シンガポールの Microsoft 365 セキュリティ監査：範囲・期間・固定料金

要点： シンガポール企業向けの Microsoft 365 セキュリティ監査は、CIS Microsoft 365 ベンチマークの Level 1 と Level 2 に照らしてテナントの構成を確認する固定料金のレビューです。Brocent はリモートで提供します。料金は一回限り・米ドル・税別で、1～10名は450米ドル、76～150名は2,900米ドルです。読み取り専用アクセスの付与後、5～7営業日でレポートを納品します。本記事では範囲、期間、購入前に確認すべき点を説明します。

シンガポールの会社で IT を担当されていて、Microsoft 365 の設定について誰かから質問されたことが、この記事を読むきっかけかもしれません。取引先のセキュリティ質問票、保険会社の更新書類、新しく着任したグループ CIO の質問、あるいは設定してから誰もテナントを見ていないという不安などです。シンガポールでの Microsoft 365 セキュリティ監査は、意見ではなく証拠でその質問に答えます。

本記事は購入者向けのガイドです。監査が何を読み取り、何を読み取らないか、所要期間、費用、単発レビューと定期レビューの選び方を説明します。シンガポールの特定の法規制についての主張は行わず、規制が関わる場合は別のガイドを案内します。

シンガポールでの Microsoft 365 セキュリティ監査には何が含まれますか？

監査では、誰が入れるか、入った後に何ができるかを決める Microsoft 365 の構成を確認します。Brocent の範囲は、どの料金帯でも同じです。

• ベンチマーク： CIS Microsoft 365 ベンチマークの Level 1 と Level 2。API から読み取れない手動コントロールも含みます。
• 対象領域： Entra ID（サインイン、MFA、条件付きアクセス、特権ロール、ゲスト）、Defender、Purview（保持とラベルの設定）、Exchange Online（メールフロー、認証、転送）、SharePoint と Teams（共有と外部アクセス）。
• 証跡： 一般的なサイバー保険の質問票や Cyber Essentials の質問に対する証跡として使えるよう設計された資料です。
• 成果物： 工数見積り付きの優先順位付きロードマップ。何から直すかを判断できます。結果を説明する報告会もあります。

12の確認領域の内訳は Microsoft 365 セキュリティ監査チェックリスト、完成したレポートの様子はサンプルレポート（英語ページ）をご覧ください。

監査が行わないことも範囲の一部です。読み取り専用の Microsoft Graph アプリで構成を確認するだけで、メールや文書の内容は読み取りません。テナントの設定は変更せず、ペネトレーションテストやネットワークの脆弱性スキャンでもありません。取引先が求めているのがどれか分からない場合は、固定料金か時間制かの範囲設定の記事が範囲の決め方を説明しています。

シンガポールでの Microsoft 365 セキュリティ監査の費用は？

料金は人数ごとの固定で、一回限り・米ドル・税別です。料金帯が変わっても範囲は変わりません。

• 1～10名： 450米ドル
• 11～25名： 990米ドル
• 26～75名： 1,800米ドル
• 76～150名： 2,900米ドル
• 150名超： 見積り

料金は米ドルのみで掲載し、シンガポールドルへの換算は公表しません。為替レートは変動し、お受けいただく見積りは米ドル建てだからです。上記の金額に税は含まれません。最新の料金は常にMicrosoft 365 セキュリティ監査の料金ページに掲載しています。

レビューを繰り返したい場合はマネージドプランがあります。ユーザー1人あたり月額6～10米ドルで、四半期ごとの再監査が付きます。また、Brocent が是正を行った場合、是正後の再監査は料金に含まれます。お客様ご自身で是正された場合は、該当する料金帯の価格がかかります。

費用の内訳や時間制との比較は、Microsoft 365 セキュリティ監査の費用をご覧ください。

どのくらいかかり、何を準備しますか？

レポートは、読み取り専用アクセスの付与後5～7営業日で納品します。アクセスの手続きは短く、グローバル管理者が読み取り専用の Microsoft Graph アプリに一度だけ同意するもので、約15分です。アプリは Entra ID でいつでも削除できます。

