本記事は GitHub Copilot および Microsoft Foundry を活用して作成されています。内容の正確性については各公式ドキュメントをご確認ください。

前回の日本のお客様向け Azure Policy 実践ガイド～Built-in だけで始めるガバナンス～では、Built-in ポリシーによるガバナンスの始め方を扱いました。その中で、セキュリティ統制の中核として登場したのが Microsoft Cloud Security Benchmark v2（MCSB v2） です。

本記事はその第二弾として、MCSB v2 を実データで徹底解剖します。Azure Portal 上で実際に MCSB v2 イニシアティブを割り当て、そこからポリシー一覧・グループ・イニシアティブ定義を CSV／JSON でエクスポートした 414 ポリシー定義をもとに、「何が含まれるのか」「デフォルトでどう動くのか」「どう運用すべきか」を整理します。

想定読者: MCSB v2 の中身を正確に把握し、Defender for Cloud と組み合わせたセキュリティガバナンスを設計したい情報システム部門・クラウド基盤担当の方

注意: 本記事執筆時点（2026 年 6 月）で MCSB v2 はプレビュー（Preview）です。本番環境への適用は十分な検証のうえで行ってください。プレビュー中はポリシー内容・件数・バージョンが予告なく変更される可能性があります。最新の提供状況は Microsoft クラウドセキュリティベンチマーク v2 の概要（プレビュー）をご確認ください。

1. MCSB v2 とは？ v1 と何が違う？

1.1 MCSB（Microsoft Cloud Security Benchmark）とは

Microsoft Cloud Security Benchmark（MCSB）は、Microsoft が提供するクラウドセキュリティのベストプラクティス集であり、
Azure Policy の組み込みイニシアティブとして提供されます。CIS、NIST、PCI-DSS などの業界標準にマッピングされた
コントロール群を、Azure リソースに対して自動的に評価（監査）できます。

位置づけ: Microsoft Defender for Cloud の既定のセキュリティポリシー
形態: Azure Policy のイニシアティブ（複数ポリシーの束）
目的: マルチクラウド（Azure / AWS / GCP）対応のセキュリティ基準を統一的に評価

1.2 v1 と v2 の主な違い

観点	MCSB v1	MCSB v2
ベース標準	Azure Security Benchmark v3	Azure Security Benchmark v3 をベースに拡張
AI セキュリティ	なし	AI Security (AI-1〜AI-7) ドメインを新設
コントロール体系	11 ドメイン	12 ドメイン（AI Security 追加）
ポリシー数	約 200+	414 ポリシー定義（本データ実測）
マルチクラウド	Azure 中心	Azure / AWS / GCP を明示的に考慮
生成 AI 対応	—	プロンプト保護・コンテンツフィルタ・AI Red Teaming 等を包含

1.3 12 のセキュリティドメイン

MCSB v2 は以下のドメイン（カテゴリ）でコントロールを整理しています。

カテゴリ	略称	本イニシアティブのポリシー数
AI Security	AI	2
Network Security	NS	141
Identity Management	IM	45
Privileged Access	PA	12
Data Protection	DP	127
Asset Management	AM	4
Logging and Threat Detection	LT	42
Incident Response	IR	21
Posture and Vulnerability Management	PV	49
Endpoint Security	ES	2
Backup and Recovery	BR	7
DevOps Security	DS	2
Governance and Strategy	GS	0
合計（実ポリシー定義数）		414

注: 1 つのポリシーが複数コントロールに属する場合があるため、カテゴリ別合計の単純加算は総数と一致しません。

1.4 デフォルト Effect の分布

割り当て直後（デフォルト設定）の Effect 分布は以下の通りです。

Effect	件数	挙動
Audit（監査）	263	非準拠をログ記録（ブロックなし）
AuditIfNotExists	130	関連リソースの存在条件で監査
Disabled（無効）	16	評価しない（既定で無効）
Deny（拒否）	4	非準拠リソースの作成／更新をブロック
DeployIfNotExists	1	不足リソースを自動デプロイ（自動修復）
合計	414

ポイント: 414 件中 393 件（約 95%）が Audit／AuditIfNotExists であり、
割り当て直後は監視中心で、リソース作成をブロックしません（Deny はわずか 4 件）。

1.5 リソースに直接影響する Effect（Deny / DeployIfNotExists）の一覧と影響

Audit／AuditIfNotExists／Disabled は評価・記録のみでリソースに干渉しませんが、
Deny（4 件）と DeployIfNotExists（1 件）はリソースの作成・更新・構成を実際に変更／ブロックします。
適用前に必ず影響範囲を確認してください。

Deny（拒否）— 4 件: いずれも Kubernetes（AKS）向け

非準拠の構成ではリソースの作成・更新がブロックされます。既存クラスターのデプロイや
Pod のスケジュールに影響する可能性があるため、本番適用前にテストクラスターでの検証が必須です。

#	ポリシー名	バージョン	何をブロックするか	想定される影響
1	Kubernetes クラスター内で許可されたコンテナーイメージのみを実行する	9..	許可リスト外のレジストリ／イメージからの Pod 作成	許可されていないイメージのデプロイが拒否される。許可レジストリの事前定義が必要
2	Kubernetes クラスターで特権コンテナーを許可しない	9..	`privileged: true` の特権コンテナー	特権を要求する Pod（一部の監視/CNI/ストレージ系 DaemonSet 等）が起動できない
3	Kubernetes クラスター内の許可されたポートでのみリッスンするようにサービスを強制する	8..	許可リスト外のポートを使う Service	想定外ポートの Service 作成が拒否される。公開ポートの事前設計が必要
4	Kubernetes クラスターは HTTPS 経由でのみアクセスできる必要があります	8..	TLS 未設定の Ingress（HTTP 受信）	HTTP のみの Ingress 作成が拒否される。証明書／TLS 設定が前提になる

補足: これらは Azure Policy Add-on for AKS（Gatekeeper／OPA）を通じて評価されます。
AKS クラスターにアドオンが有効でない場合、評価対象になりません。

DeployIfNotExists（自動修復）— 1 件

条件を満たさないリソースに対して、Azure が自動的に構成変更（リソース／設定のデプロイ）を実行します。
実行にはマネージド ID と適切な RBAC 権限の付与が必要です。

#	ポリシー名	バージョン	自動で何を行うか	想定される影響
1	ローカルキーアクセスが無効 (ローカル認証が無効) になるように Azure AI サービスリソースを構成する	1..	対象の Azure AI サービスでローカル認証（APIキー認証）を無効化する設定を自動適用	キー認証で接続していたアプリ／スクリプトが認証エラーになる。Entra ID 認証への切り替えが前提

注意: DeployIfNotExists は既定では新規作成・更新時に評価され、既存リソースには
修復タスク（Remediation）を実行したときに適用されます。意図せぬ一括変更を避けるため、
修復はスコープを限定して段階的に実施してください。

2. MCSB v2 に含まれるポリシー一覧（グループ別）

各セキュリティコントロール（グループ）配下のポリシーを、ポリシー名 / デフォルト Effect / バージョンで一覧化しました。
カテゴリ単位の折りたたみ内に、コントロール別の表を収録しています。

Azure Portal では、割り当てた MCSB v2 イニシアティブの「イニシアティブコンプライアンス」画面から、
グループ（コントロール）別のコンプライアンス状況とポリシー数を確認できます。

AI Security（AI） — 2 ポリシー

AI-1 Ensure use of approved models（承認済みモデルの使用を徹底する） — 2 ポリシー

#	ポリシー名	デフォルト Effect	バージョン
1	[プレビュー]: Azure Machine Learning のデプロイでは、承認済みのレジストリモデルのみを使用する必要があります	Audit（監査）	1..-preview
2	[プレビュー]: Azure Machine Learning モデルレジストリのデプロイは、許可されているレジストリを除いて制限されています	Disabled（無効）	1..-preview

Network Security（NS） — 141 ポリシー

NS-1 Establish network segmentation boundaries（ネットワークセグメンテーション境界を確立する） — 4 ポリシー

#	ポリシー名	デフォルト Effect	バージョン
1	ご使用の仮想マシンに関連付けられたネットワークセキュリティグループでは、すべてのネットワークポートを制限する必要があります	AuditIfNotExists	3..
2	インターネットに接続されていない仮想マシンをネットワークセキュリティグループで保護する必要がある	AuditIfNotExists	3..
3	インターネットに接続されている仮想マシンをネットワークセキュリティグループで保護する必要がある	AuditIfNotExists	3..
4	サブネットはネットワークセキュリティグループに関連付けられている必要がある	Disabled（無効）	3..

