Secure Score・CIS・ScubaGearの違いと使い分け

要点： 三つのどれも、単独ではテナントの安全性を「証明」しません。Secure Score はマイクロソフトが示す推移の指標、CIS Microsoft 365 Foundations Benchmark は監査や保険で最も通じやすいチェックリスト、CISA の ScubaGear は無料で読み取り専用のベースライン確認ツールです。推移の把握は Secure Score、証跡は CIS、照合は ScubaGear が向いています。

Microsoft 365 のテナントを管理していると、数字を一つ渡されたうえで、ある質問をされる場面があります。数字は Secure Score、質問は経営層、保険会社、取引先のセキュリティ質問票、監査人からの「それで、安全なのですか」というものです。本記事では microsoft secure score vs CIS benchmark vs ScubaGear を取り上げ、それぞれが何を測り、どの用途に向くのかを整理します。三つとも無料で実行できますが、互いに代わりになるものではありません。

筆者は香港に拠点を置くマネージドサービスプロバイダー（MSP）で、アジア太平洋、英国・欧州、中東のお客様のテナントに対し、この三つをすべて実行しています。一次情報に基づく内容にはリンクを付け、自社の運用に関する記述はそのように明記しています。

「Secure Score・CIS・ScubaGear」で本当に問われていることは何か

本当の問いは「どのツールが最良か」ではなく、「誰に何を示したいのか」です。この比較の裏には三つの異なる目的があります。

追跡： 状態は良くなっているのか、悪くなっているのか。
証跡： どの設定が有効で、どれが未対応かを示す、説明責任に耐える文書を出せるか。
照合： 別の独立したベースラインは、自分の設定の認識と一致するか。

Secure Score は一つ目、CIS ベンチマークは二つ目、ScubaGear は三つ目に最も向いています。混乱の多くは、あるツールを別のツールの役割に使うことから生じます。たとえば Secure Score の割合を、監査結果であるかのように保険会社へ提出する場合です。

Microsoft Secure Score とは何か、何を測るのか

マイクロソフトは Secure Score を、組織のセキュリティ態勢を示す指標とし、推奨アクションを実施するほど数値が上がると説明しています。Microsoft Defender ポータルで確認できます。対象は Entra ID、Exchange Online、SharePoint Online、Teams、Defender 製品群に加え、Okta、Salesforce、Zoom など一部のサードパーティ製品にも及びます。

スコアの仕組み。 推奨アクションは一つあたり最大 10 点です。多くは二値で、設定を有効にすれば満点になります。残りは達成割合に応じた配点です。マイクロソフトの例では、全ユーザーに多要素認証を適用すると 10 点の項目で、100 人中 50 人しか保護していなければ 5 点になります。

誰が管理しているか。 マイクロソフトです。推奨内容、配点、重み付けはマイクロソフトが決め、時間とともに変わります。

何が得られるか。 割合、履歴グラフ、推奨アクション一覧、類似組織との比較です。ダッシュボードであり、署名できる報告書ではありません。

見えるものと見えないもの。 Secure Score が読み取るのは、マイクロソフトが自社のサービスや API を通じて把握できる設定です。また、サードパーティ製品や代替の緩和策で対応済みとして項目をマークできます。便利な機能ですが弱点でもあり、そうした項目の状態は管理者がポータルに入力した内容次第です。マイクロソフト自身も、このスコアは「システムやデータが侵害される可能性の絶対的な尺度ではない」と述べており、侵害を防ぐ保証として解釈すべきではないとしています。

ライセンスは Secure Score にどう影響するか

マイクロソフトは、ライセンスのエディションやサブスクリプション、プランにかかわらず、製品に対する推奨を網羅的に表示すると説明しています。ベストプラクティスを把握してもらうためです。実務上これは、満点に含まれる点数の一部が、適切なライセンスを持つか、同じリスクをサードパーティ製品で補ってその旨を記録しない限り取れない、ということを意味します。したがって Microsoft 365 Business Premium のテナントと E5 のテナントを、それぞれが実際に何を有効にできるかを確認せずにパーセンテージだけで比べるべきではありません。

そのため、割合だけでは見かけほど多くのことは分かりません。同じスコアの二つのテナントでも実際の露出は大きく異なり得ますし、スコアが低くても重要な対策を済ませ、低価値の項目に必要なライセンスがないだけの場合もあります。

