Microsoft 365でSCS評価制度★3に対応する｜追加購入なしで満たせる範囲と設定手順
SCS評価制度の全体像については SCS評価制度 対策ガイド もあわせてご覧ください。Microsoft 365 と Google Workspace を並べた領域別マッピングは「SCS評価制度★3をM365・GWSで実装する｜設定マッピング一覧」に、本記事はMicrosoft 365環境に絞った設定手順・証跡の取り方・実装ロードマップをまとめています。
SCS評価制度★3の対応を検討するとき、Microsoft 365を使っている企業には有利な条件があります。要求事項の技術的な部分の多くは、すでに契約しているライセンスの機能で満たせるからです。
問題は、それらの機能が「契約しただけでは有効になっていない」ことです。実際の現場では、Business Premium を契約しているのに条件付きアクセスもIntuneも未設定、という状態を頻繁に見かけます。この場合、必要なのは新しい製品の購入ではなく、すでに買ってある機能を有効化する作業です。
この記事では、★3の要求事項をMicrosoft 365の具体的な設定にマッピングし、どこまでが標準機能で対応でき、どこから追加投資が必要になるかを整理します。
★3の要求事項は26項目、細分化した評価基準は81件という構成で公表されています（NIST CSF 2.0の6機能をベースに、7つの大分類で整理されたもの）。項目数や評価基準は制度の成案化に伴い更新される可能性があるため、最新の内容は必ずIPAの制度サイトで公開されている要求事項・評価基準（Excel）をご確認ください。要求事項の全文は当サイトの★3 要求事項・評価基準 一覧でも読めます。本記事は実装手段の整理を目的としています。
前提：自社のライセンスを確認する
最初にやるべきは、現在のライセンス構成の確認です。ここが分からないまま対策を検討すると、必ず判断を誤ります。
Microsoft 365管理センターの「課金情報 > お使いの製品」で、契約中のプランと割り当て数を確認してください。★3対応の可否は、おおむね次のように分かれます。
| プラン | ★3の技術要件への対応度 |
|---|---|
| Business Basic / Apps for business | 大きく不足。多要素認証は使えるが、条件付きアクセス・デバイス管理・EDRがない |
| Business Standard | 同上。会議やアプリは充実するがセキュリティ機能は Basic と同等 |
| Business Premium | 技術要件の大部分をカバー可能。300ユーザーまでの企業の第一候補 |
| E3 | 情報保護と監査が強化される。デバイス管理も含む |
| E5 | 上記に加えてID保護、特権管理、高度な脅威対策が加わる |
Business Standard から Business Premium への変更は、多くの場合で最もコスト効率の良い選択肢です。1ユーザーあたりの差額で、条件付きアクセス・Intune・Defender for Business がまとめて手に入ります。個別に製品を買い足すより安く済むケースがほとんどです。
なお、ライセンスに含まれる機能の範囲はMicrosoft側で変更されることがあります。実際に Windows Autopatch は2025年4月に Business Premium が対象に追加されました。導入判断の際は公式のライセンス比較表で最新の状態を確認してください。
領域別の実装マッピング
★3の要求事項を領域ごとに整理し、対応する設定箇所を示します。括弧内は要求事項・評価基準の番号です。
ID・認証の管理（4-1）
要求されているのは、ユーザID・管理者IDの発行から削除までの手続の明文化、認証強度の決定、権限の適正化、そして退職者アカウントの適切な処理です。
多要素認証の強制（4-1-3）
評価基準4-1-3-2は、重要な機密情報を取り扱うクラウドサービスについて、ユーザおよび管理者が常に多要素認証を使うことを求めています。管理者だけでは足りません。認証要素は知識情報・所有情報・生体情報・その他の情報から2種類以上（4-1-3-3）、パスワードは8文字以上（4-1-3-4）です。
Microsoft Entra管理センターの「保護 > 条件付きアクセス」でポリシーを作成します。最低限、次の2本を設定してください。
- 全ユーザーに対する多要素認証の要求（緊急用アカウントを除外）
- 管理者ロールに対する追加の制御（信頼できる場所や準拠デバイスの要求）
セキュリティ既定値群（Security Defaults）でも多要素認証は有効化できますが、細かい制御ができず、緊急用アカウントの除外もできません。Entra ID P1（Business Premium に含まれる）があるなら、条件付きアクセスで設定するのが実務的です。
