Microsoft セキュアスコアの目安と上げ方

要点： Microsoftはセキュアスコアの合格ラインを公表していません。そのため「良い」とは、以前の自社より上がっていること、比較グラフで同規模の組織を下回っていないこと、得点の大きい項目を実施済みか、リスクを理解して受容していることです。「推奨アクション」の一覧を上から順に、まずID（MFA、管理者のMFA、レガシー認証）、次にメール保護、その後ほかの項目という順で進めてください。スコアは安全かどうかの判定ではなく、作業リストとして使います。

この記事は、セキュアスコアを開いてパーセンテージと長い一覧を見たものの、何から直すべきか迷っているMicrosoft 365の管理者向けです。リスクと手間をもとにした修正順の目安、各項目のメニューの場所、スコアが誤解を招きやすい点が分かります。2026年10月28日にMicrosoft Learnで確認しました。CISやCISAのベースラインとの違いはセキュアスコア、CIS Benchmark、ScubaGearの比較をご覧ください。この記事はスコアの上げ方だけを扱います。

スコアとは何か

セキュアスコアはMicrosoft Defenderポータルの security.microsoft.com/securescore にあります。パーセンテージで表示され、獲得ポイントと獲得可能な合計ポイントが併記されます。推奨アクション1件あたり最大10ポイントで、多くは「やれば満点」の二択です。一部は対象の割合に応じた部分点になります。Microsoft自身の例は、MFAが10ポイントで、100人中50人が保護されていれば5ポイント、というものです。

変更がスコアに反映されるまで24〜48時間かかることがあります。推奨アクションは、ID（Identity）、デバイス（Device）、アプリ（Apps）、データ（Data）の4グループに分かれています。

何点なら良いのか

Microsoft Learnのページには目標の数字が書かれていません。代わりに次の3つを基準にします。

比較グラフ。 Overviewタブに、同規模の組織との比較の棒グラフがあります。Metrics & trends > Comparison trend では時系列で比較できます。データは匿名化されています。
自社のスコアゾーン。 Metrics & trends > Your Secure Score zone で、良い・普通・悪いの範囲を自社で定義できます。
達成可能スコア。 スコアのタイルで Include を選ぶと、Planned score、Current license score、Achievable score を重ねて表示できます。自社のスコアと達成可能スコアの差が、現在のライセンスと受容済みリスクの範囲で見込める伸びしろです。

最初に直すもの

Microsoftは、残りポイント、実装の難しさ、ユーザーへの影響、複雑さをもとに推奨アクションを順位付けしています。自社の「推奨アクション」タブをその順位で並べ替えてください。順位はライセンスと設定をもとにMicrosoftが計算するためです。下の順番は、一般的な中小規模のテナントについて、筆者がリスクと手間で判断したものです。検証済みのポイント順位ではありません。Microsoftがポイントを記載しているのは最初の3項目だけで、それもセキュリティの既定値をオンにした場合です。

1. 管理者ロールにMFAを要求する

最初にやる理由： 価値が最も高いアカウントで、対象の人数も少ないためです。
場所： Microsoft Entra管理センター > Entra ID > Conditional Access > Policies > New policy（Directory roles を選択）、またはセキュリティの既定値をオンにします。先にReport-onlyで作成し、そのあとOnに切り替えます。CA002、CA003、CA001の手順は条件付きアクセスの基本ポリシーにあります。
手間： 小。先に管理者の登録を済ませ、緊急用アカウント2つはポリシーから除外します。
ポイント： Microsoftによると、セキュリティの既定値をオンにすると、この項目は10ポイントが付きます。条件付きアクセスで実現した場合は、Microsoft自身のアクション定義でスコアが計算されるため、自社テナントの数字は異なることがあります。

2. 全ユーザーにMFAを要求する

場所： Entra ID > Conditional Access > Policies で、All usersを対象にし、許可コントロールで Require authentication strength を選びます。手順の詳細はMicrosoft 365でMFAを有効にする方法にあります。先にReport-onlyで作成し、そのあとOnに切り替えます。
手間： 中。大変なのは設定ではなく、ユーザーの登録です。
ポイント： Microsoftによると、セキュリティの既定値をオンにすると9ポイントです。ユーザーが登録するにつれて、まず部分点が入ります。

3. レガシー認証をブロックする

場所： Entra ID > Conditional Access > Policies > New policy。Conditions > Client apps で Exchange ActiveSync clients と Other clients だけにチェックを入れ、Grant は Block access にします。先に Entra ID > Monitoring & health > Sign-in logs で、Client Appで絞り込んで利用者を洗い出します。先にReport-onlyで作成し、そのあとOnに切り替えます。レガシー認証のブロックは、古いメールクライアントや複合機を止めることがあるためです。
手間： 小〜中。古い複合機や古いメールクライアントの数しだいです。
ポイント： Microsoftによると、セキュリティの既定値をオンにすると7ポイントです。

4. Standardのプリセットセキュリティポリシーをオンにする

場所： Microsoft Defenderポータル > Email & collaboration > Policies & rules > Threat policies > Preset Security Policies（security.microsoft.com/presetSecurityPolicies）。Standard protectionをオンにして、対象の受信者を割り当てます。
手間： 小。Microsoftは、プリセットポリシーのほとんどの設定は変更できないと説明しており、それが設計の狙いです。まずパイロットグループで試し、迷惑メールの扱いの違いに注意してください。Standardでは迷惑メールフォルダー、Strictでは隔離になります。
ライセンスの注意： Safe LinksとSafe AttachmentsにはDefender for Office 365が必要です。ない場合、プリセットが対象にするのは組み込みの保護だけです。
ポイント： 一定ではありません。自社の「推奨アクション」タブで値を確認してください。