標準的な流れは次のとおりです。

1. 人数の区分と範囲を確認する。 区分に使う人数の数え方を確認し、グループ内にほかの Microsoft 365 テナントがあればお知らせください。
2. 読み取り専用アクセスを付与する。 グローバル管理者がアプリに同意します。事前に正確な権限の一覧を書面で求め、同意後に Entra ID で実際に付与された内容を確認してください。
3. 収集とレビュー。 アプリが構成を読み取ります。読み取れない設定については、レビュー担当者が手動コントロールを一緒に確認します。
4. レポートと報告会。 レポートとロードマップをお渡しし、通話で発見事項と優先順位を説明します。

サービスはリモートで提供するため、訪問の調整は不要です。IT 責任者に報告会へ参加してほしい場合は、アクセスの依頼を送る際に日程を調整します。

シンガポールの企業は購入前に何を確認すべきですか？

テナントは従業員がどこにいても貴社のものなので、確認すべき点は他の地域と同じです。どの提供元にも確認する価値があります。

• 料金には正確に何が含まれるか。 ベンチマークのレベル、手動コントロール、ロードマップ、報告会がすべて含まれるか、後から案件ごとの見積りになる部分があるか。
• どのアクセスが必要で、確認できるか。 構成を読み取る読み取り専用アプリと、メールを読み取るツールは全く別物です。同意の前に権限の一覧を求めてください。
• 何を受け取れるか。 生のエクスポートはレポートではありません。サンプルを求め、上記のものと比べてください。
• 誰が是正するか。 監査と是正の両方を行う提供元も、監査のみの提供元もあります。何を買うのか、是正後の再監査にいくらかかるのかを把握してください。
• レポートは何に使えるか。 第三者に受け入れられる、認証される、承認されるといった約束には注意してください。良いレポートは証跡として使えるよう設計されたものであり、受け入れるかどうかは読む側が決めます。

シンガポールの規制やグループの要件はどうなりますか？

Microsoft 365 の構成に対する監査は、1つのシステムに関する証跡です。それだけで組織が特定の法律や規制当局のガイダンスに準拠することにはならず、特定の規則に対応するとも主張しません。

規制やデータ保護の義務がある場合は、監査を入力の1つとして扱い、残りは適切なガイドをお読みください。当社の MAS TRM に基づく外部委託 IT とサイバーセキュリティのチェックリストとシンガポールでの IT 外部委託に関する PDPA チェックリストは、外部委託のチェックリストとしてこれらの疑問を扱っています。本社が別の国にあるグループの場合は、複数テナントの見積りについてご相談ください。同じ基準で結果を比較できます。

提供元をより広く比較したい場合はシンガポールでのサイバーセキュリティ提供元の選び方を、買収やテナント統合が発端なら、シンガポールでの買収後の Microsoft 365 テナント移行の事例をご覧ください。

シンガポールの企業が監査を依頼するのはどんなときですか？

きっかけが好奇心であることは、まずありません。実際には次のいずれかの出来事であることがほとんどで、自社がどれに当たるかを把握すると、何を求めるべきか判断しやすくなります。

• 取引先からセキュリティ質問票が届いた。 MFA、管理者アカウント、ログ、外部共有についての質問には、記憶ではなくテナントから得た答えが必要です。監査はその裏付けを提供します。サイバー保険の質問票の裏付けとなる Microsoft 365 の証跡をご覧ください。
• 保険の更新で管理策の説明を求められた。 書式では、MFA が全ユーザーに適用されているか、レガシー認証がブロックされているか、ログがどのくらい保管されるかがよく問われます。監査は、テナントが現在どう設定されているかを報告します。
• 新しい責任者やグループの IT リーダーが着任した。 変更を加える前に基準が欲しいものです。固定料金のレポートは、終わりの見えない契約より承認を得やすくなります。
• 2つのテナントを1つにする。 買収や再編の後は、別のチームの設定を引き継ぎます。統合の前にレビューすれば、古いリスクを持ち込まずに済みます。
• テナントを一度も見直していない。 多くの小規模企業は Microsoft 365 を一度設定したあと、何年も人とアプリを足し続けます。レビューで、放置されたアカウント、広すぎるゲストアクセス、忘れられた転送ルールなど、蓄積したものが見つかります。