緊急用アカウントの用意
条件付きアクセスの設定ミスで全員が締め出される事故は実際に起きます。多要素認証ポリシーから除外した緊急用アカウントを2つ作り、パスワードを厳重に管理してください。これは要求事項というより、事故を防ぐための実務上の必須事項です。
端末側のロック制御（4-1-4）
見落とされがちですが、★3はPCのログオンとスマートデバイスのロック解除についても要求しています。10回以上の失敗でロックする（または試行間隔を延ばす）設定と、6文字以上のパスワードまたはPINです。Intune のコンプライアンスポリシーとデバイス構成プロファイルで一括適用でき、設定画面がそのまま証跡になります。
特権アカウントの分離（4-1-2）
日常業務用のアカウントに全体管理者ロールを付けたままにしないでください。管理作業専用のアカウントを分け、必要最小限のロールを割り当てます。「管理者ロールの割り当て状況」はEntra管理センターの「ロールと管理者」で一覧化でき、そのまま証跡になります。
アクセス権の管理ルールと棚卸（4-1-7）
評価基準4-1-7-1が求めているのは、①発行・変更・削除が申請承認制であること ②範囲を必要最小限にすること ③棚卸について定めていること ④申請書または台帳を管理していること、の4点です。ツールの有無ではなく、ルールと台帳が問われます。
退職者アカウントの処理（4-1-1-4）
アクセス権が不要になった場合の速やかな削除・無効化が求められます。サインインブロック、ライセンス剥奪、メールデータの引き継ぎという手順を文書化し、入退社時のチェックリストに実施日と実施者を記入する運用にしてください。
端末とアプリの管理（3-1、4-4）
情報機器の把握（3-1-1）
業務で使う情報機器・OS・ソフトウェアを把握することが要求されています。Intune管理センターで業務端末をEntra参加またはIntune登録の状態にすれば、機種・OSバージョン・インストールソフトが自動収集され、資産台帳の実体になります。手作業のExcel台帳は陳腐化が宿命なので、ここは仕組みに寄せる価値が高い領域です。
コンプライアンスポリシーの設定
「デバイス > コンプライアンスポリシー」で、ディスク暗号化の有効化、OSの最小バージョン、ウイルス対策の有効化などを条件として定義します。これを条件付きアクセスと組み合わせると、要件を満たさない端末からのアクセスを遮断できます。「端末が管理されている状態」を技術的に担保する仕組みとして、評価では説明しやすい構成です。
マルウェア対策とEDR（4-4-5）
評価基準は、①ネットワークに接続するすべてのPCとサーバへの対策ソフト導入 ②端末ごとにスキャン範囲と頻度を定めて実行すること ③パターンファイルをベンダー推奨に従って更新すること、を求めています。
Business Premium には Defender for Business が含まれます。Defender ポータルでオンボーディング状況を確認し、未登録の端末があれば対応してください。Microsoft Defender ウイルス対策は Windows に標準搭載されていますが、スキャン範囲・頻度が定められ、検知状況を一元的に確認できるかが評価で問われます。Intune のウイルス対策ポリシーでスキャン設定を配布すれば、「定めて実行している」ことを設定画面で示せます。
更新プログラムの管理（4-4-4）
ここは期限が明記されている、数少ない要求事項です。評価基準4-4-4-2は、ベンダーが「重大」「高リスク」とする脆弱性やCVSS基本値7.0以上の脆弱性を修正するアップデートについて、リリースから14日以内の適用を求めています。対象は会社支給PCのOS・ブラウザ・Officeソフト、サーバのOS・ミドルウェア、スマートデバイスのOS・アプリ、そしてインターネット境界のネットワーク機器のOS・ファームウェアです。
Intune の「更新リング」で、この14日を満たす期限（deadline）と猶予期間を設定します。段階的な適用（パイロットグループ→全体）を組み、適用状況をレポートで確認できる状態にしてください。やむを得ず期限内に適用できない場合の代替策（機能の無効化、回避策の適用、ネットワーク分離、通信監視・遮断）も評価基準に列挙されているため、例外時の手順もあらかじめ文書化しておくと対応が楽になります。
なお、Windows Autopatch は Business Premium でも利用できます（Intune と Entra ID 参加が前提）。台数が増えてきたら移行を検討してください。
データ保護（3-1-4、4-3-4）
機密情報の管理（3-1-4）
