Microsoft 365 セキュリティ監査とは：確認項目・期間・費用

要点： Microsoft 365 セキュリティ監査とは、テナントが「実際にどう設定されているか」を一回限りで点検する作業です。CIS Microsoft 365 ベンチマークのレベル 1 とレベル 2 に照らし、ツールでは読み取れない手動コントロールも含めて確認します。読み取り専用アプリで設定だけを読み、メールや文書の中身は読みません。Brocent は承認から 5〜7 営業日で報告書とワークブックを納品し、料金はユーザー数に応じて 1〜10 名 450 米ドルからです。

「Microsoft 365 セキュリティ監査とは何か」を検索している方の多くは、誰かに答えられない質問をされたところだと思います。サイバー保険の更新質問票、大口顧客からの取引先セキュリティ質問票、あるいは経営者からの「うちの Microsoft 365 は安全なのか」という一言かもしれません。この記事では、中小企業の視点から、監査とは何か、何を確認するのか、どれくらいかかるのか、何が納品されるのか、いくらかかるのかを一度に整理します。

扱うのは一回限りの監査だけです。すでに発注を決めていて料金体系を比べたい方は固定料金か時間制かを、料金が何で決まるかを知りたい方は監査費用ガイドをご覧ください。

Microsoft 365 セキュリティ監査とは何か

一言で定義すると、テナント セキュリティ監査とは、Microsoft 365 テナントの設定を公開されたベンチマークに一項目ずつ照らし、差異のある箇所ごとに「なぜ重要か」「どう直すか」「どれだけ工数がかかるか」を書き出す作業です。

三つのキーワードを分けて説明します。

• テナントであって、パソコンではない。 監査の対象は、会社のメール、ファイル、会議、ID を載せているクラウド環境です。Entra ID、Exchange Online、SharePoint、OneDrive、Teams、Defender、Purview が含まれます。従業員のノート PC は別の Intune デバイス監査の範囲です。
• 設定であって、内容ではない。 監査が読むのは構成とメタデータです。どのアカウントに多要素認証がないか、どの共有リンクが無期限か、どの管理者ロールが永続的に割り当てられているか。メール本文を読むことも、文書を開くこともありません。
• ベンチマークに照らすのであって、感覚ではない。 Brocent は CIS Microsoft 365 Foundations Benchmark のレベル 1 とレベル 2 を使います。公開された基準なので自分で読むことができ、報告書には照合したバージョンが明記されます。

「Microsoft 365 を使っているのだから、セキュリティは Microsoft が見てくれる」と考える方は多いです。半分は正しく、プラットフォームそのものは Microsoft が運用しています。しかしテナントをどう設定するかはお客様側の責任で、その状態は「初日にどう設定され、その後に権限を持つ誰かが何を変えたか」の積み重ねです。監査の価値は、誰も見たことのないその状態を一度きちんと見ることにあります。

Microsoft 365 セキュリティ監査では何を確認するのか

Brocent が公開している監査レポートのサンプル（英語ページ）に沿うと、範囲は次の領域に分かれます。いずれも「ベストプラクティス」のような漠然としたものではなく、ベンチマークの具体的なコントロールに対応しています。

1. Entra ID のユーザーとゲスト： 全アカウント、ゲスト アカウント、無効化・休眠アカウント、共有メールボックスのサインイン状態。
2. 多要素認証： ユーザーごとの登録状況と利用方法。SMS しかない人、フィッシング耐性のある方法を持つ人、そもそも有効化していない管理者。
3. 条件付きアクセス： 既存ポリシーの適用範囲、除外グループ、「レポート専用」のまま放置されていないか、レガシー認証をブロックしているか。
4. 特権ロールと PIM： グローバル管理者の人数、永続割り当てかどうか、日常用アカウントで管理者を兼ねていないか、緊急アクセス用アカウントの有無。
5. アプリ登録と同意設定： ユーザーが第三者アプリに自分で同意できるか、メールやファイルへの広範な権限を持つアプリがあるか。
6. Exchange Online のメール フロー： 転送ルール、外部への自動転送、SMTP AUTH、メールボックス監査、トランスポート ルール。
7. フィッシング対策と Defender for Office 365： 既定ポリシー、なりすまし保護、セーフ リンクとセーフ添付ファイルが本当に全ユーザーをカバーしているか。
8. SPF、DKIM、DMARC： 承認済みドメインごとのレコード状態。DMARC が p=none のままか、レポートを誰かが見ているか。
9. SharePoint と OneDrive の共有： テナントおよびサイト単位の外部共有設定、「すべてのユーザー」リンク、既定のリンク種別、ゲストの有効期限。
10. Teams： 外部アクセス、ゲスト アクセス、「誰が参加でき、誰が共有できるか」に関わる会議ポリシー。
11. Purview： データ損失防止ポリシー、保持ポリシー、秘密度ラベル、監査ログの保持期間。
12. Secure Score と ScubaGear ベースラインの結果： 結論ではなく参照値として。