NS-2 Secure cloud services with network controls（ネットワーク制御でクラウドサービスを保護する） — 127 ポリシー

#	ポリシー名	デフォルト Effect	バージョン
1	API Management ではサービス構成エンドポイントへのパブリックネットワークアクセスを無効にする必要がある	AuditIfNotExists	1..
2	API Management サービスでは仮想ネットワークを使用する必要がある	Audit（監査）	1..
3	App Configuration ではプライベートリンクをサポートする SKU を使用する必要がある	Audit（監査）	1..
4	App Configuration ではプライベートリンクを使用する必要がある	AuditIfNotExists	1..
5	App Configuration でパブリックネットワークアクセスを無効にする必要がある	Audit（監査）	1..
6	App Service Environment のアプリはパブリックインターネット経由で到達できない	Audit（監査）	3..
7	App Service アプリスロットでは、パブリックネットワークアクセスを無効にする必要がある	Audit（監査）	1..
8	App Service アプリでは、パブリックネットワークアクセスを無効にする必要がある	Audit（監査）	1..
9	App Service アプリではプライベートリンクをサポートする SKU を使用する必要がある	Audit（監査）	4..
10	App Service アプリではプライベートリンクを使用する必要があります	AuditIfNotExists	1..
11	Application Insights コンポーネントでは、パブリックネットワークからのログの取り込みとクエリをブロックする必要がある	Audit（監査）	1..
12	Automation アカウントでパブリックネットワークアクセスを無効にする必要がある	Audit（監査）	1..
13	Azure AI Search サービスでは、プライベートリンクをサポートする SKU を使用する必要がある	Audit（監査）	1..
14	Azure AI Search サービスではパブリックネットワークアクセスを無効にする必要がある	Audit（監査）	1..
15	Azure AI サービスリソースで Azure Private Link を使用する必要がある	Audit（監査）	1..
16	Azure AI サービスリソースでネットワークアクセスを制限する必要がある	Audit（監査）	3..
17	Azure API for FHIR でプライベートリンクを使用する必要がある	Audit（監査）	1..
18	Azure Arc プライベートリンクスコープでパブリックネットワークアクセスを無効にする必要がある	Audit（監査）	1..
19	Azure Arc プライベートリンクスコープはプライベートエンドポイントを使用して構成する必要がある	Audit（監査）	1..
20	Azure Arc 対応 Kubernetes クラスターは Azure Arc プライベートリンクスコープを使用して構成する必要がある	Audit（監査）	1..
21	Azure Arc 対応サーバーは Azure Arc プライベートリンクスコープを使用して構成する必要がある	Audit（監査）	1..
22	Azure Attestation プロバイダーはパブリックネットワークアクセスを無効にする必要がある	Audit（監査）	1..
23	Azure Cache for Redis Enterprise でプライベートリンクを使用する必要がある	AuditIfNotExists	1..
24	Azure Cache for Redis でパブリックネットワークアクセスを無効にする必要がある	Audit（監査）	1..
25	Azure Cache for Redis でプライベートリンクを使用する必要がある	AuditIfNotExists	1..
26	Azure Cosmos DB でパブリックネットワークアクセスを無効にする必要がある	Audit（監査）	1..
27	Azure Cosmos DB のアカウントにはファイアウォール規則を含める必要がある	Audit（監査）	2..
28	Azure Data Explorer ではプライベートリンクをサポートする SKU を使用する必要がある	Audit（監査）	1..
29	Azure Data Explorer のパブリックネットワークアクセスを無効にする必要がある	Audit（監査）	1..
30	Azure Data Explorer クラスターはプライベートリンクを使用する必要がある	Audit（監査）	1..
31	Azure Data Factory のパブリックネットワークアクセスを無効にする必要がある	Audit（監査）	1..
32	Azure Databricks クラスターはパブリック IP を無効にする必要がある	Audit（監査）	1..
33	Azure Databricks ワークスペースではパブリックネットワークアクセスを無効にする必要があります	Audit（監査）	1..
34	Azure Databricks ワークスペースは Private Link や暗号化用カスタマーマネージドキーなどの機能をサポートしている Premium SKU である必要がある	Audit（監査）	1..
35	Azure Databricks ワークスペースはプライベートリンクを使用する必要がある	Audit（監査）	1..
36	Azure Databricks ワークスペースは仮想ネットワーク内に存在する必要がある	Audit（監査）	1..
37	Azure Device Update for IoT Hub アカウントではプライベートリンクを使用する必要がある	AuditIfNotExists	1..
38	Azure Event Grid トピックでは、公衆ネットワークアクセスを無効にする必要がある	Audit（監査）	1..
39	Azure Event Grid トピックではプライベートリンクを使用する必要がある	Audit（監査）	1..
40	Azure Event Grid ドメインではプライベートリンクを使用する必要がある	Audit（監査）	1..
41	Azure Event Grid ドメインでは公衆ネットワークアクセスを無効にする必要がある	Audit（監査）	1..
42	Azure Event Grid 名前空間 MQTT ブローカーがプライベートリンクを使用する必要がある	Audit（監査）	1..
43	Azure Event Grid 名前空間では公衆ネットワークアクセスを無効にする必要がある	Audit（監査）	1..
44	Azure Event Grid 名前空間トピックブローカーがプライベートリンクを使用する必要がある	Audit（監査）	1..
45	Azure File Sync ではプライベートリンクを使用する必要がある	AuditIfNotExists	1..
46	Azure File Sync のパブリックネットワークアクセスを無効にする必要がある	Audit（監査）	1..
47	Azure Front Door プロファイルでは、マネージド WAF ルールとプライベートリンクをサポートする Premium レベルを使用する必要がある	Audit（監査）	1..
48	Azure HDInsight ではプライベートリンクを使用する必要がある	AuditIfNotExists	1..
49	Azure Health Data Services の匿名化サービスでパブリックネットワークアクセスが無効になっている必要があります	Audit（監査）	1..
50	Azure Health Data Services の匿名化サービスでプライベートリンクが使用されている必要があります	Audit（監査）	1..
51	Azure Health Data Services ワークスペースではプライベートリンクを使用する必要がある	Audit（監査）	1..
52	Azure IoT ハブのパブリックネットワークアクセスを無効にする必要がある	Audit（監査）	1..
53	Azure Key Vault はパブリックネットワークアクセスを無効にする必要がある	Audit（監査）	1..
54	Azure Key Vault はプライベートリンクを使用する必要がある	Disabled（無効）	1..-preview
55	Azure Key Vaultでファイアウォールを有効にするか、パブリックネットワークアクセスを無効にする必要がある	Audit（監査）	3..
56	Azure Machine Learning コンピューティングは仮想ネットワーク内に存在する必要がある	Audit（監査）	1..
57	Azure Machine Learning ワークスペースではプライベートリンクを使用する必要がある	Audit（監査）	1..
58	Azure Machine Learning ワークスペースで公衆ネットワークアクセスを無効にする必要がある	Audit（監査）	2..
59	Azure Machine Learningと AI Studio では、[承認された送信マネージド VNet のみを許可する] モードを必要があります	Audit（監査）	1..
60	Azure Managed Grafana ワークスペースではプライベートリンクを使用する必要がある	Audit（監査）	1..
61	Azure Managed Grafana ワークスペースでパブリックネットワークアクセスを無効にする必要がある	Audit（監査）	1..
62	Azure Monitor Private Link スコープで Private Link 以外のリソースへのアクセスをブロックする必要がある	Audit（監査）	1..
63	Azure Monitor プライベートリンクスコープではプライベートリンクを使用する必要がある	AuditIfNotExists	1..
64	Azure Purview アカウントではプライベートリンクを使用する必要がある	Audit（監査）	1..
65	Azure SQL Database のパブリックネットワークアクセスを無効にする必要がある	Audit（監査）	1..
66	Azure SQL Database のプライベートエンドポイント接続を有効にする必要がある	Audit（監査）	1..
67	Azure SQL Managed Instance でパブリックネットワークアクセスを無効にする必要がある	Audit（監査）	1..
68	Azure Service Bus 名前空間でプライベートリンクを使用する必要がある	AuditIfNotExists	1..
69	Azure SignalR Service では Private Link 対応の SKU を使用する必要がある	Audit（監査）	1..
70	Azure SignalR Service ではパブリックネットワークアクセスを無効にする必要がある	Audit（監査）	1..
71	Azure SignalR Service ではプライベートリンクを使用する必要がある	Audit（監査）	1..
72	Azure Spring Cloud でネットワークの挿入を使用する必要がある	Audit（監査）	1..
73	Azure Synapse ワークスペースではプライベートリンクを使用する必要がある	Audit（監査）	1..
74	Azure Synapse ワークスペースでパブリックネットワークアクセスを無効にする必要がある	Audit（監査）	1..
75	Azure Virtual Desktop サービスではプライベートリンクを使用する必要がある	Audit（監査）	1..
76	Azure Virtual Desktop ホストプールでは、セッションホストでのみパブリックネットワークアクセスを無効にする必要がある	Audit（監査）	1..
77	Azure Virtual Desktop ホストプールではパブリックネットワークアクセスを無効にする必要がある	Audit（監査）	1..
78	Azure Virtual Desktop ワークスペースではパブリックネットワークアクセスを無効にする必要がある	Audit（監査）	1..
79	Azure Web PubSub サービスではパブリックネットワークアクセスを無効にする必要がある	Audit（監査）	1..
80	Azure Web PubSub サービスではプライベートリンクをサポートする SKU を使用する必要がある	Audit（監査）	1..
81	Azure Web PubSub サービスではプライベートリンクを使用する必要がある	Audit（監査）	1..
82	Azure データファクトリにはプライベートリンクを使用する必要がある	AuditIfNotExists	1..
83	Batch アカウントでは公衆ネットワークアクセスを無効にする必要がある	Audit（監査）	1..
84	Bot Service ではパブリックネットワークアクセスを無効にする必要がある	Audit（監査）	1..
85	BotService リソースではプライベートリンクを使用する必要がある	Audit（監査）	1..
86	Container Apps 環境ではパブリックネットワークアクセスを無効にする必要がある	Audit（監査）	1..
87	CosmosDB アカウントでプライベートリンクを使用する必要がある	Audit（監査）	1..
88	ElasticSan ではパブリックネットワークアクセスを無効にする必要がある	Audit（監査）	1..
89	Event Hubs 名前空間でプライベートリンクを使用する必要がある	AuditIfNotExists	1..
90	IoT Central ではプライベートリンクを使用する必要がある	Audit（監査）	1..
91	IoT Central に対してパブリックネットワークアクセスを無効にする必要がある	Audit（監査）	1..
92	IoT Hub Device Provisioning Service インスタンスでパブリックネットワークアクセスを無効にする必要がある	Audit（監査）	1..
93	IoT Hub Device Provisioning Service インスタンスでプライベートリンクを使用する必要がある	Audit（監査）	1..
94	IoT Hub アカウント用の Azure Device Update に対する公衆ネットワークアクセスを無効にする必要がある	Audit（監査）	1..
95	Kubernetes Services では許可された IP 範囲を定義する必要がある	Audit（監査）	2..
96	Log Analytics ワークスペースでは、パブリックネットワークからのログの取り込みとクエリをブロックする必要がある	Audit（監査）	1..
97	MariaDB サーバーではプライベートエンドポイントを有効にする必要がある	AuditIfNotExists	1..
98	MariaDB サーバーに対して公衆ネットワークアクセスを無効にする必要がある	Audit（監査）	2..
99	MariaDB サーバーに対して公衆ネットワークアクセスを無効にする必要がある	Audit（監査）	2..
100	MySQL サーバーではプライベートエンドポイントを有効にする必要がある	AuditIfNotExists	1..
101	MySQL サーバーに対して公衆ネットワークアクセスを無効にする必要がある	Audit（監査）	2..
102	MySQL フレキシブルサーバーに対してパブリックネットワークアクセスを無効にする必要がある	Audit（監査）	2..
103	PostgreSQL サーバーではプライベートエンドポイントを有効にする必要がある	AuditIfNotExists	1..
104	PostgreSQL サーバーに対して公衆ネットワークアクセスを無効にする必要がある	Audit（監査）	2..
105	PostgreSQL フレキシブルサーバーに対してパブリックネットワークアクセスを無効にする必要がある	Audit（監査）	3..
106	Service Bus 名前空間ではパブリックネットワークアクセスを無効にする必要があります	Audit（監査）	1..
107	VM Image Builder テンプレートではプライベートリンクを使用する	Audit（監査）	1..
108	[プレビュー]: Azure Key Vault マネージド HSM でパブリックネットワークアクセスを無効にする必要がある	Audit（監査）	1..-preview
109	[プレビュー]: Azure Key Vault マネージド HSM でプライベートリンクを使用する必要がある	Audit（監査）	1..-preview
110	[プレビュー]: Azure Recovery Services コンテナーではバックアップにプライベートリンクを使用する必要がある	Audit（監査）	2..-preview
111	[プレビュー]: Recovery Services コンテナーではプライベートリンクを使用する必要がある	Audit（監査）	1..-preview
112	イベントハブ名前空間ではパブリックネットワークアクセスを無効にする必要があります	Audit（監査）	1..
113	コンテナーレジストリではプライベートリンクを使用する必要がある	Audit（監査）	1..
114	コンテナーレジストリでは無制限のネットワークアクセスを許可しない	Audit（監査）	2..
115	コンテナーレジストリにはプライベートリンクをサポートする SKU が必要である	Audit（監査）	1..
116	コンテナーレジストリに対してパブリックネットワークアクセスを無効にする必要がある	Audit（監査）	1..
117	ストレージアカウントでは、仮想ネットワーク規則を使用してネットワークアクセスを制限する必要がある (Databricks によって作成されたストレージアカウントを除く)	Audit（監査）	1..
118	ストレージアカウントではネットワークアクセスを制限する必要があります	Disabled（無効）	1..
119	ストレージアカウントではプライベートリンクを使用する必要がある	AuditIfNotExists	2..
120	ストレージアカウントではプライベートリンクを使用する必要がある (Databricks によって作成されたストレージアカウントを除く)	AuditIfNotExists	1..
121	ストレージアカウントでパブリックネットワークアクセスを無効にする必要がある	Audit（監査）	1..
122	ストレージアカウントのパブリックアクセスを禁止する必要がある	Audit（監査）	3..-preview
123	ストレージアカウントは、仮想ネットワーク規則を使用してネットワークアクセスを制限する必要がある	Audit（監査）	1..
124	ディスクアクセスリソースにはプライベートリンクを使用する必要がある	AuditIfNotExists	1..
125	マネージドディスクで公衆ネットワークアクセスを無効にする必要がある	Audit（監査）	2..
126	関数アプリスロットでは、パブリックネットワークアクセスを無効にする必要がある	Audit（監査）	1..
127	関数アプリでは、パブリックネットワークアクセスを無効にする必要がある	Audit（監査）	1..

