• ユーザーへの影響。 社員が気づく変化です。
• 証跡の参照。 付録のエクスポートファイルを指します。

サンプルの最初の指摘事項を例にします。全ユーザーに MFA を要求するポリシーが、あるグループを除外しており、そのグループには管理者の緊急用アカウントとスキャナー用アカウントが入っています。カードには、どのグループか、どのアカウントか（うち1つは MFA の方法が未登録の管理者）、攻撃者がそれで何をできるか、4つの修正手順、元に戻す方法、そしてプリンターの設定変更にかかる時間まで書かれています。読んだ人は、追加の電話なしで行動に移せます。

ロールバックとユーザーへの影響の欄は、多くのレポートが省くものです。同時に、多忙な情シス担当者が火曜日に本番の設定を変えてもよいと思える理由でもあります。

Exchange Online の指摘事項はどう扱われるか

他と同じですが、メールに関する指摘は特に取り上げる価値があります。中小企業のインシデントの多くはメールから始まるからです。サンプルの Exchange Online の指摘には、外部へのメールボックス転送ルール、監視のみのモードで公開された DMARC ポリシー、対象ユーザーが一人もいないフィッシング対策のなりすまし保護、外部送信者タグの未設定が含まれます。SMTP AUTH とレガシー認証は、条件付きアクセスを迂回できるため、ID の章に出てきます。

どれも Exchange Online のセキュリティ評価に含まれるべき項目です。ある提供会社のサンプルやレポートに、メールフロー、転送、認証レコード、監査に関する指摘がなければ、題名がどうであれ、それは Exchange の評価ではありません。

証跡パックとは何か、誰のためのものか

サンプルには、サイバー保険の更新フォームでよく聞かれる質問（全ユーザーと管理者に MFA を強制しているか、レガシー認証は無効か、SPF・DKIM・DMARC は整っているか、ログの保存期間はどれくらいか）を取り上げ、現時点の証跡が裏づける回答と、その根拠となるエクスポートファイルへの参照を示す章があります。

重要な注意点があります。これは証跡であって、承認ではありません。当社のレポートは証跡として使えるよう設計されていますが、保険会社や Cyber Essentials の評価者が何を受け入れるかは、その相手が決めることです。同じ章では、不足についても正直です。監査の範囲外のものは範囲外と書き、カバーしているとは主張しません。保険に関する詳しい背景は、サイバー保険の要件に関するガイドをご覧ください。

是正ロードマップは何をすべきか

指摘事項を、日程のある計画に変えることです。サンプルでは作業を4つの段階に分けています。最初の2週間で重大な項目、60日目までにハードニング、120日目までにガバナンス、その後は四半期ごとのサイクルです。各段階に、対象の指摘事項、日数での作業量見積もり（継続的な四半期フェーズを除く）、成功の目安（たとえば MFA なしのアカウントがゼロ、7日間でレガシー認証のサインインがゼロ）が示されます。

見積もりがあるから、ロードマップは予算化できます。作業量のついていない50件の指摘事項の一覧は、プロジェクト計画にはなりません。

付録には何が入るべきか

指摘事項の裏づけとなる原資料です。状態と除外設定つきの条件付きアクセスのポリシー、特権ロールの割り当て、ドメイン別のメール認証レコード、仮名化した MFA の適用状況、証跡の索引、用語集、手法と免責事項のページです。サンプルには、指摘事項を絞り込んだり担当を割り当てたりできるワークブックも付いています。付録があるからこそ、別のエンジニアがレポートの内容を検証できます。

どんなセキュリティ評価レポートも見極めるには

誰が書いたレポートでも、次の項目で素早くふるいにかけられます。

• 範囲が文書化されているか。 範囲外の一覧もあるか。
• フレームワークのバージョンが明記されているか。
• 各指摘が、何をすべきかだけでなく何を確認したかを書いているか。
• 修正手順、ロールバック、ユーザーへの影響があるか。
• 作業量の見積もりと優先順位があるか。
• どの結果が検証済みで、どれが手動確認か分かるか。
• エクスポートされた証跡から、他の人が確認できるか。
• 準拠、認証、保険会社の承認を主張するような誇張を避けているか。

3つ以上満たしていないレポートは、評価というよりスキャン結果の書き出しに近いものです。

よくある質問

Microsoft 365 セキュリティ監査のレポートには何が入っていますか。

エグゼクティブサマリー、範囲と手法、態勢の概要、重大度・作業量・修正手順・ロールバックを備えた個別の指摘事項、よく聞かれる保険や Cyber Essentials の質問に対する証跡、段階的なロードマップ、そして裏づけとなるエクスポートを収めた付録です。

レポートは通常どれくらいの長さですか。

Brocent のサンプルは、小規模な架空の企業向けで27ページ、ワークブックが付きます。長さはテナント次第ですが、中心は前書きではなく指摘事項であるべきです。

サンプルレポートは実際のクライアントのデータですか。

いいえ。サンプルのクライアント、ドメイン、ユーザー、デバイス、数値はすべて、構成と深さを示すために作った架空のものです。実際のテナントのデータは含まれません。

レポートはいつ届きますか。

読み取り専用アクセスの付与から5～7営業日でお渡しします。アクセス付与はグローバル管理者が約15分で行えます。

レポートのためにメールや文書を読まれますか。

いいえ。読み取り専用の Microsoft Graph アプリで設定を読むだけで、メールや文書の中身は読みません。後で Entra ID からそのアプリを削除できます。

監査の費用はいくらですか。

一回限り・税別・米ドル建てで、人数別です。1～10名は450米ドル、76～150名は2,900米ドルで、150名超は個別見積もりです。範囲はどの帯でも同じです。一覧は料金ページに、見積もりの比べ方は固定料金か時間制かにあります。

レポートで Cyber Essentials や保険の承認は保証されますか。

いいえ。証跡として使えるよう設計されたもので、変更すべき事項を挙げています。認証や保険の判断は、評価者と保険会社が行います。

次のステップ

サンプルレポート（英語ページ）を開き、エグゼクティブサマリーと指摘事項のカードを1枚読んで、検討中の提供会社が同等のものを見せられるか確かめてください。貴社の人数に合う料金帯は Microsoft 365 セキュリティ監査の料金ページで分かります。まず相談したい場合は、おおよその人数と監査のきっかけを添えてお問い合わせください。該当する料金帯と準備事項をお伝えします。