デバイス（Windows、Mac、スマートフォン）の準拠状態はこの報告書では要約のみで、デバイスの詳細な指摘事項は別の Intune デバイス監査にまとめます。まず自社で一通り確認したい方は、Microsoft 365 セキュリティ監査チェックリストを項目ごとに照らしてみてください。

Microsoft 365 セキュリティ監査でないものは何か

発注前によくある誤解を外しておくと、買ったものと受け取ったものが食い違うことを避けられます。

比較：Secure Score、CIS 監査、ペネトレーションテスト

• Microsoft Secure Score： テナントに組み込まれた自動の指標で、API から読める設定だけを見ます。推移を追うには便利ですが、緊急アクセス用アカウントが保護されているか、管理者ロールが本当に制限されているかといった手動コントロールは見えません。監査ではなく、保険会社や評価機関が正式な評価として扱うものでもありません。
• CIS ベンチマーク監査（この記事の監査）： 人がベンチマークに一項目ずつ照らし、Secure Score には見えない手動コントロールも含めて、証拠・優先順位・工数見積もり付きの報告書を出します。第三者に提示する必要がある場合や、順序立った修正リストが欲しい場合に向きます。
• ペネトレーションテスト： 攻撃者を模して侵入を試み、「設定は正しいか」ではなく「侵入できるか」に答えます。両者は補完関係で、置き換えにはなりません。保険の質問票が聞くのはたいてい前者です。

ほかの二つも監査ではありません。脆弱性スキャンはサーバーや端末の既知の脆弱性を探すもので、テナント設定は見ません。月次セキュリティ レポートは継続サービスであって一回限りの点検ではなく、違いは記事の最後で説明します。ツールの比較をさらに深く知りたい方はSecure Score、CIS ベンチマーク、ScubaGear の比較をご覧ください。

監査の流れと、報告までの期間

お客様から見ると手順は四つだけで、ご自身が使う時間は合計で 2 時間に満ちません。

1. 読み取り専用アプリの承認。 グローバル管理者お一人が Entra ID で一度だけ同意します。約 15 分です。テナントに Brocent のアカウントやパスワードが作られることはなく、何もインストールしません。
2. 読み取りと照合。 監査担当が Microsoft Graph と PowerShell で設定を読み取り、自動で読めた項目は検証日に再度読み直します。API で読めない項目は、画面共有で管理センターをお客様と一緒に確認します。
3. 報告書の納品。 承認日から数えて 5〜7 営業日で、報告書とワークブックをお受け取りいただきます。
4. 説明ミーティング。 ビデオ会議で指摘事項、優先順位、修正方法を一件ずつ説明します。お客様のタイムゾーンに合わせて設定します。

承認はいつでも取り消せます。Entra ID でアプリを削除すれば、その後テナントには何も残りません。

何が納品されるのか

同じデータに基づく二つの文書です。

• 監査報告書（PDF）： 1 ページのエグゼクティブ サマリー、範囲と手法（照合したベンチマークのバージョンを含む）、重大度と工数で並べた指摘事項一覧、各指摘の観察内容・影響・修正手順・ロールバック方法・ユーザーへの影響、段階的な是正ロードマップ、証拠の付録。
• 監査ワークブック（Excel）： コントロールごとの合否、証拠の参照、担当者と状態の欄。社内で是正を追跡するために使えます。

どちらも証拠として使われることを想定して設計された文書です。保険の質問票への回答、顧客からの取引先質問票への回答、Cyber Essentials 評価の準備にそのまま引用できます。ただし、監査そのものが認証を付与することはなく、保険会社や評価機関が必ず受け入れると保証するものでもありません。報告書の各章の中身は監査レポート サンプルの読み解きで解説しています。