NS-3 Deploy firewall at the edge of enterprise network（企業ネットワークの境界にファイアウォールを配置する） — 4 ポリシー

#	ポリシー名	デフォルト Effect	バージョン
1	[プレビュー]: すべてのインターネットトラフィックはデプロイされた Azure Firewall を介してルーティングする	AuditIfNotExists	3..-preview
2	仮想マシンで管理ポートを閉じる必要がある	AuditIfNotExists	3..
3	仮想マシンの管理ポートは、Just-In-Time のネットワークアクセス制御で保護する必要があります	AuditIfNotExists	3..
4	仮想マシン上の IP 転送を無効にする必要がある	AuditIfNotExists	3..

NS-5 Deploy DDOS protection（DDoS 保護を展開する） — 2 ポリシー

#	ポリシー名	デフォルト Effect	バージョン
1	Azure DDoS Protection を有効にする必要がある	AuditIfNotExists	3..
2	仮想ネットワークを Azure DDoS Protection によって保護する必要がある	Audit（監査）	1..

NS-6 Deploy web application firewall（Web アプリケーションファイアウォールを展開する） — 2 ポリシー

#	ポリシー名	デフォルト Effect	バージョン
1	Azure Front Door エントリポイントに対して Azure Web Application Firewall を有効にする必要がある	Audit（監査）	1..
2	アプリケーションゲートウェイに対して Web アプリケーションファイアウォール (WAF) を有効にする必要がある	Audit（監査）	2..

NS-8 Detect and disable insecure services and protocols（安全でないサービス・プロトコルを検出して無効化する） — 2 ポリシー

#	ポリシー名	デフォルト Effect	バージョン
1	App Service アプリは最新の TLS バージョンを使用する必要があります	AuditIfNotExists	2..
2	関数アプリは最新の TLS バージョンを使用する必要があります	AuditIfNotExists	2..

Identity Management（IM） — 45 ポリシー

IM-1 Use centralized identity and authentication system（一元化された ID・認証システムを使用する） — 22 ポリシー

#	ポリシー名	デフォルト Effect	バージョン
1	App Service アプリでは、FTP デプロイに対してローカル認証の方法を無効にする必要があります	AuditIfNotExists	1..
2	App Service アプリでは、SCM サイトのデプロイに対してローカル認証の方法を無効にする必要があります	AuditIfNotExists	1..
3	Application Insights コンポーネントでは、非 Azure Active Directory ベースの取り込みをブロックする必要がある。	Audit（監査）	1..
4	Azure AI サービスリソースでキーアクセスを無効にする (ローカル認証を無効にする) 必要がある	Audit（監査）	1..
5	Azure Kubernetes Service クラスターで Microsoft Entra ID 統合を有効にする必要がある	Audit（監査）	1..
6	Azure Machine Learning コンピューティングでローカル認証方法を無効にする必要がある	Audit（監査）	2..
7	Azure SQL Managed Instance では、作成時に Microsoft Entra のみの認証を有効にする必要がある	Audit（監査）	1..
8	Azure SQL Managed Instanceでは Microsoft Entra のみの認証を有効にする必要がある	Audit（監査）	1..
9	Azure SQL データベースでは Microsoft Entra のみの認証を有効にする必要がある	Audit（監査）	1..
10	Azure SQL 論理サーバーでは、作成時に Microsoft Entra のみの認証を有効にする必要がある	Audit（監査）	1..
11	Cosmos DB データベースアカウントでは、ローカル認証方法を無効にする必要がある	Audit（監査）	1..
12	PostgreSQL サーバーに対して Microsoft Entra 管理者をプロビジョニングする必要がある	AuditIfNotExists	1..
13	SQL Server に対して Azure Active Directory 管理者をプロビジョニングする必要がある	AuditIfNotExists	1..
14	Service Fabric クラスターでは、クライアント認証に Azure Active Directory のみを使用する必要がある	Audit（監査）	1..
15	Synapse ワークスペースでは Microsoft Entra のみの認証を有効にする必要がある	Audit（監査）	1..
16	Synapse ワークスペースは、ワークスペースの作成時は認証に Microsoft Entra ID のみを使用する必要がある	Audit（監査）	1..
17	VPN ゲートウェイでは、ポイント対サイトユーザーに対して Azure Active Directory (Azure AD) 認証のみを使用する必要があります	Audit（監査）	1..
18	[プレビュー]: Azure PostgreSQL フレキシブルサーバーで Microsoft Entra 専用認証が有効になっている必要がある	Audit（監査）	1..-preview
19	コンテナーレジストリでは、ローカル管理者アカウントが無効になっている必要があります。	Audit（監査）	1..
20	ストレージアカウントでは、共有キーのアクセスを禁止する必要がある	Audit（監査）	2..
21	ストレージアカウントで共有キーへのアクセスを禁止する必要がある (Databricks によって作成されたストレージアカウントを除く)	Audit（監査）	1..
22	ローカルキーアクセスが無効 (ローカル認証が無効) になるように Azure AI サービスリソースを構成する	DeployIfNotExists	1..

IM-2 Protect identity and authentication system（ID・認証システムを保護する） — 1 ポリシー

#	ポリシー名	デフォルト Effect	バージョン
1	リソースを作成または更新するには、ユーザーが多要素認証を使用して認証する必要があります	Audit（監査）	1..

IM-3 Manage application identities securely and automatically（アプリケーション ID を安全かつ自動的に管理する） — 15 ポリシー

#	ポリシー名	デフォルト Effect	バージョン
1	App Service アプリスロットでは、マネージド ID を使用する必要がある	AuditIfNotExists	1..
2	App Service アプリではマネージド ID を使用する必要があります	AuditIfNotExists	3..
3	Automation アカウントではマネージド ID を使用する必要がある	Audit（監査）	1..
4	Azure Data Factory のリンクされたサービスではシステム割り当てマネージド ID 認証を使用する必要がある (サポートされている場合)	Audit（監査）	2..
5	Azure Machine Learning ワークスペースではユーザー割り当てマネージド ID を使用する必要がある	Audit（監査）	1..
6	Cognitive Services アカウントではマネージド ID を使用する必要がある	Audit（監査）	1..
7	Stream Analytics ジョブは、エンドポイントを認証するためにマネージド ID を使用する必要がある	Audit（監査）	1..
8	[プレビュー]: Azure Kubernetes からのマネージド ID フェデレーション資格情報は、信頼できるソースからのものである必要がある	Audit（監査）	1..-preview
9	[プレビュー]: GitHub からのマネージド ID フェデレーション資格情報は、信頼できるリポジトリ所有者からのものである必要がある	Audit（監査）	1..-preview
10	[プレビュー]: ご使用のマシンでマネージド ID を有効にする必要があります	Audit（監査）	1..-preview
11	[プレビュー]: マネージド ID フェデレーション資格情報は、許可された発行者の種類からのものである必要がある	Audit（監査）	1..-preview
12	コンテナーアプリに対してマネージド ID を有効にする必要がある	Audit（監査）	1..
13	仮想マシンのゲスト構成拡張機能は、システム割り当てマネージド ID を使用してデプロイする必要がある	AuditIfNotExists	1..
14	通信サービスリソースではマネージド ID を使用する必要がある	Audit（監査）	1..
15	関数アプリではマネージド ID を使用する必要があります	AuditIfNotExists	3..