評価基準3-1-4-3は、重要な機密情報について、情報ごとの管理者名・部署名・保管場所・保管期限・開示先・連絡先を把握する仕組みを求めています。技術設定ではなく台帳の話です。SharePoint のリスト機能で作ると更新履歴も残り、そのまま証跡になります。
外部共有の制御
SharePoint管理センターの「ポリシー > 共有」で、組織全体の外部共有レベルを設定します。「誰でも（匿名リンク）」を許可したままの環境は多いので、まずここを「新規および既存のゲスト」以上に絞ることを検討してください。サイト単位での上書き設定も可能です。
DLP（情報漏えい防止）
Microsoft Purview の「データ損失防止」で、マイナンバーやクレジットカード番号などの機密情報が外部に送信されることを検知・ブロックするポリシーを作成します。テンプレートが用意されているので、日本の個人情報保護法向けのものを流用できます。Business Premium では Exchange・SharePoint・OneDrive・Teams が対象で、端末上の操作を対象にするエンドポイントDLPはE5です。
保持ポリシーとバックアップは別物
Purview の「データライフサイクル管理」で、メールやファイルの保持期間を定義します。これは削除防止であってバックアップではありません（詳細は後述）。
ログと監視（5-1）
監査ログの有効化
Purview の「監査」で、統合監査ログが有効になっているかを確認します。有効化されていない環境ではログが記録されておらず、後から遡って取得することはできません。まずここを確認してください。
保持期間は標準構成で概ね180日、E5では長期保持のオプションがあります。なお、★3にログの保管期間そのものの要求はありません（ファイアウォール・プロキシ・認証サーバのログを各6か月保管する要求は★4）。将来★4を見据えるなら、エクスポートによる長期保全を今から設計しておくと二度手間になりません。
定期的な確認の運用（5-1-1-2）
評価基準が求めているのは、ログとアラートを分析し、担当者または管理者が不審な事象を発見した際にインシデント該当性を判断することです。取得しているだけでは満たせません。「誰が」「どの頻度で」「何を見るか」を定めた手順書と、実施記録が必要です。月次で以下を確認する運用が現実的です。
- 失敗したサインインの傾向（Entra のサインインログ）
- 管理者ロールの変更履歴
- Defender で検知されたインシデントの対応状況
- 外部共有リンクの発行状況
組織・ルール面（1-x、2-x、4-2）
技術で解決できない領域です。★3は7つの大分類のうち「ガバナンスの整備」「取引先管理」が丸ごとここに属し、要求事項の相当部分が文書と運用です。
たとえば体制の要求（1-2-1）は、統括役員と担当部署の役割・責任を規程や職務分掌表に明記し、連絡先リストを整備し、年1回以上その体制を点検して記録を残すことまで求めています。教育・訓練（4-2-2）も、新規受入時かつ年1回以上、資料配布に加えてeラーニングまたは集合教育を実施し、実施内容・方法・時期・受講状況を記録・保管し、さらに年1回以上その内容を点検する、という構成です。
Microsoft 365 の機能で代替はできませんが、SharePoint を文書管理の場所として使い、承認履歴とバージョン履歴をそのまま証跡にする運用は有効です。文書一式のひな型は「SCS評価制度★3 文書化テンプレート集」を参照してください。
ライセンス別にできること・できないこと
Business Premium を基準に、上位プランで追加される要素を整理します。
| 機能 | Business Premium | E3 | E5 |
|---|---|---|---|
| 多要素認証・条件付きアクセス | ○ | ○ | ○ |
| Intune によるデバイス管理 | ○ | ○ | ○ |
| EDR（エンドポイント検知・対応） | ○（Defender for Business） | △ | ○（Defender for Endpoint P2） |
| メールの高度な脅威対策 | ○（Defender for Office P1） | △ | ○（P2） |
| DLP（メール・SharePoint・Teams） | ○ | ○ | ○ |
| エンドポイントDLP | × | × | ○ |
| 監査ログ | ○（標準） | ○（標準） | ○（長期保持オプションあり） |
| 特権ID管理（PIM） | × | × | ○ |
| アクセスレビュー（自動化） | × | × | ○ |
| ID保護（リスクベース制御） | × | × | ○ |
| 攻撃シミュレーション訓練 | × | × | ○ |
| ユーザー数上限 | 300名 | なし | なし |