いずれも規制当局の関与を必要としません。ごく普通の業務上の理由であり、だからこそレポートは管理者でない読み手に向けて書かれています。

単発のレビューと定期監査のどちらにしますか？

単発の監査は、読み取った日のテナントのスナップショットです。多くの企業が最初に必要とするのは、基準、優先順位付きの一覧、そして日付です。繰り返すかどうかは、変化の大きさで決まります。

• 単発を選ぶ場合： テナントが小さく安定している、レポートを待つ具体的な読み手がいる、価値を確認してから約束したい。
• マネージドプランを検討する場合： 人、デバイス、アプリが頻繁に変わる、毎年証跡を示す必要がある、再確認を自分で覚えておきたくない。ユーザー1人あたり月額6～10米ドルで、四半期ごとの再監査が付きます。
• どちらでも是正後の再監査を計画する。 発見事項が解消されたことを示す方法です。Brocent が是正した場合は含まれ、社内で是正した場合は料金帯の価格がかかります。

時間制の支援と固定範囲で迷っている場合は固定料金か時間制かをご覧ください。香港にも法人がある場合は、香港版でも同じ範囲と料金です。

見積りを依頼する前に準備しておくこと

1. ライセンスを割り当てたユーザー数と、各グループが持つ Microsoft 365 のプラン。
2. 同意できるグローバル管理者の名前と、不在時に承認できる2人目。
3. テナントが複数あるか、各テナントをどの法人が使っているか。
4. レポートの読み手とその依頼内容（取引先の質問票や保険会社の書式など）。目的に合わせて発見事項をまとめられます。
5. 来月までに予定している変更（移行や新しい MFA の展開など）。時期をずらせます。

自分で Secure Score を見るのとどう違いますか？

Secure Score は有用なので、見るべきです。ただし Microsoft 自身の推奨事項と比べるもので、優先順位付きのロードマップ、工数の見積り、レビュー担当者の判断は含まれません。CIS ベンチマークには、従業員の働き方によって決まる項目があり、ダッシュボードでは判断できません。違いは Secure Score・CIS ベンチマーク・ScubaGear の比較をご覧ください。

監査が最も役立つのは、他の人が読む文書が必要なときです。取引先、保険会社、取締役、新しいオーナーなどです。自社のテナントを整理するだけなら Secure Score とチェックリストから始め、独立した視点が必要になったときに監査を購入してください。

よくある質問

シンガポールでの Microsoft 365 セキュリティ監査の費用は？

Brocent の料金は、1～10名で450米ドル、11～25名で990米ドル、26～75名で1,800米ドル、76～150名で2,900米ドルで、一回限り・税別です。150名超は見積りです。どの料金帯でも範囲は同じです。

監査にはどのくらいかかりますか？

読み取り専用アクセスの付与後5～7営業日でレポートを納品します。グローバル管理者による付与には約15分かかります。

オフィスへの訪問は必要ですか？

不要です。サービスはリモートで提供します。アクセスは読み取り専用の Microsoft Graph アプリを通じて行い、報告会は通話で行います。

監査でメールやファイルを読み取りますか？

読み取りません。アプリは構成のみを読み取り、メールや文書の内容は読み取りません。付与された内容は Entra ID で確認でき、アプリはいつでも削除できます。

監査でシンガポールの規制に準拠できますか？

どの監査もそれを約束することはできません。レポートとワークブックは、一般的なサイバー保険の質問票や Cyber Essentials の質問に対する証跡として使えるよう設計されていますが、認証の付与や保証はしません。規制当局、保険会社、評価者が何を受け入れるかは、それぞれが決めます。

是正後の再監査は含まれますか？

Brocent が是正を行った場合は含まれます。社内で是正された場合、再監査は該当する料金帯の価格になります。

定期的なプランはありますか？

あります。マネージドプランはユーザー1人あたり月額6～10米ドルで、四半期ごとの再監査が付きます。

次のステップ

まず、ライセンスを割り当てたユーザー数を数え、Microsoft 365 セキュリティ監査の料金ページで該当する料金帯の価格を確認してください。範囲の確認や150名超の見積りをご希望の場合はお問い合わせください。受け取れる内容はサンプルレポート（英語ページ）でご確認いただけます。より広い IT レビューのサービスは IT アセスメント・監査をご覧ください。