Microsoft 365 セキュリティ監査の費用

料金はテナントのユーザー数で決まり、一回限り、米ドル建て、税別です。1〜10 名 450 米ドル、11〜25 名 990 米ドル、26〜75 名 1,800 米ドル、76〜150 名 2,900 米ドル。150 名超は個別見積もりです。指摘が 3 件でも 30 件でも料金は変わりません。是正は別の作業で、案件ごとに見積もり、監査には含まれません。

全料金と各帯の内容はMicrosoft 365 セキュリティ監査の料金ページにあります。

いつ監査が必要になるのか

監査は一回限りなので、通常は何かのきっかけで動き出します。よくある五つのケースです。

• サイバー保険の更新。 質問票が多要素認証、管理者アカウント、メール保護について尋ねてきたとき、必要なのは「あるはずです」ではなく日付入りの証拠です。
• 顧客からの取引先セキュリティ質問票。 大口顧客の調達プロセスでは、Microsoft 365 の設定状態を取引先に証明させる例が増えています。
• Cyber Essentials など認証の申請前。 テナントが要件からどれだけ離れているかを先に把握し、是正の範囲を決めます。
• 買収や合併。 他人が設定したテナントを引き継ぐ前に、一度見ておきます。
• Copilot 導入前。 Copilot は過剰に共有された文書を「誰でも質問できる答え」に変えてしまうため、共有設定は導入前に点検する価値があります。

これまで誰もテナント設定を見たことがないなら、きっかけを待つ必要はありません。数年分の日常的な設定のずれが、たいてい一覧になるだけの量になっています。

一回限りの監査と月次セキュリティ レポートの違い

一回限りの監査は写真です。今日のテナントがどういう状態かを教えてくれますが、来月誰かが無期限の共有リンクを作るのを止めることも、新入社員が多要素認証を有効にしないまま入社したことに気づくこともありません。

月次セキュリティ レポートはマネージド IT サービスの一部で、誰かがテナントを継続的に見守り、毎月変化と状態をまとめます。両者の関係は通常、まず監査を受け、重要な数件を直し、それから継続的に見てもらうかどうかを決める、という順番です。香港拠点での監査範囲と現地の進め方は香港の Microsoft 365 セキュリティ監査で紹介しています。

よくある質問

Microsoft 365 セキュリティ監査でメールや文書は読まれますか

読みません。監査が読むのは構成とメタデータで、アカウント、ロール、ポリシー、共有設定、メール フロー ルールです。メール本文と文書の内容は明示的に範囲外です。

自社ではどれくらい時間がかかりますか

承認に約 15 分、説明ミーティングに約 1 時間、途中で手動コントロールを確認する画面共有が一度ある場合があります。合計で通常 2 時間以内です。

5〜7 営業日はいつから数えますか

グローバル管理者が読み取り専用アプリを承認した日からです。契約日からではありません。

報告書を保険会社や顧客に見せてもよいですか

はい。報告書とワークブックは証拠として使われることを想定して設計されており、日付、証拠の参照、照合したベンチマークのバージョンが記されています。受け入れるかどうかは相手側の判断で、監査が何かを保証するものではありません。

監査に是正は含まれますか

含まれません。報告書には指摘ごとの修正手順とロールバック方法が書かれているので、自社で対応することも、どの事業者に依頼することもできます。Brocent による是正は案件ごとに別途見積もります。

8 名の会社でも監査は必要ですか

人数が少なくても設定が少ないわけではありません。8 名のテナントも 80 名のテナントも同じコントロールに照らします。小さな会社ほど「数年前に一人が設定して、その後誰も見ていない」状態になりがちです。1〜10 名の料金は 450 米ドルです。

この監査と Intune デバイス監査は同じものですか

違います。この記事の監査はテナント監査です。デバイス（Windows、Mac、iPhone、Android）の登録、準拠、暗号化、更新の状態は別の Intune デバイス監査で扱い、単独でも、同時にも発注できます。

次のステップ

まず報告書の実物を見たい方は監査レポートのサンプル（英語ページ）をお読みください。自社テナントの料金をすぐ知りたい方は料金ページをご覧いただくか、コンサルタントに連絡してユーザー数と監査のきっかけをお知らせください。料金帯と納期を確認してお返事します。