Microsoft Secure Score はどのくらいなら良いのか

マイクロソフトは合格ラインを公表していません。ポータルでは類似組織との比較や独自の目標設定ができますが、「良い」かどうかは自分で判断するもので、調べて分かる基準値はありません。実務上の目安は次のとおりです。

一時点の値より推移に意味があります。
不足点数の多さだけでなく、どのアクションが未実施かを見ます。管理者アカウントの 10 点は、周辺設定の 10 点よりはるかに重要です。
未実施の理由がライセンス、事業判断（リスク受容）、怠りのどれかを切り分けます。問題なのは最後だけです。

当社の強化支援では Secure Score 80 以上を納品目標にしていますが、あくまで作業の目標であり、安全性の証明ではありません。

CIS Microsoft 365 Foundations Benchmark とは何か

CIS Microsoft 365 Foundations Benchmark は、非営利団体の Center for Internet Security（CIS）が、実務者による合意形成プロセスで策定している規範的な設定ガイドです。現行バージョンは 7.0.0 で、Advanced の解説によれば 2026 年 5 月 19 日に公開され、新規の推奨が 21 件、更新が約 55 件あり、識別子の体系も新しくなりました。PDF は非商用目的で CIS から入手できます。v3、v4、v5 を引用した古い記事を読む場合は、数値を比べる前に必ずバージョンを確認してください。

何を測るか。 Entra ID、Exchange Online、SharePoint、Teams、Purview、Intune などにわたる、番号付きの具体的な設定です。各推奨には根拠、監査手順、修復手順が書かれています。この構造のおかげで監査が可能になり、各項目は合格、不合格、対象外のいずれかになります。

誰が管理しているか。 CIS と貢献者コミュニティで、バージョンごとに公開されます。変更が追跡できるため、後で「どのバージョンで評価したのか」と問われたときに重要です。

CIS の Level 1 と Level 2 は何が違うのか

各推奨はプロファイルに分類されます。

Level 1 は中核となるベースラインです。どのテナントでも設定すべき最小限の項目で、ユーザーへの影響はほとんどありません。
Level 2 は、機微なデータを扱う、あるいは厳格な規制要件がある環境など、より高い安全性が必要な場合向けです。設定はより厳しく、利便性が下がったり管理の手間が増えたりすることがあります。

多くの中小企業は Level 1 から始めるのが適切です。Level 2 は既定ではなく判断の対象です。働き方が変わる項目もあるため、一つずつ受け入れる、時期を決める、あえて見送る、のいずれかを決めます。

CIS の項目のうち手動確認が必要なものは何か

推奨の大半は PowerShell や Microsoft Graph で監査でき、7.0.0 では自動化の対象がさらに広がりました。ただし、API では確実に読み取れず、人が確認する必要がある項目も残ります。たとえば、緊急用（break-glass）アカウントの運用手順が存在し、試験されているか、テナント外のポリシーで設定がどう担保されているか、ポータル上の設定が特定のユーザー群の実際の挙動と一致しているか、といった点です。ここがスクリプトと監査の実質的な差です。スクリプトは読み取れたものを報告し、監査人は読み取れなかったものをどう扱うかを判断します。

CISA ScubaGear とは何か

ScubaGear は、米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）が公開しているオープンソースの PowerShell 評価ツールです。CISA の Secure Cloud Business Applications（SCuBA）セキュア構成ベースラインに照らしてテナントを確認します。ベースラインは Microsoft 365 製品向けに書かれたポリシー文書です。GitHub のリポジトリには、評価対象として Entra ID、Exchange Online、SharePoint、Teams、Power BI、Power Platform、セキュリティ関連コンポーネントが挙げられています。

誰が管理しているか。 CISA で、SCuBA プロジェクトの一環です。ベースラインはもともと米国連邦の文民機関向けに作られ、CISA はこのプロジェクトを拘束的運用指令 25-01 と結び付けていますが、ツール自体は Creative Commons Zero ライセンスで公開されており、誰でも実行できます。

何が得られるか。 HTML、JSON、CSV のレポートで、ベースラインの各ポリシーについてテナントが適合しているかが分かります。読み取り専用で、設定を照会するだけでテナントを変更しません。