IM-4 Authenticate server and services（サーバーとサービスを認証する） — 4 ポリシー

#	ポリシー名	デフォルト Effect	バージョン
1	API Management から API バックエンドへの呼び出しでは、証明書の拇印または名前の検証をバイパスすることはできない	Audit（監査）	1..
2	API Management から API バックエンドへの呼び出しは認証する必要がある	Audit（監査）	1..
3	Azure API Management の API エンドポイントを認証する必要がある	AuditIfNotExists	1..
4	Azure SQL Databaseは TLS バージョン 1.2 以降を実行している必要があります	Audit（監査）	2..

IM-6 Use strong authentication controls（強力な認証制御を使用する） — 1 ポリシー

#	ポリシー名	デフォルト Effect	バージョン
1	Linux マシンに対する認証には SSH キーが必要	AuditIfNotExists	3..

IM-8 Restrict the exposure of credential and secrets（資格情報・シークレットの露出を制限する） — 2 ポリシー

#	ポリシー名	デフォルト Effect	バージョン
1	API Management のシークレット名付きの値は Azure Key Vault に保存する必要がある	Audit（監査）	1..
2	マシンではシークレットの検出結果が解決されている必要がある	AuditIfNotExists	1..

Privileged Access（PA） — 12 ポリシー

PA-1 Separate and limit highly privileged/administrative users（高権限・管理者ユーザーを分離・制限する） — 4 ポリシー

#	ポリシー名	デフォルト Effect	バージョン
1	Azure リソースに対する所有者アクセス許可を持つ、ブロックされているアカウントを削除する必要がある	AuditIfNotExists	1..
2	Azure リソースに対する所有者アクセス許可を持つゲストアカウントを削除する必要がある	AuditIfNotExists	1..
3	サブスクリプションには最大 3 人の所有者を指定する必要がある	AuditIfNotExists	3..
4	サブスクリプションに複数の所有者が割り当てられている必要がある	AuditIfNotExists	3..

PA-2 Avoid standing access for accounts and permissions（アカウント・権限の常時アクセスを避ける） — 1 ポリシー

#	ポリシー名	デフォルト Effect	バージョン
1	仮想マシンの管理ポートは、Just-In-Time のネットワークアクセス制御で保護する必要があります	AuditIfNotExists	3..

PA-4 Review and reconcile user access regularly（ユーザーアクセスを定期的にレビュー・棚卸しする） — 5 ポリシー

#	ポリシー名	デフォルト Effect	バージョン
1	Azure リソースに対する所有者アクセス許可を持つ、ブロックされているアカウントを削除する必要がある	AuditIfNotExists	1..
2	Azure リソースに対する所有者アクセス許可を持つゲストアカウントを削除する必要がある	AuditIfNotExists	1..
3	Azure リソースに対する書き込みアクセス許可を持つゲストアカウントを削除する必要がある	AuditIfNotExists	1..
4	Azure リソースに対する読み取りおよび書き込みアクセス許可を持つ、ブロックされているアカウントは削除する必要がある	AuditIfNotExists	1..
5	Azure リソースに対する読み取りアクセス許可を持つゲストアカウントを削除する必要がある	AuditIfNotExists	1..

PA-7 Follow just enough administration (least privilege) principle（必要最小限の管理（最小権限）の原則に従う） — 4 ポリシー

#	ポリシー名	デフォルト Effect	バージョン
1	API Management サブスクリプションのスコープをすべての API に限定することはできません	Audit（監査）	1..
2	Azure Key Vaultでは RBAC アクセス許可モデルを使用する必要がある	Audit（監査）	1..
3	Kubernetes Services ではロールベースのアクセス制御 (RBAC) を使用する必要がある	Audit（監査）	1..
4	カスタム RBAC ロールの使用状況を監査する	Audit（監査）	1..

Data Protection（DP） — 127 ポリシー

DP-1 Discover, classify, and label sensitive data（機密データを検出・分類・ラベル付けする） — 1 ポリシー

#	ポリシー名	デフォルト Effect	バージョン
1	Microsoft Defender for API を有効にする必要がある	AuditIfNotExists	1..

DP-2 Monitor anomalies and threats targeting sensitive data（機密データを狙う異常・脅威を監視する） — 6 ポリシー

#	ポリシー名	デフォルト Effect	バージョン
1	Azure Defender for Azure SQL Database servers を有効にする必要がある	AuditIfNotExists	1..
2	Azure Defender for SQL servers on machines を有効にする必要がある	AuditIfNotExists	1..
3	Microsoft Defender for API を有効にする必要がある	AuditIfNotExists	1..
4	Microsoft Defender for Storage を有効にする必要がある	AuditIfNotExists	1..
5	オープンソースリレーショナルデータベース用 Azure Defender を有効にする必要があります	AuditIfNotExists	1..
6	保護されていない SQL マネージドインスタンスに対して、Azure Defender for SQL を有効にする必要がある	AuditIfNotExists	1..

DP-3 Encrypt sensitive data in transit（転送中の機密データを暗号化する） — 31 ポリシー

#	ポリシー名	デフォルト Effect	バージョン
1	API Management の API では暗号化されたプロトコルのみを使用する必要がある	Audit（監査）	2..
2	App Serivce アプリには FTPS のみを必要とします	AuditIfNotExists	3..
3	App Service Environment では、TLS 1.0 および 1.1 を無効にする必要があります	Audit（監査）	2..
4	App Service Environment では内部暗号化を有効にする必要があります	Audit（監査）	1..
5	App Service Environment は最強の TLS 暗号スイートを使用して構成する必要がある	Audit（監査）	1..
6	App Service アプリスロットでは、最新の TLS バージョンを使用する必要がある	AuditIfNotExists	1..
7	App Service アプリでエンドツーエンドの暗号化を有効にする必要がある	Audit（監査）	1..
8	App Service アプリに HTTPS を介してのみアクセスできるようにする	Audit（監査）	4..
9	App Service アプリは最新の TLS バージョンを使用する必要があります	AuditIfNotExists	2..
10	Azure Batch プールでは、ディスク暗号化を有効にする必要があります	Audit（監査）	1..
11	Azure Cache for Redis へのセキュリティで保護された接続のみを有効にする必要がある	Audit（監査）	1..
12	Azure Front Door Standard と Premium では、最低 TLS バージョン 1.2 が実行されている必要があります	Audit（監査）	1..
13	Azure HDInsight クラスターでは、Azure HDInsight クラスターノード間の通信を暗号化するために転送中の暗号化を使用する必要がある	Audit（監査）	1..
14	Azure SQL Databaseは TLS バージョン 1.2 以降を実行している必要があります	Audit（監査）	2..
15	Bot Service エンドポイントは有効な HTTPS URI である必要があります	Audit（監査）	1..
16	Kubernetes クラスターは HTTPS 経由でのみアクセスできる必要があります	Deny（拒否）	8..
17	MySQL データベースサーバーでは [SSL 接続を強制する] が有効でなければならない	Audit（監査）	1..
18	PostgreSQL データベースサーバーでは [SSL 接続を強制する] が有効でなければならない	Audit（監査）	1..
19	PostgreSQL フレキシブルサーバーで TLS バージョン 1.2 以上が実行されている必要がある	AuditIfNotExists	1..
20	SQL マネージドインスタンスには少なくともバージョン 1.2 の TLS が必要	Audit（監査）	1..
21	[プレビュー]: ホストと VM のネットワークは、Azure Stack HCI システムで保護する必要がある	AuditIfNotExists	1..-preview
22	アプリスロットApp Serviceエンドツーエンドの暗号化を有効にする必要がある	Audit（監査）	1..
23	ストレージアカウントには、指定された TLS の最小バージョンが必要です	Audit（監査）	1..
24	ストレージアカウントへの安全な転送を有効にする必要がある	Audit（監査）	2..
25	セキュリティで保護された通信プロトコルを使用するように Windows マシンを構成する必要がある	AuditIfNotExists	4..
26	関数アプリスロットでは、最新の TLS バージョンを使用する必要がある	AuditIfNotExists	1..
27	関数アプリスロットでエンドツーエンドの暗号化を有効にする必要がある	Audit（監査）	1..
28	関数アプリでエンドツーエンドの暗号化を有効にする必要がある	Audit（監査）	1..
29	関数アプリに HTTPS を介してのみアクセスできるようにする	Audit（監査）	5..
30	関数アプリには FTPS のみを必要とします	AuditIfNotExists	3..
31	関数アプリは最新の TLS バージョンを使用する必要があります	AuditIfNotExists	2..

