Microsoft 365 セキュリティレビュー・監査・診断の違い

要点： Microsoft 365 のセキュリティレビュー、セキュリティ監査、セキュリティ診断は、多くの場合同じ作業です。テナントの設定状況を確認する作業を指します。提供会社ごとに違うのは、使う基準、手動で確認する項目を人が見るかどうか、そして受け取れる証跡です。この 3 点を尋ねれば、同じものに二重に支払うことはありません。

Microsoft 365 のセキュリティについて 3 社に相談したところ、1 社は「セキュリティレビュー」、1 社は「セキュリティ監査」、1 社は「セキュリティ診断」を提案してきたとします。名称は 3 段階の深さのように聞こえ、レビューは軽め、監査は重めと考えがちです。実際には同じ作業に別の名前が付いているだけのことが多く、「レビュー」のほうが「監査」より深い場合もあります。

このガイドでは、それぞれの言葉が通常何を意味するか、テナントセキュリティレビューと ID セキュリティレビューがそれぞれ何を対象にするか、提案どうしの範囲と証跡をどう比べるか、そして実際に何を買うのかを見極める質問を説明します。

Microsoft 365 のセキュリティレビュー、監査、診断は同じものですか？

実務上は、ほとんどの場合そうです。3 つとも通常は同じ中核作業を指します。誰かが Microsoft 365 テナントの設定を読み取り、ある基準と照らし合わせ、何が問題でまず何を直すべきかを伝えます。いずれもペネトレーションテストではなく、メールの内容を読むこともありません。

Brocent では、この 3 つの名称は 1 つのサービスを指します。範囲は 1 つ、料金は人数に応じた固定料金です。安い「レビュー」と高い「監査」を別々に販売することはありません。以下で述べるのは、市場でこれらの言葉が一般にどう使われるかであり、他社の提案を冷静に読むための説明です。

それぞれの言葉は通常何を意味しますか？

作業内容が似ていても、言葉が与える期待は異なります。

セキュリティレビュー

「レビュー」は通常、専門家が環境を見て助言することを意味します。公開された基準に沿う場合もあれば、レビュー担当者独自のチェックリストの場合もあります。成果物は短い推奨事項の一覧から本格的な報告書まで幅があります。レビューの難点は、範囲が担当者の判断次第になることです。同じテナントでも、2 つのレビューで対象が異なることがあります。

セキュリティ監査

「監査」は通常、特定の基準に照らして確認し、各結果に証跡を付けることを意味します。Microsoft 365 では、その基準は多くの場合 CIS Microsoft 365 Foundations Benchmark です。各項目は合格、不合格、該当なしのいずれかで示され、報告書は第三者に提示できます。厳密に聞こえる言葉ですが、ここでは規制された用語ではありません。法定監査や財務監査とは別物であり、これによって誰かが認証されるわけでもありません。

セキュリティ診断

「診断」は通常、リスクの判断を意味します。合否だけでなく、どの発見が自社の事業にとって最も重要か、どの順で直すべきかを示します。多くの診断は監査と同じ基準を使い、そこに優先順位付けを加えます。

実用上の結論はこうです。良い成果物は 3 つの性質をすべて備えています。名前のある基準に沿い（監査）、人が読んで判断し（レビュー）、リスクと工数で発見事項に順位を付けます（診断）。

テナントセキュリティレビューとは何ですか？

テナントセキュリティレビューは、1 つのサービスだけでなく、Microsoft 365 テナント全体を対象にします。範囲が適切に定められていれば、次の 3 つの領域を含みます。

ID（Entra ID）： MFA、条件付きアクセス、特権ロール、レガシーなサインイン方法、アプリへの同意、ゲスト。
メール（Exchange Online と Defender for Office 365）： SPF、DKIM、DMARC、自動転送、受信トレイのルール、フィッシング対策と添付ファイルのポリシー、メールボックスの監査。
ファイルとコラボレーション（SharePoint、OneDrive、Teams）： 外部共有、匿名リンク、秘密度ラベル、保持、データ損失防止、Teams の外部アクセス。

テナントレビューは、対象外としたものも明示する必要があります。Intune で管理するデバイス、オンプレミスの Active Directory、ファイアウォール、バックアップ、そして Entra ID で付与された権限を超えるサードパーティの SaaS などです。提案書に記載がなければ確認してください。弊社の Microsoft 365 セキュリティ監査チェックリストでは領域を 1 つずつ挙げていますので、提案書との比較にお使いください。

ID セキュリティレビューとは何ですか？

ID セキュリティレビューは範囲が狭く、誰がどの権限でサインインできるかだけを見ます。Microsoft 365 では Entra ID を指します。保護の弱いパスワードが 1 つあれば、攻撃者にメール、ファイル、Teams を開かれかねないため、多くの場合、最も費用対効果の高い部分です。有用な ID レビューでは次を確認します。