5. グローバル管理者を減らす

場所： Entra ID > Roles & admins > All roles > Global Administrator。
手間： 小。Microsoftは、グローバル管理者を5人未満にし、クラウド専用の緊急用アクセスアカウントを2つ用意することを推奨しています。日常業務にはより権限の小さいロールを使います。
ポイント： 一定ではありません。自社の「推奨アクション」タブで値を確認してください。

6. 監査ログがオンか確認する

場所： Connect-ExchangeOnline で接続したうえで、Exchange Online PowerShellで Get-AdminAuditLogConfig | Format-List UnifiedAuditLogIngestionEnabled を実行します。Falseなら Set-AdminAuditLogConfig -UnifiedAuditLogIngestionEnabled $true を実行するか、Microsoft Purviewポータル > Audit で Start recording user and admin activity を選びます。Exchange Online PowerShellで実行してください。Security & Compliance PowerShellでは、このプロパティが常にFalseと表示されるためです。Exchange OnlineのAudit Logsロールも必要です。
手間： 小。反映まで最大60分ほどです。Microsoftによると、Business Basic、Business Standard、Business Premiumでは監査が既定でオンになっていないため、必ず確認します。
ポイント： 一定ではありません。自社の「推奨アクション」タブで値を確認してください。

7. 残りは順位の順に進める

「推奨アクション」タブをRankで並べ替え、製品で絞り込み、ユーザーへの影響が小さいものから進めます。サインイン方法やファイル共有の方法が変わるものは、パイロットグループで試し、社員にも知らせます。

ステータスは正直に使う

各アクションは、To address、Planned、Risk accepted、Resolved through third party、Resolved through alternate mitigation、Completed のいずれかにできます。Risk accepted ではポイントは付きません。2つのResolvedではポイントが付きますが、対策が本当に実施されているかをMicrosoftは確認できません。他の製品が実際にその対策をカバーしているときだけ使い、どの製品かをメモに残します。

セキュアスコアで分からないこと

侵害される可能性の指標ではありません。 Microsoftは、推奨される対策をどこまで使っているかを示すもので、侵害を防ぐ保証ではないと説明しています。
対象は掲載された製品だけです。 推奨はMicrosoft製品と、ごく一部の他社製品が対象です。それ以外のセキュリティ製品は、手動でカバー済みにしない限り採点されません。
すべての項目が自社に合うわけではありません。 Microsoftは、セキュリティと使い勝手のバランスを取る必要があると述べています。
第三者でカバー済みと設定すると、何も変えなくてもスコアは上がります。 同じパーセンテージでも、中身が大きく違うテナントがあり得ます。
デバイス関連の推奨は扱いが違います。 Deviceカテゴリではステータスを設定できず、Defender Vulnerability Managementの推奨に誘導されます。

よくある失敗

パーセンテージを追いかける。 1クリックで何点取れるかではなく、リスクと手間で直す順を決めます。
根拠なしに Resolved through third party にする。 スコアが膨らみ、抜けが隠れます。
パイロットなしで強制する。 レガシー認証のブロックのような得点の大きい項目は、複合機や古いメールクライアントを止めます。
すぐ変わると思う。 反映に24〜48時間かかります。動かないからと同じ作業をやり直さないでください。
見直さない。 後の変更や新規ユーザーでスコアが下がることがあります。Metrics & trends で後退を確認できます。
担当者がいない。 Notesに、項目ごとの担当者と期日を書きます。

効いているかの確認

security.microsoft.com/securescore を開き、作業前のスコアとポイントを控えます。
変更は1回に1項目だけにして、そのアクションのNotesに書きます。
24〜48時間待ち、Historyタブで該当アクションにポイントが付いたか確認します。
毎月 Metrics & trends > Regression trend を見て、失ったポイントがないか確認します。
四半期ごとに比較グラフを見直し、結果を記録します。

FAQ

Microsoft セキュアスコアは何点なら良いですか？

Microsoftは一つの数字を決めていません。比較グラフで同規模の組織と比べ、良い・普通・悪いの範囲を自社で定義し、Achievable scoreと比べてください。

Microsoft のセキュリティスコアとは何ですか？

ID、デバイス、アプリ、データについて、Microsoftが推奨するセキュリティ対策をどれだけ実施しているかを示すパーセンテージです。高いほど、推奨アクションの実施が進んでいます。

セキュアスコアにはどこからサインインしますか？

security.microsoft.com/securescore にアクセスしてサインインします。Security Readerなどは閲覧のみ、Security Administrator、Exchange Administrator、SharePoint Administratorは読み書きができます。Microsoft Defenderの統合ロールベースアクセス制御（Unified RBAC）で権限を付与することもできます。

業界平均とどう比べればよいですか？

Overviewタブの比較棒グラフ、または Metrics & trends > Comparison trend を使います。Microsoftは、席数が近い組織と匿名化したデータで比較します。

Microsoft セキュアスコアのダッシュボードには何が表示されますか？

セキュアスコアのページには、スコアがパーセンテージで表示され、獲得ポイントと獲得可能な合計ポイントが併記されます。ここから Planned、Current license、Achievable score の表示を追加し、推奨アクションを開き、HistoryタブとMetrics & trendsタブを確認できます。変更の反映には24〜48時間かかります。