利用者側の作業。 インストールして実行する担当者が必要で、その後に例外やリスク受容を記録する設定ファイルを書く必要があります。この作業をしないと、レポートは、受け入れると決めていたものまで含む不適合の一覧になってしまいます。

限界。 特定の政府のベースラインに対する、ある時点の確認です。自動検証できず手動確認に回される項目もあり、連邦機関向けのベースラインは、従業員 40 人の会社に必要な水準より厳しい部分もあれば、触れていない部分もあります。

三つをどう比べるか

Secure Score・CIS ベンチマーク・ScubaGear の一覧

管理主体： Secure Score はマイクロソフト、ベンチマークは CIS コミュニティ、ScubaGear は CISA です。
確認対象： Secure Score はマイクロソフトが定めた推奨アクション、ベンチマークは番号付きの Level 1・Level 2 の推奨、ScubaGear は SCuBA のベースラインポリシーです。
実行方法： Secure Score は Defender ポータルに組み込まれ常時更新されます。ベンチマークは文書であり、スクリプト、ツール、人が照らして監査します。ScubaGear は自分で実行する PowerShell ツールです。
自動化： Secure Score は完全自動ですが、見えるのはマイクロソフトが読める範囲と、自分でマークした内容だけです。ベンチマークは大半が自動化でき、一部は手動です。ScubaGear は自動実行で、一部の項目は手動確認に回ります。
ライセンス依存： Secure Score は高い（母数に未保有の機能が含まれる）。ベンチマークは中程度（特定のライセンスにのみ該当する推奨がある）。ScubaGear は低いものの、対応する機能がある場合にのみ意味を持つ確認もあります。
成果物： Secure Score は割合と履歴、ベンチマークは項目ごとの合否記録、ScubaGear は HTML・JSON・CSV です。
実行コスト： 三つとも無料で実行できます。実際のコストは、実行、解釈、修正にかかる時間です。
証跡としての扱い： Secure Score 単独はベンダーの自己評価なので証拠力が弱く、日付とバージョンを明記した CIS 評価は監査人や保険会社に馴染みのある形式です。ScubaGear の出力は信頼でき技術的ですが、政府以外では求められる機会が少なめです。何を受け入れるかは、各保険会社、取引先、監査人が決めます。

ScubaGear と CIS ベンチマークはどう違うのか

率直に言えば、内容は大きく重なり、目的が異なります。

出自： CIS ベンチマークは業界横断の合意に基づく標準です。ScubaGear のベースラインは米国連邦機関が政府系テナント向けに作ったものです。
厳しさ： SCuBA のベースラインは、脅威水準の高い機関向けに「shall」「should」形式で書かれています。CIS は Level 1 と Level 2 に分かれ、深さを選べます。
通用度： 保険の質問票や取引先のデューデリジェンスでは、CIS Microsoft 365 Foundations Benchmark の名前が挙がる可能性が高く、SCuBA は有力な照合手段ですが求められる機会は少なめです。
ツールの形： ScubaGear はそれ自体がツールで、実行すれば結果が出ます。CIS ベンチマークは文書なので、結果を出すにはスキャナー、スクリプト、または監査担当者が必要です。

両方を実行して結果が食い違うなら、それ自体が有益です。ベースラインの考え方の違いにすぎない点と、本当の不備を切り分けられます。

実例：スコアとベンチマークの結果が食い違うとき

当社が公開している架空の顧客 Acme Capital のサンプルレポート（英語）がこの典型です。Secure Score は 47%、CIS の合格率は 61%（118 項目中 72 項目）で、評価は C です。この二つは別のものを測っています。スコアはマイクロソフトの推奨アクションと利用可能なライセンスを反映し、合格率はスコアが一切確認しない項目を含む番号付きの管理策を反映します。一方が低く他方が中程度ということは起こり得ますし、どちらの数字も、最初に直すべき十項目を教えてくれません。その優先順位づけこそが、監査の本当の成果物です。