DP-4 Enable data at rest encryption by default（保存データの暗号化を既定で有効にする） — 25 ポリシー

#	ポリシー名	デフォルト Effect	バージョン
1	Arc SQL Managed Instance に対して Transparent Data Encryption を有効にする必要があります。	Audit（監査）	1..
2	Automation アカウントの変数は暗号化する必要があります	Audit（監査）	1..
3	Azure Data Box ジョブで、デバイス上の保存データについて二重暗号化を有効にする必要がある	Audit（監査）	1..
4	Azure Data Explorer でディスク暗号化を有効にする必要がある	Audit（監査）	2..
5	Azure Data Explorer で二重暗号化を有効にする必要がある	Audit（監査）	2..
6	Azure Database for MySQL サーバーに対してインフラストラクチャ暗号化を有効にする必要がある	Audit（監査）	1..
7	Azure Database for PostgreSQL サーバーに対してインフラストラクチャ暗号化を有効にする必要がある	Audit（監査）	1..
8	Azure Edge Hardware Center のデバイスでは二重暗号化のサポートが有効になっている必要がある	Audit（監査）	2..
9	Azure HDInsight クラスターで、保存データを暗号化するためにホストで暗号化を使用する必要がある	Audit（監査）	1..
10	Azure Kubernetes Service クラスター内のエージェントノードプールの一時ディスクとキャッシュは、ホストで暗号化する必要がある	Audit（監査）	1..
11	Azure Monitor ログクラスターはインフラストラクチャ暗号化を有効にして作成する必要がある (二重暗号化)	Audit（監査）	1..
12	Azure MySQL フレキシブルサーバーで Microsoft Entra 専用認証が有効になっている必要がある	AuditIfNotExists	1..
13	Azure NetApp Files SMB ボリュームでは SMB3 暗号化を使用する必要があります	Audit（監査）	1..
14	Azure Stack Edge デバイスでは二重暗号化を使用する必要がある	Audit（監査）	1..
15	Linux 仮想マシンでは、Azure Disk Encryption かEncryptionAtHost を有効にする必要があります。	AuditIfNotExists	1..
16	MySQL サーバーに対して Microsoft Entra 管理者をプロビジョニングする必要がある	AuditIfNotExists	1..
17	NFSv4.1 型の Azure NetApp Files ボリュームでは Kerberos データ暗号化を使用する必要があります	Audit（監査）	1..
18	SQL データベースで Transparent Data Encryption を有効にする必要がある	AuditIfNotExists	2..
19	Service Fabric クラスターでは、ClusterProtectionLevel プロパティを EncryptAndSign に設定する必要がある	Audit（監査）	1..
20	Windows 仮想マシンでは、Azure Disk Encryption か EncryptionAtHost を有効にする必要があります。	AuditIfNotExists	1..
21	イベントハブの名前空間では二重暗号化を有効にする必要があります	Audit（監査）	1..
22	サービスハブの名前空間では二重暗号化を有効にする必要があります	Audit（監査）	1..
23	ストレージアカウントにはインフラストラクチャの暗号化が必要	Audit（監査）	1..
24	マネージドディスクはプラットフォームマネージドキーとカスタマーマネージドキーの両方を使用して二重暗号化する必要がある	Audit（監査）	1..
25	仮想マシンおよび仮想マシンスケールセットでは、ホストでの暗号化が有効になっている必要がある	Audit（監査）	1..

DP-5 Use customer-managed key option in data at rest encryption when required（必要に応じて保存データ暗号化でカスタマーマネージドキーを使用する） — 46 ポリシー

#	ポリシー名	デフォルト Effect	バージョン
1	Azure AI サービスリソースでは保存データをカスタマーマネージドキー (CMK) で暗号化する必要がある	Disabled（無効）	2..
2	Azure API for FHIR での保存データの暗号化には、カスタマーマネージドキーを使用する必要がある	Audit（監査）	1..
3	Azure Automation アカウントでは、保存データを暗号化するためにカスタマーマネージドキーを使用する必要がある	Audit（監査）	1..
4	Azure Batch アカウントではデータを暗号化するためにカスタマーマネージドキーを使用する必要がある	Audit（監査）	1..
5	Azure Cache for Redis Enterprise では、ディスクデータの暗号化にカスタマーマネージドキーを使用する必要がある	Audit（監査）	1..
6	Azure Container Instance コンテナーグループでは、暗号化にカスタマーマネージドキーを使用する必要がある	Audit（監査）	1..
7	Azure Cosmos DB アカウントでは保存データを暗号化するためにカスタマーマネージドキーを使用する必要がある	Disabled（無効）	1..
8	Azure Data Box ジョブで、デバイスのロック解除用パスワードを暗号化するためにカスタマーマネージドキーを使用する必要がある	Audit（監査）	1..
9	Azure Data Explorer における保存時の暗号化でカスタマーマネージドキーを使用する必要がある	Audit（監査）	1..
10	Azure Databricks ワークスペースは Private Link や暗号化用カスタマーマネージドキーなどの機能をサポートしている Premium SKU である必要がある	Audit（監査）	1..
11	Azure Device Update アカウントでは保存データを暗号化するためにカスタマーマネージドキーを使用する必要がある	Audit（監査）	1..
12	Azure HDInsight クラスターでは保存データを暗号化するためにカスタマーマネージドキーを使用する必要がある	Audit（監査）	1..
13	Azure Health Bot では保存データを暗号化するためにカスタマーマネージドキーを使用する必要がある	Audit（監査）	1..
14	Azure Kubernetes Service クラスター内のオペレーティングシステムとデータディスクの両方がカスタマーマネージドキーによって暗号化されている必要がある	Audit（監査）	1..
15	Azure Load Testing リソースでは、保存データを暗号化するためにカスタマーマネージドキーを使用する必要がある	Audit（監査）	1..
16	Azure Machine Learning ワークスペースは、カスタマーマネージドキーを使用して暗号化する必要があります	AuditIfNotExists	1..
17	Azure Machine Learning ワークスペースは、カスタマーマネージドキーを使用して暗号化する必要がある	Disabled（無効）	1..
18	Azure Monitor ログクラスターは、カスタマーマネージドキーを使用して暗号化する必要がある	Audit（監査）	1..
19	Azure Stream Analytics ジョブでは、データの暗号化にカスタマーマネージドキーを使用する必要がある	Audit（監査）	1..
20	Azure Synapse ワークスペースでは保存データを暗号化するためにカスタマーマネージドキーを使用する必要がある	Audit（監査）	1..
21	Azure データファクトリは、カスタマーマネージドキーを使用して暗号化する必要がある	Audit（監査）	1..
22	Bot Service はカスタマーマネージドキーを使用して暗号化される必要がある	Audit（監査）	1..
23	DICOM サービスでの保存データの暗号化には、カスタマーマネージドキーを使用する必要がある	Audit（監査）	1..
24	ElasticSan ボリュームグループでは保存データを暗号化するためにカスタマーマネージドキーを使用する必要がある	Audit（監査）	1..
25	Event Hubs の名前空間では、暗号化のためにカスタマーマネージドキーを使用する必要がある	Audit（監査）	1..
26	FHIR サービスでの保存データの暗号化には、カスタマーマネージドキーを使用する必要がある	Audit（監査）	1..
27	Fluid Relay では保存データを暗号化するためにカスタマーマネージドキーを使用する必要がある	Audit（監査）	1..
28	HPC Cache アカウントでは、暗号化にカスタマーマネージドキーを使用する必要がある	Audit（監査）	2..
29	Logic Apps 統合サービス環境は、カスタマーマネージドキーを使用して暗号化する必要がある	Audit（監査）	1..
30	MySQL サーバーでは保存データを暗号化するためにカスタマーマネージドキーを使用する必要がある	Disabled（無効）	1..
31	OS およびデータディスクはカスタマーマネージドキーで暗号化する必要がある	Audit（監査）	3..
32	PostgreSQL サーバーでは保存データを暗号化するためにカスタマーマネージドキーを使用する必要がある	Disabled（無効）	1..
33	PostgreSQL フレキシブルサーバーでは保存データを暗号化するためにカスタマーマネージドキーを使用する必要があります	Audit（監査）	1..
34	SQL Server では保存データを暗号化するためにカスタマーマネージドキーを使用する必要がある	Disabled（無効）	2..
35	SQL マネージドインスタンスでは保存データを暗号化するためにカスタマーマネージドキーを使用する必要がある	Disabled（無効）	2..
36	Service Bus のプレミアム名前空間では、暗号化のためにカスタマーマネージドキーを使用する必要がある	Audit（監査）	1..
37	[プレビュー]: Azure Stack HCI システムには暗号化されたボリュームが必要である	AuditIfNotExists	1..-preview
38	カスタマーマネージドキーの暗号化を Arc SQL Managed Instance の CMK 暗号化の一部として使用する必要があります。	Audit（監査）	1..
39	キューストレージでは暗号化にカスタマーマネージドキーを使用する必要がある	Audit（監査）	1..
40	コンテナーレジストリは、カスタマーマネージドキーを使用して暗号化する必要がある	Disabled（無効）	1..
41	ストレージアカウントでは、暗号化にカスタマーマネージドキーを使用する必要がある	Disabled（無効）	1..
42	ストレージアカウントの暗号化スコープでは、保存データに二重暗号化を使用する必要があります	Audit（監査）	1..
43	ストレージアカウントの暗号化スコープでは保存データを暗号化するためにカスタマーマネージドキーを使用する必要がある	Audit（監査）	1..
44	テーブルストレージでは暗号化にカスタマーマネージドキーを使用する必要がある	Audit（監査）	1..
45	マネージドディスクではカスタマーマネージドキーによる暗号化のためにディスク暗号化セットの特定のセットを使用する必要がある	Audit（監査）	2..
46	マネージドディスクはプラットフォームマネージドキーとカスタマーマネージドキーの両方を使用して二重暗号化する必要がある	Audit（監査）	1..