★3の要求水準であれば、Business Premium で技術要件は概ねカバーできます。E5 でしか使えない機能（PIM、アクセスレビュー、攻撃シミュレーション）は、★3の段階では手動運用での代替が可能です。
- アクセスレビュー → 四半期ごとに権限一覧をエクスポートし、責任者が確認して記録を残す（4-1-7-1が求めるのは棚卸のルールと台帳）
- 攻撃シミュレーション → eラーニングまたは集合教育で実施し、受講状況を記録する（4-2-2-1が認めている方法）
- PIM → 管理者アカウントを分離し、利用ルールを文書化して運用する
手動運用は工数がかかりますが、★3の評価基準は「仕組みが自動化されていること」ではなく「定めて、実施して、記録していること」を問います。記録さえ残せば要求は満たせます。
評価で求められる証跡の取り方
★3は自己評価に専門家の確認が加わる方式です。確認する側は、口頭の説明ではなく運用実態を示す資料を見ます。Microsoft 365 環境で取得しやすい証跡を挙げます。
設定状態のスクリーンショット 条件付きアクセスポリシーの一覧と各ポリシーの詳細、コンプライアンスポリシーの内容、更新リングの期限設定、ウイルス対策のスキャン設定、外部共有設定など。取得日が分かる形で保存してください。
エクスポートできる一覧
- ユーザーとライセンスの割り当て一覧（管理センターからCSV出力）
- 管理者ロールの割り当て状況
- Intune のデバイス一覧（3-1-1の資産台帳として使えます）
- Intune の更新状況レポート（4-4-4-2の適用期限を守れている証跡）
- Defender のデバイス正常性レポート（4-4-5のパターンファイル更新状況）
運用の記録 月次のログ確認記録、入退社時のアカウント処理記録、教育の実施記録と受講者名簿、アクセス権の棚卸記録、体制の年次点検記録、インシデント対応の記録。これらはMicrosoft 365 の機能では自動生成されません。台帳を作って運用してください。★3の評価基準が「記録し、保管すること」「点検すること」を繰り返し求めているのは、まさにこの部分です。
Microsoft Secure Score セキュリティポータルで確認できるスコアです。要求事項と直接対応するものではありませんが、改善の推移を記録しておくと「継続的に取り組んでいる」ことの説明材料になります。
証跡は評価の直前にまとめて用意しようとすると必ず破綻します。設定を変更した時点でスクリーンショットを撮り、日付とともに保存する習慣を最初から作ってください。取得方法の詳細は「SCS評価制度★3 証跡・監査ログ実装ガイド」で扱っています。
Microsoft 365の標準機能では足りない領域
「追加購入は不要」と述べてきましたが、正直に言えば足りない領域もあります。
バックアップ
これが最も重要な不足点です。
要求事項4-3-4は、①取得対象・取得頻度・保管期間を定めたバックアップ ②重要な機密情報についての遠隔地バックアップ ③バックアップ対象ごとのリストア手順書の整備、を求めています。
Microsoft 365 の保持ポリシーやごみ箱は、削除されたデータを一定期間保持する機能であって、バックアップではありません。ランサムウェアによる大量暗号化、悪意ある管理者による削除、テナント単位の障害といったシナリオに対して、保持ポリシーだけでは復旧できないケースがあります。
ここは正当な投資対象です。Microsoft 365 Backup、あるいはサードパーティのバックアップ製品を検討してください。手順書の整備と、復旧テストを実施した記録まで含めて対応する必要があります（考え方は3-2-1ルールの解説を参照）。
ネットワーク境界の防護
要求事項4-5-1は、ネットワークを適切に分離し、境界部分を防護することを求めています。ここはMicrosoft 365の外側、オフィスネットワーク側の話です。
ただし必ずしも機器の新規購入を意味しません。既存ルーターのファイアウォール機能で要件を満たせているケースは多く、その場合に必要なのは設定内容の確認と記録です。また検知の評価基準5-1-1-1は「境界又は端末において」リアルタイム検知・遮断の仕組みを導入することとしており、Defender for Business のようなエンドポイント側の対策で成立させる余地があります。業務が完全にクラウド中心で社内にサーバーがない環境なら、条件付きアクセスとデバイス管理で代替できる部分が大きいというのが実務上の判断です。自社の構成を確認してから決めてください。
なお、境界に置いたネットワーク機器のOS・ファームウェアも4-4-4-2の更新対象です。機器を入れるなら、更新運用まで含めて設計してください。
従業員教育