全ユーザーの MFA の状況。「一時的に」除外されたまま戻されていないアカウントを含みます
緊急アクセス（「break-glass」）アカウント。存在するか、どう保護されているか、サインイン時に誰かに通知されるか
条件付きアクセスのポリシーと、その中のすべての除外設定
Global Administrator などの特権ロールを持つのは誰か、その人たちがフィッシング耐性のあるサインインを使っているか
MFA を回避するレガシー認証と SMTP AUTH
ユーザーが同意したサードパーティアプリと、そのアプリが読み取れるデータ
ゲストアカウント、その所有者、有効期限の有無

この作業だけを単独で販売する会社もあります。ID のみのレビューとテナント全体のレビューで迷うときは、価格差を確認してください。弊社のように範囲が固定で、料金が人数で決まる場合、ID はすでに含まれており、別に買っても安くなりません。

範囲、証跡、深さはどう比べますか？

提案書を並べて比べるときは、表紙の名称を無視して、次の点を比較してください。

典型的な 3 つの提案の比較

助言型のレビュー： 範囲は担当者が決める。名前のある基準がないことが多い。証跡は通常スクリーンショットやメモ。手早く意見を聞くには良いが、保険会社や顧客に結果を示す必要がある場合には弱い。
監査として販売される自動スキャン： 基準は明示されるが、スクリプトで読める項目だけが対象。証跡はツールの出力。安価で速いが、手動項目は飛ばされ、何から直すべきかは分からない。
本格的な診断： 基準とそのバージョンが明示され、手動項目を人が確認し、各発見事項に等級・証跡・工数が付き、優先順位順の対応計画がある。記録として通用するのはこの形です。

最大の違いは手動項目です。CIS Microsoft 365 Foundations Benchmark には、どの API でもきれいに取得できない項目が含まれており、人が管理センターを開いて確認する必要があります。それを省く提案は、名称が何であれスキャンです。

2 番目に大きな違いは証跡です。結果を保険会社、監査人、顧客に渡すなら、各発見事項に日付と出典が必要です。Microsoft 365 セキュリティ診断レポートの解説では、その内容をページごとに紹介しています。

どれを買う場合でも、事前に何を尋ねるべきですか？

本物の診断と名前を変えただけのスキャンを分ける質問が 6 つあります。提案の名称にかかわらず尋ねてください。

どの基準の、どのバージョンですか？「ベストプラクティス」は答えになりません。CIS Microsoft 365 Foundations Benchmark のような名前のある基準とバージョン番号、できれば相互確認用に CISA の SCuBA 基準のような 2 つ目の基準も挙げられるはずです。
手動項目は含まれますか？ 含まれないなら、買うのはスキャンです。
どんなアクセス権が必要ですか？ テナントレビューに必要なのは、管理者が一度承認する読み取り専用のアクセスであり、共有の管理者パスワードではありません。Microsoft 365 監査アプリの読み取り専用権限の記事では、そのようなアプリが求めてよい権限とそうでない権限を挙げています。
誰かが当社のメールやファイルを読みますか？ 答えは「いいえ」であるべきです。設定とメタデータで十分です。
具体的に何を受け取れますか？ 等級付きの発見事項と証跡を含む報告書、対応計画、できれば全項目をまとめたワークブック。サンプルを依頼してください。
修正は含まれますか？再確認はありますか？ 固定料金の作業の多くは修正を含みません。価格を比べる前に確認してください。

答えが同じなら、名称が違っても 2 つの提案は同じ商品です。

Brocent はどのように提供しますか？

どの言葉で呼んでも、提供するのは 1 つのサービスです。

基準： CIS Microsoft 365 Foundations Benchmark の Level 1 と Level 2（手動項目を含む）。相互確認として CISA ScubaGear のサービス別結果、推移の指標として Microsoft Secure Score を使います。
アクセス： Global Administrator が一度承認する読み取り専用アプリケーションで、所要時間は約 15 分です。アカウントやパスワードの共有はなく、メールやドキュメントを開くことはありません。
スケジュール： アクセス取得から 5–7 営業日で報告書を提出し、その後に説明の通話を行います。
成果物： 証跡と工数を付けた等級付きの発見事項、Cyber Essentials の準備状況表、保険会社向けの証跡パック、段階的な対応計画、全項目の Excel ワークブック。
含まれないもの： 修正の実施（後から固定料金で見積もります）、バックアップ、ペネトレーションテスト、フィッシングシミュレーション、オンプレミス機器。

料金は人数で決まり、Microsoft 365 セキュリティレビューのページに掲載しています。ご判断の前に、架空のお客様を用いた完全な英語版のサンプルレポートをご覧いただけます。このテーマが初めての方は、まず Microsoft 365 セキュリティ監査とはをお読みください。