DP-6 Use a secure key management process（安全なキー管理プロセスを使用する） — 11 ポリシー

#	ポリシー名	デフォルト Effect	バージョン
1	API Management のシークレット名付きの値は Azure Key Vault に保存する必要がある	Audit（監査）	1..
2	Azure Cosmos DB アカウントは、最後のアカウントキーの再生成以降に許可される最大日数を超えることはできません。	Audit（監査）	1..
3	Key Vault キーには有効期限が必要	Disabled（無効）	1..
4	Key Vault シークレットには有効期限が必要	Disabled（無効）	1..
5	キーには、作成後指定された日数以内にローテーションがスケジュールされることを保証するローテーションポリシーが含まれている必要があります。	Audit（監査）	1..
6	キーに最長有効期間を指定する必要がある	Audit（監査）	1..
7	キーは指定された日数より長い間アクティブであってはならない	Audit（監査）	1..
8	シークレットに最長有効期間を指定する必要がある	Audit（監査）	1..
9	シークレットの残りの日数は有効期限が切れるまでの指定された日数より長い必要がある	Audit（監査）	1..
10	シークレットは指定された日数より長い間アクティブであってはならない	Audit（監査）	1..
11	ストレージアカウントキーが期限切れにならないようにする必要がある	Audit（監査）	3..

DP-7 Use a secure certificate management process（安全な証明書管理プロセスを使用する） — 3 ポリシー

#	ポリシー名	デフォルト Effect	バージョン
1	指定された日数以内に証明書の有効期限が切れてはならない	Audit（監査）	2..
2	証明書には最長有効期間を指定する必要がある	Audit（監査）	2..
3	証明書には最長有効期間を指定する必要がある	Disabled（無効）	2..-preview

DP-8 Ensure security of key and certificate repository（キー・証明書リポジトリのセキュリティを確保する） — 6 ポリシー

#	ポリシー名	デフォルト Effect	バージョン
1	Azure Defender for Key Vault を有効にする必要がある	AuditIfNotExists	1..
2	Azure Key Vault はプライベートリンクを使用する必要がある	Disabled（無効）	1..-preview
3	Azure Key Vaultでファイアウォールを有効にするか、パブリックネットワークアクセスを無効にする必要がある	Audit（監査）	3..
4	Key Vault のリソースログを有効にする必要がある	AuditIfNotExists	5..
5	キーコンテナーでは、論理的な削除を有効にする必要がある	Audit（監査）	3..
6	キーコンテナーで削除保護を有効にする必要がある	Audit（監査）	2..

Asset Management（AM） — 4 ポリシー

AM-2 Use only approved services（承認済みサービスのみを使用する） — 3 ポリシー

#	ポリシー名	デフォルト Effect	バージョン
1	Azure API Management プラットフォームのバージョンを stv2 にする必要があります	Audit（監査）	1..
2	ストレージアカウントを新しい Azure Resource Manager リソースに移行する必要がある	Audit（監査）	1..
3	仮想マシンを新しい Azure Resource Manager リソースに移行する必要がある	Audit（監査）	1..

AM-3 Ensure security of asset lifecycle management（資産ライフサイクル管理のセキュリティを確保する） — 1 ポリシー

#	ポリシー名	デフォルト Effect	バージョン
1	使用されていない API エンドポイントは、無効にし、Azure API Management サービスから削除する必要があります	AuditIfNotExists	1..

Logging and Threat Detection（LT） — 42 ポリシー

LT-1 Enable threat detection capabilities（脅威検出機能を有効にする） — 20 ポリシー

#	ポリシー名	デフォルト Effect	バージョン
1	Azure Defender for App Service を有効にする必要がある	AuditIfNotExists	1..
2	Azure Defender for Azure SQL Database servers を有効にする必要がある	AuditIfNotExists	1..
3	Azure Defender for Key Vault を有効にする必要がある	AuditIfNotExists	1..
4	Azure Defender for Resource Manager を有効にする必要がある	AuditIfNotExists	1..
5	Azure Defender for SQL servers on machines を有効にする必要がある	AuditIfNotExists	1..
6	Azure Defender for servers を有効にする必要がある	AuditIfNotExists	1..
7	Azure Kubernetes Service クラスターで Defender プロファイルを有効にする必要がある	Audit（監査）	2..
8	Microsoft Defender CSPM を有効にする必要がある	AuditIfNotExists	1..
9	Microsoft Defender for API を有効にする必要がある	AuditIfNotExists	1..
10	Microsoft Defender for Containers を有効にする必要がある	AuditIfNotExists	1..
11	Microsoft Defender for Storage を有効にする必要がある	AuditIfNotExists	1..
12	SQL servers on machines プランの場合 SQL Server を対象とする自動プロビジョニングを有効にする必要がある	AuditIfNotExists	1..
13	[プレビュー]: Azure Arc 対応 Kubernetes クラスターには、Microsoft Defender for Cloud 拡張機能がインストールされている必要がある	AuditIfNotExists	6..-preview
14	オープンソースリレーショナルデータベース用 Azure Defender を有効にする必要があります	AuditIfNotExists	1..
15	コンピューターで Windows Defender Exploit Guard を有効にする必要があります	AuditIfNotExists	2..
16	保護されていない Azure SQL サーバーに対して、Azure Defender for SQL を有効にする必要がある	AuditIfNotExists	2..
17	保護されていない Azure Synapse ワークスペースに対して、Microsoft Defender for SQL を有効にする必要がある	AuditIfNotExists	1..
18	保護されていない MySQL フレキシブルサーバーに対して、Azure Defender for SQL を有効にする必要があります	AuditIfNotExists	1..
19	保護されていない PostgreSQL フレキシブルサーバーに対して、Azure Defender for SQL を有効にする必要があります	AuditIfNotExists	1..
20	保護されていない SQL マネージドインスタンスに対して、Azure Defender for SQL を有効にする必要がある	AuditIfNotExists	1..

LT-2 Enable threat detection for identity and access management（ID・アクセス管理の脅威検出を有効にする） — 19 ポリシー

#	ポリシー名	デフォルト Effect	バージョン
1	Azure Defender for App Service を有効にする必要がある	AuditIfNotExists	1..
2	Azure Defender for Azure SQL Database servers を有効にする必要がある	AuditIfNotExists	1..
3	Azure Defender for Key Vault を有効にする必要がある	AuditIfNotExists	1..
4	Azure Defender for Resource Manager を有効にする必要がある	AuditIfNotExists	1..
5	Azure Defender for SQL servers on machines を有効にする必要がある	AuditIfNotExists	1..
6	Azure Defender for servers を有効にする必要がある	AuditIfNotExists	1..
7	Azure Kubernetes Service クラスターで Defender プロファイルを有効にする必要がある	Audit（監査）	2..
8	Microsoft Defender CSPM を有効にする必要がある	AuditIfNotExists	1..
9	Microsoft Defender for Containers を有効にする必要がある	AuditIfNotExists	1..
10	Microsoft Defender for Storage を有効にする必要がある	AuditIfNotExists	1..
11	SQL servers on machines プランの場合 SQL Server を対象とする自動プロビジョニングを有効にする必要がある	AuditIfNotExists	1..
12	[プレビュー]: Azure Arc 対応 Kubernetes クラスターには、Microsoft Defender for Cloud 拡張機能がインストールされている必要がある	AuditIfNotExists	6..-preview
13	オープンソースリレーショナルデータベース用 Azure Defender を有効にする必要があります	AuditIfNotExists	1..
14	コンピューターで Windows Defender Exploit Guard を有効にする必要があります	AuditIfNotExists	2..
15	保護されていない Azure SQL サーバーに対して、Azure Defender for SQL を有効にする必要がある	AuditIfNotExists	2..
16	保護されていない Azure Synapse ワークスペースに対して、Microsoft Defender for SQL を有効にする必要がある	AuditIfNotExists	1..
17	保護されていない MySQL フレキシブルサーバーに対して、Azure Defender for SQL を有効にする必要があります	AuditIfNotExists	1..
18	保護されていない PostgreSQL フレキシブルサーバーに対して、Azure Defender for SQL を有効にする必要があります	AuditIfNotExists	1..
19	保護されていない SQL マネージドインスタンスに対して、Azure Defender for SQL を有効にする必要がある	AuditIfNotExists	1..

LT-3 Enable logging for security investigation（セキュリティ調査のためのログ記録を有効にする） — 17 ポリシー

#	ポリシー名	デフォルト Effect	バージョン
1	App Service アプリではリソースログを有効にする必要があります	AuditIfNotExists	2..
2	Azure AI サービスリソースの診断ログを有効にする必要がある	AuditIfNotExists	1..
3	Azure Data Lake Store のリソースログを有効にする必要がある	AuditIfNotExists	5..
4	Azure Databricks ワークスペースのリソースログを有効にする必要がある	AuditIfNotExists	1..
5	Azure Front Door でリソースログを有効にする必要がある	AuditIfNotExists	1..
6	Azure Kubernetes Service のリソースログを有効にする必要がある	AuditIfNotExists	1..
7	Azure Machine Learning ワークスペースのリソースログを有効にする必要がある	AuditIfNotExists	1..
8	Azure Stream Analytics のリソースログを有効にする必要がある	AuditIfNotExists	5..
9	Batch アカウントのリソースログを有効にする必要がある	AuditIfNotExists	5..
10	Data Lake Analytics のリソースログを有効にする必要がある	AuditIfNotExists	5..
11	IoT ハブのリソースログを有効にする必要がある	AuditIfNotExists	3..
12	Key Vault のリソースログを有効にする必要がある	AuditIfNotExists	5..
13	Logic Apps のリソースログを有効にする必要がある	AuditIfNotExists	5..
14	SQL Server の監査を有効にする必要があります	AuditIfNotExists	2..
15	Search サービスのリソースログを有効にする必要がある	AuditIfNotExists	5..
16	Service Bus のリソースログを有効にする必要がある	AuditIfNotExists	5..
17	イベントハブのリソースログを有効にする必要がある	AuditIfNotExists	5..