Business Premium には攻撃シミュレーション訓練の機能が含まれません（Defender for Office P2＝E5相当が必要）。ただし4-2-2-1が求めているのは「eラーニング又は集合教育による教育・訓練」なので、外部の教育サービス、IPAが公開している無料教材、あるいは自社での勉強会実施でも要求は満たせます。実施記録と受講状況の管理まで残すことが条件です。
ログの長期保管
★3にログの保管期間要件はありませんが、★4では対象ログを各6か月保管し、認証サーバのログを月1回以上モニタリングすることが求められます。将来★4を目指す場合は、Entra のログを外部ストレージへ転送する構成やログ管理製品を早めに検討してください。
90日での実装ロードマップ
優先順位をつけた実装順序です。他の対策の前提になるものから着手します。
第1〜2週：現状把握
- ライセンス構成と割り当て状況の確認
- 統合監査ログが有効かどうかの確認（無効なら即時有効化）
- 管理者ロールの割り当て状況の棚卸し
- Secure Score の初期値を記録
第3〜6週：ID周りの実装
- 緊急用アカウントの作成
- 条件付きアクセスによる多要素認証の展開（パイロット→全社）
- 管理者アカウントの分離
- 端末のロック制御・PINポリシーの適用
- 入退社時の手順書作成
多要素認証の全社展開は、周知期間を含めて余裕を持って進めてください。 突然の強制は業務停止のリスクがあります。
第7〜10週：端末とデータ
- Intune へのデバイス登録（＝資産台帳の自動化）
- コンプライアンスポリシーの適用
- 更新リングの構成（14日以内の適用期限を満たす設定）
- Defender for Business のオンボーディングとスキャン設定の配布
- 外部共有設定の見直し
- 保持ポリシーとDLPの設定
第11〜13週：運用と文書
- 月次のログ確認手順の策定と初回実施
- 規程類の整備、機密情報台帳の作成
- 従業員教育の実施と受講記録の作成
- バックアップ設計とリストア手順書の整備
- 証跡の整理と自己評価シートへの記入
技術設定そのものは、経験があれば数日でできる作業です。時間がかかるのは、規程の整備、社内調整、そして運用を回して記録を作る部分です。ここを見込んだスケジュールを組んでください。★3・★4の申請受付開始は2027年3月頃の予定なので、2026年内に技術実装を終え、年明けに文書と証跡を仕上げるスケジュールが余裕を持てます。
よくある落とし穴
セキュリティ既定値群と条件付きアクセスの併用 この2つは同時に有効化できません。条件付きアクセスを使う場合はセキュリティ既定値群を無効化する必要があり、無効化した瞬間から条件付きアクセスのポリシーが唯一の防御になります。ポリシーを先に作ってから切り替えてください。
監査ログが無効のまま時間が経過 有効化前の期間のログは取得できません。★3対応を検討し始めた時点で、まずここを確認してください。
更新リングを作っただけで期限を確認していない 4-4-4-2は14日以内という具体的な期限を示しています。更新リングの猶予期間や再起動の延期設定が緩いと、リングを構成していても期限を超過します。レポートで実際の適用状況を確認してください。
Intune登録を「全端末」でやろうとして頓挫する 私物端末や特殊な業務端末が混在していると、一律の登録は難航します。まず業務用の会社支給PCから始め、例外はルールとして文書化するアプローチが現実的です。
サーバやNASが対象から漏れる 4-4-5-1は「ネットワークに接続しているすべてのパソコン及びサーバ」への対策ソフト導入を求めています。クラウド移行が進んでいても、オンプレのファイルサーバーが1台残っているケースは多く、そこが抜けがちです。
設定はしたが記録がない 評価では設定の存在だけでなく、その根拠と実施記録が問われます。設定変更のたびに記録を残す運用を、最初の段階から作ってください。
上位プランを買ったが機能を使っていない E5 に上げたものの、PIM もアクセスレビューも未設定というケースがあります。使わない機能のためにライセンス費用を払うより、Business Premium の機能を使い切るほうが合理的です。
まとめ
Microsoft 365 環境における★3対応の要点は3つです。
- Business Premium 以上であれば、技術要件の大部分は追加購入なしで満たせる
- 足りないのはバックアップと教育、そして運用の記録
- 設定作業より、規程整備と運用の定着に時間がかかる
新しい製品を買う前に、まず今のテナントで何が有効になっていて何が未設定かを確認してください。それだけで、必要な投資額の見通しは大きく変わります。
自社の現在地を短時間で把握したい場合は、無料で公開している★3セルフチェックツールをご利用ください。登録不要で、その場で結果と対応ロードマップを確認できます。テナントの現状確認から設定実装、証跡整備までのご相談は無料相談から承っています。
参考リンク：