どの場面でどれを使うべきか

推移を見たいとき：Secure Score

すでに存在し、自動で更新され、費用もかかりません。月に一度確認して数値を記録し、何が動いたかを見てください。外部からの問いへの唯一の回答にはしないでください。

証跡を求められたとき：CIS ベンチマーク

保険会社、取引先、監査人にテナントの構成を問われたとき、特定のバージョンに照らし、各項目を合格・不合格・未確認で示した日付付きの評価が、相手にとって馴染みのある文書です。どのバージョン、どのレベルで評価したかを明記してください。

独立した照合が必要なとき：ScubaGear

PowerShell に慣れた管理者が社内にいれば、四半期ごと、または大きな変更の後に実行し、ベンチマークの結果と突き合わせます。例外を記録する設定ファイルの作成に時間がかかることを見込んでください。

どれか一つに頼らない

どれにも死角があります。最も堅実なのは、継続して見るスコア、提示できるベンチマーク評価、そして前提を共有しない照合を組み合わせることです。

典型的な進め方はどうなるか

スコアの基準を取る。 Secure Score、未実施アクション、保有ライセンスを記録します。
ベンチマークで監査する。 まず Level 1、データや取引先の要件があれば Level 2 も、手動確認の項目を含めて評価します。
仕分けする。 リスクと工数で並べ、本当の不備、ライセンス上の制約、受容済みリスクを分けます。
順番に是正する。 まず ID 関連（多要素認証、管理者アカウント、レガシー認証）、その後にメール保護、デバイス、共有を扱います。
定期的に再確認する。 再実行し、日付付きのレポートを残し、変化を記録します。アプリや例外が増えるにつれ、設定は少しずつ乖離します。

よくある落とし穴は何か

点数を追うこと。 手軽な設定を変えれば割合は上がりますが、リスクが減るとは限りません。点数ではなくリスクの順に直してください。
緊急用（break-glass）アカウントを軽視すること。 緊急アクセス用アカウントは通常の制御を回避する設計だからこそ、独自の監視、強固な認証情報、試験済みの手順が必要です。ツールは検出できますが、どう守るかは決めてくれません。
レポート専用モードの条件付きアクセス。 「レポート専用」のポリシーは管理画面に表示され進捗のように見えますが、何も強制しません。ポリシーが有効になっていること、サインインへの影響を事前に試験したことを確認してください。
期限のない除外。 除外リストが長い条件付きアクセスや、何年も前に「一時的に」除外したサービスアカウントは、いつの間にか実質的なポリシーになります。除外は毎回見直してください。
テナント間でスコアを比べること。 ライセンス、規模、受容済みリスクが異なるため、割合の単純比較は誤解を招きます。
きれいなレポートを保証とみなすこと。 マイクロソフト自身が Secure Score は侵害を防ぐ保証ではないと述べており、CISA も ScubaGear を時点評価と位置づけています。

Brocent はどこに位置するのか

Brocent Cloud Service は香港を拠点とする MSP です。Microsoft 365 については、内部で Secure Score、ScubaGear、CIS の確認を実行し、スクリプトでは読み取れない手動確認の項目を加えたうえで、ツールがしないことを担います。結果の解釈、是正の優先順位づけ、証跡としてのまとめです。ツール自体は無料なので販売しておらず、お売りしているのは解釈、優先順位付きのロードマップ、そして証跡です。

当社の CIS Benchmark Audit は、手動確認の項目を含む CIS Level 1 と Level 2 を対象とし、優先順位付きのロードマップと工数見積もりを添えます。公開価格は一回限り、税別で、人数帯ごとに次のとおりです。

1～10 ユーザー： US$450
11～25 ユーザー： US$990
26～75 ユーザー： US$1,800
76～150 ユーザー： US$2,900
150 ユーザー超： 個別見積もり

読み取り専用のアクセスを一度付与いただければ、5～7 営業日後にレポートをお届けし、報告会も行います。レポートは証跡として使えるよう設計されていますが、特定の保険会社や監査機関が受け入れるかどうかは各社の判断であり、当社はそれを約束しません。出力の構成はサンプルレポート（英語）で、仕組みはセキュリティ監査ツールのページでご覧いただけます。継続的な監視と定期的な再確認をご希望の場合は、マネージドITセキュリティサービスが対応します。Microsoft 365 以外を含む全体像はITセキュリティ自己評価の設問でも確認でき、ご質問はお問い合わせからどうぞ。