LT-4 Enable network logging for security investigation（セキュリティ調査のためのネットワークログを有効にする） — 3 ポリシー

#	ポリシー名	デフォルト Effect	バージョン
1	[プレビュー]: ネットワークトラフィックデータ収集エージェントを Linux 仮想マシンにインストールする必要がある	AuditIfNotExists	1..-preview
2	[プレビュー]: ネットワークトラフィックデータ収集エージェントを Windows 仮想マシンにインストールする必要がある	AuditIfNotExists	1..-preview
3	すべてのネットワークセキュリティグループに対してフローログを構成する必要がある	Audit（監査）	1..

LT-5 Centralize security log management and analysis（セキュリティログの管理・分析を一元化する） — 1 ポリシー

#	ポリシー名	デフォルト Effect	バージョン
1	Azure Monitor 内の保存されたクエリはログ暗号化のためにカスタマーストレージアカウントに保存する必要があります	Audit（監査）	1..

LT-6 Configure log storage retention（ログストレージの保持期間を構成する） — 1 ポリシー

#	ポリシー名	デフォルト Effect	バージョン
1	ストレージアカウントターゲットに対する SQL Server の監査データの保持期間を 90 日以上に構成する必要がある	AuditIfNotExists	3..

Incident Response（IR） — 21 ポリシー

IR-2 Preparation - setup incident notification（準備 - インシデント通知をセットアップする） — 3 ポリシー

#	ポリシー名	デフォルト Effect	バージョン
1	サブスクリプションにはセキュリティの問題について連絡するためのメールアドレスが必要	AuditIfNotExists	1..
2	サブスクリプション所有者に対する重要度 - 高のアラートの電子メール通知を有効にする必要がある	AuditIfNotExists	2..
3	重要度 - 高のアラートの電子メール通知を有効にする必要がある	AuditIfNotExists	1..

IR-3 Detection and analysis - create incidents based on high-quality alerts（検出と分析 - 高品質なアラートに基づきインシデントを作成する） — 17 ポリシー

#	ポリシー名	デフォルト Effect	バージョン
1	Azure Defender for App Service を有効にする必要がある	AuditIfNotExists	1..
2	Azure Defender for Azure SQL Database servers を有効にする必要がある	AuditIfNotExists	1..
3	Azure Defender for Key Vault を有効にする必要がある	AuditIfNotExists	1..
4	Azure Defender for Resource Manager を有効にする必要がある	AuditIfNotExists	1..
5	Azure Defender for SQL servers on machines を有効にする必要がある	AuditIfNotExists	1..
6	Azure Defender for servers を有効にする必要がある	AuditIfNotExists	1..
7	Microsoft Defender CSPM を有効にする必要がある	AuditIfNotExists	1..
8	Microsoft Defender for API を有効にする必要がある	AuditIfNotExists	1..
9	Microsoft Defender for Containers を有効にする必要がある	AuditIfNotExists	1..
10	Microsoft Defender for Storage を有効にする必要がある	AuditIfNotExists	1..
11	SQL servers on machines プランの場合 SQL Server を対象とする自動プロビジョニングを有効にする必要がある	AuditIfNotExists	1..
12	オープンソースリレーショナルデータベース用 Azure Defender を有効にする必要があります	AuditIfNotExists	1..
13	保護されていない Azure SQL サーバーに対して、Azure Defender for SQL を有効にする必要がある	AuditIfNotExists	2..
14	保護されていない Azure Synapse ワークスペースに対して、Microsoft Defender for SQL を有効にする必要がある	AuditIfNotExists	1..
15	保護されていない MySQL フレキシブルサーバーに対して、Azure Defender for SQL を有効にする必要があります	AuditIfNotExists	1..
16	保護されていない PostgreSQL フレキシブルサーバーに対して、Azure Defender for SQL を有効にする必要があります	AuditIfNotExists	1..
17	保護されていない SQL マネージドインスタンスに対して、Azure Defender for SQL を有効にする必要がある	AuditIfNotExists	1..

IR-4 Detection and analysis - investigate an incident（検出と分析 - インシデントを調査する） — 1 ポリシー

#	ポリシー名	デフォルト Effect	バージョン
1	Network Watcher を有効にする必要がある	AuditIfNotExists	3..

IR-5 Detection and analysis - prioritize incidents（検出と分析 - インシデントの優先度を付ける） — 17 ポリシー

#	ポリシー名	デフォルト Effect	バージョン
1	Azure Defender for App Service を有効にする必要がある	AuditIfNotExists	1..
2	Azure Defender for Azure SQL Database servers を有効にする必要がある	AuditIfNotExists	1..
3	Azure Defender for Key Vault を有効にする必要がある	AuditIfNotExists	1..
4	Azure Defender for Resource Manager を有効にする必要がある	AuditIfNotExists	1..
5	Azure Defender for SQL servers on machines を有効にする必要がある	AuditIfNotExists	1..
6	Azure Defender for servers を有効にする必要がある	AuditIfNotExists	1..
7	Microsoft Defender CSPM を有効にする必要がある	AuditIfNotExists	1..
8	Microsoft Defender for API を有効にする必要がある	AuditIfNotExists	1..
9	Microsoft Defender for Containers を有効にする必要がある	AuditIfNotExists	1..
10	Microsoft Defender for Storage を有効にする必要がある	AuditIfNotExists	1..
11	SQL servers on machines プランの場合 SQL Server を対象とする自動プロビジョニングを有効にする必要がある	AuditIfNotExists	1..
12	オープンソースリレーショナルデータベース用 Azure Defender を有効にする必要があります	AuditIfNotExists	1..
13	保護されていない Azure SQL サーバーに対して、Azure Defender for SQL を有効にする必要がある	AuditIfNotExists	2..
14	保護されていない Azure Synapse ワークスペースに対して、Microsoft Defender for SQL を有効にする必要がある	AuditIfNotExists	1..
15	保護されていない MySQL フレキシブルサーバーに対して、Azure Defender for SQL を有効にする必要があります	AuditIfNotExists	1..
16	保護されていない PostgreSQL フレキシブルサーバーに対して、Azure Defender for SQL を有効にする必要があります	AuditIfNotExists	1..
17	保護されていない SQL マネージドインスタンスに対して、Azure Defender for SQL を有効にする必要がある	AuditIfNotExists	1..

Posture and Vulnerability Management（PV） — 49 ポリシー

PV-2 Audit and enforce secure configurations（セキュアな構成を監査・強制する） — 26 ポリシー

#	ポリシー名	デフォルト Effect	バージョン
1	API Management の直接管理エンドポイントを有効にしてはならない	Audit（監査）	1..
2	App Service アプリでは、すべてのリソースがアプリにアクセスできるように CORS を構成しないでください	AuditIfNotExists	2..
3	App Service アプリでは、クライアント証明書 (受信クライアント証明書) が有効になっている必要がある	AuditIfNotExists	1..
4	App Service アプリではリモートデバッグをオフにする必要があります	AuditIfNotExists	2..
5	Azure API Management プラットフォームのバージョンを stv2 にする必要があります	Audit（監査）	1..
6	Azure Arc 対応 Kubernetes クラスターには、Azure Policy 拡張機能がインストールされている必要がある	AuditIfNotExists	1..-preview
7	Kubernetes Service (AKS) 用の Azure Policy アドオンをクラスターにインストールして有効にする必要がある	Audit（監査）	1..
8	Kubernetes クラスターコンテナーでは、許可されている AppArmor プロファイルのみを使用する	Audit（監査）	6..
9	Kubernetes クラスターコンテナーでは、許可されている機能のみを使用する	Audit（監査）	6..
10	Kubernetes クラスターコンテナーではホスト名前空間を共有しないでください	Audit（監査）	5..
11	Kubernetes クラスターコンテナーを読み取り専用のルートファイルシステムで実行する	Audit（監査）	6..
12	Kubernetes クラスターポッドとコンテナーは、承認されたユーザーとグループの ID でのみ実行する必要がある	Audit（監査）	6..
13	Kubernetes クラスターポッドの hostPath ボリュームでは、許可されているホストパスのみを使用する	Audit（監査）	6..
14	Kubernetes クラスターポッドは承認されたホストネットワークとポートの一覧のみを使用する必要があります	Audit（監査）	6..
15	Kubernetes クラスターでは API 資格情報の自動マウントを無効にする必要がある	Audit（監査）	4..
16	Kubernetes クラスターでは CAP_SYS_ADMIN セキュリティ機能を許可しない	Audit（監査）	5..
17	Kubernetes クラスターでは既定の名前空間を使用しない	Audit（監査）	4..
18	Kubernetes クラスターでコンテナーの特権エスカレーションを許可しない	Audit（監査）	7..
19	Kubernetes クラスターで特権コンテナーを許可しない	Deny（拒否）	9..
20	Kubernetes クラスター内でコンテナーの CPU およびメモリのリソース制限が指定された制限を超えないようにする	Audit（監査）	9..
21	Kubernetes クラスター内で許可されたコンテナーイメージのみを実行する	Deny（拒否）	9..
22	Kubernetes クラスター内の許可されたポートでのみリッスンするようにサービスを強制する	Deny（拒否）	8..
23	最新のソフトウェア更新プログラムを取得するには、Azure Machine Learning コンピューティングインスタンスを再作成する必要がある	Audit（監査）	1..
24	関数アプリでは、すべてのリソースがアプリにアクセスできるように CORS を構成しないでください	AuditIfNotExists	2..
25	関数アプリでは、クライアント証明書 (着信クライアント証明書) が有効になっている必要がある	AuditIfNotExists	1..
26	関数アプリではリモートデバッグをオフにする必要があります	AuditIfNotExists	2..

PV-4 Audit and enforce secure configurations for compute resources（コンピューティングリソースのセキュアな構成を監査・強制する） — 13 ポリシー

#	ポリシー名	デフォルト Effect	バージョン
1	Linux マシンは Azure のコンピューティングセキュリティベースラインの要件を満たしている必要があります	AuditIfNotExists	2..
2	Windows マシンは Azure のコンピューティングセキュリティベースラインの要件を満たしている必要があります	AuditIfNotExists	2..
3	[プレビュー]: Azure Stack HCI サーバーには、一貫して適用されるアプリケーション制御ポリシーが必要である	AuditIfNotExists	1..-preview
4	[プレビュー]: Azure Stack HCI サーバーはセキュリティで保護されたコアの要件を満たしている必要がある	AuditIfNotExists	1..-preview
5	[プレビュー]: Linux 仮想マシンでは、署名付きで信頼されたブートコンポーネントのみを使用する必要がある	AuditIfNotExists	1..-preview
6	[プレビュー]: vTPM はサポートされている仮想マシンで有効にする必要がある	Audit（監査）	2..-preview
7	[プレビュー]: ゲスト構成証明の拡張機能が、サポートされている Linux 仮想マシンスケールセットにインストールされている必要がある	AuditIfNotExists	5..-preview
8	[プレビュー]: ゲスト構成証明の拡張機能が、サポートされている Linux 仮想マシンにインストールされている必要がある	AuditIfNotExists	6..-preview
9	[プレビュー]: ゲスト構成証明の拡張機能が、サポートされている Windows 仮想マシンスケールセットにインストールされている必要がある	AuditIfNotExists	3..-preview
10	[プレビュー]: ゲスト構成証明の拡張機能がサポートされている Windows 仮想マシンにインストールされている必要がある	AuditIfNotExists	4..-preview
11	[プレビュー]: セキュアブートはサポートされている Windows 仮想マシンで有効にする必要がある	Audit（監査）	4..-preview
12	ゲスト構成拡張機能がマシンにインストールされている必要がある	AuditIfNotExists	1..
13	仮想マシンのゲスト構成拡張機能は、システム割り当てマネージド ID を使用してデプロイする必要がある	AuditIfNotExists	1..

PV-5 Perform vulnerability assessments（脆弱性評価を実施する） — 4 ポリシー

#	ポリシー名	デフォルト Effect	バージョン
1	SQL Managed Instance で脆弱性評価を有効にする必要がある	AuditIfNotExists	1..
2	SQL Server で脆弱性評価を有効にする必要がある	AuditIfNotExists	3..
3	マシンではシークレットの検出結果が解決されている必要がある	AuditIfNotExists	1..
4	脆弱性評価ソリューションを仮想マシンで有効にする必要があります	AuditIfNotExists	3..

PV-6 Rapidly and automatically remediate vulnerabilities（脆弱性を迅速かつ自動的に修復する） — 6 ポリシー

#	ポリシー名	デフォルト Effect	バージョン
1	Azure で実行中のコンテナーイメージでは、脆弱性が解決されている必要があります (Powered by Microsoft Defender 脆弱性の管理)	AuditIfNotExists	1..
2	Azure レジストリコンテナーイメージの脆弱性は解決されている必要があります (Powered by Microsoft Defender 脆弱性の管理)	AuditIfNotExists	1..
3	SQL データベースでは、脆弱性の検出結果が解決されている必要がある	AuditIfNotExists	4..
4	システム更新プログラムがマシンにインストールされている必要がある (更新センターを利用)	AuditIfNotExists	1..-preview
5	マシン上の SQL サーバーでは、脆弱性の検出結果が解決されている必要がある	AuditIfNotExists	1..
6	不足しているシステム更新プログラムを定期的に確認するようにマシンを構成する必要がある	Audit（監査）	3..-preview

Endpoint Security（ES） — 2 ポリシー

ES-1 Use Endpoint Detection and Response (EDR)（エンドポイント検出と対応（EDR）を使用する） — 1 ポリシー

#	ポリシー名	デフォルト Effect	バージョン
1	Azure Defender for servers を有効にする必要がある	AuditIfNotExists	1..

ES-2 Use modern anti-malware software（最新のマルウェア対策ソフトウェアを使用する） — 1 ポリシー

#	ポリシー名	デフォルト Effect	バージョン
1	コンピューターで Windows Defender Exploit Guard を有効にする必要があります	AuditIfNotExists	2..

Backup and Recovery（BR） — 7 ポリシー

BR-1 Ensure regular automated backups（定期的な自動バックアップを徹底する） — 4 ポリシー

#	ポリシー名	デフォルト Effect	バージョン
1	Azure Database for MariaDB の geo 冗長バックアップを有効にする必要があります	Audit（監査）	1..
2	Azure Database for MySQL の geo 冗長バックアップを有効にする必要があります	Audit（監査）	1..
3	Azure Database for PostgreSQL の geo 冗長バックアップを有効にする必要があります	Audit（監査）	1..
4	仮想マシンに対して Azure Backup を有効にする必要がある	AuditIfNotExists	3..

BR-2 Protect backup and recovery data（バックアップ・リカバリーデータを保護する） — 7 ポリシー

#	ポリシー名	デフォルト Effect	バージョン
1	Azure Database for MariaDB の geo 冗長バックアップを有効にする必要があります	Audit（監査）	1..
2	Azure Database for MySQL の geo 冗長バックアップを有効にする必要があります	Audit（監査）	1..
3	Azure Database for PostgreSQL の geo 冗長バックアップを有効にする必要があります	Audit（監査）	1..
4	[プレビュー]: Backup コンテナーに対する論理的な削除を有効にする必要がある	Audit（監査）	1..-preview
5	[プレビュー]: Recovery Services コンテナーに対して不変性を有効にする必要がある	Audit（監査）	1..-preview
6	[プレビュー]: バックアップコンテナーに対して不変性を有効にする必要がある	Audit（監査）	1..-preview
7	仮想マシンに対して Azure Backup を有効にする必要がある	AuditIfNotExists	3..

DevOps Security（DS） — 2 ポリシー

DS-6 Enforce security of workload throughout DevOps lifecycle（DevOps ライフサイクル全体でワークロードのセキュリティを強制する） — 2 ポリシー

#	ポリシー名	デフォルト Effect	バージョン
1	Azure で実行中のコンテナーイメージでは、脆弱性が解決されている必要があります (Powered by Microsoft Defender 脆弱性の管理)	AuditIfNotExists	1..
2	Azure レジストリコンテナーイメージの脆弱性は解決されている必要があります (Powered by Microsoft Defender 脆弱性の管理)	AuditIfNotExists	1..

3. Defender for Cloud における MCSB v2 との違い

MCSB v2（Azure Policy イニシアティブ）と Microsoft Defender for Cloud は密接に関係しますが、役割が異なります。

3.1 現状: 既定は MCSB（v1）、v2 は手動で有効化が必要

重要: 2026-06 時点では、Defender for Cloud の既定のセキュリティ標準は MCSB（v1）です。 MCSB v2 は プレビュー として提供されており、適用するには Defender for Cloud →「環境設定」→「セキュリティポリシー」→ 標準 の画面で [Preview]: Microsoft cloud security benchmark v2 をオンにする必要があります。

実際の「セキュリティポリシー」画面では、以下のように標準が並びます。

Microsoft cloud security benchmark（v1）: 種類 = 既定 / オン（推奨事項 223）
[Preview]: Microsoft cloud security benchmark v2: 種類 = コンプライアンス（推奨事項 414、手動でオンに切り替え）

有効化手順（概要）:

Defender for Cloud を開く
左メニュー「環境設定」→ 対象スコープ（管理グループ / サブスクリプション）を選択
「セキュリティポリシー」を開く
[Preview]: Microsoft cloud security benchmark v2 の状態トグルをオンにする
割り当て先スコープ（例: Management Group）を確認して保存

3.2 関係性

Microsoft Defender for Cloud
  └─ セキュリティ標準として MCSB を適用（既定は v1、v2 はプレビューを手動有効化）
       └─ Azure Policy イニシアティブ（v2 は 414 ポリシー）で構成状態を評価
            └─ 評価結果 → セキュアスコア / 規制コンプライアンス / 推奨事項に反映

3.3 機能比較

観点	MCSB v2（Azure Policy）	Defender for Cloud
主目的	構成評価（コンプライアンス）	脅威検出 + 態勢管理（CSPM/CWPP）
評価方式	ポリシーによる静的評価（Audit/Deny 等）	継続的なスキャン・行動分析・脅威インテリジェンス
ブロック能力	あり（Deny / DeployIfNotExists）	なし（検出・推奨が中心）
スコアリング	なし（準拠/非準拠のみ）	セキュアスコアで定量化
脅威検知	不可	アラート（不審なサインイン、マルウェア等）
自動修復	DeployIfNotExists で可能	ワークフロー自動化／推奨修復
課金	Azure Policy 自体は無償	Defender プラン有効化で従量課金
カバー範囲	リソース構成	構成 + ランタイム + データ + ID + ネットワーク

3.4 すみ分けの考え方

両者の役割は、セキュリティ統制の 「予防的統制」 と 「発見的統制」 という観点で整理すると分かりやすくなります。

統制の種類	役割	担当	具体例
予防的統制（Preventive）	問題の発生を未然に防ぐ	Azure Policy（MCSB v2）	Deny で非準拠リソースの作成をブロック、DeployIfNotExists で自動修復
発見的統制（Detective）	発生した問題を検出・可視化	Defender for Cloud	脅威アラート、セキュアスコア、推奨事項の提示

MCSB v2（Policy）= 予防的統制 / ガードレール: 「あるべき構成」を定義し、逸脱を監査・必要に応じてブロック
Defender for Cloud = 発見的統制 / 監視カメラ + アナリスト: 実行時の脅威を検出し、優先度付きで推奨対応を提示
両者は補完関係。Policy（予防）で間口を絞り、Defender（発見）で残存リスクを検出・対応する多層防御が理想

補足: Policy の Audit／AuditIfNotExists は「ブロックしない記録」のため、
厳密には予防というより発見寄りに働きます。Deny／DeployIfNotExists にして初めて
純粋な予防的統制になります。MCSB v2 は既定では監査中心（=可視化）であり、
予防を強めるには重要ポリシーを Deny 化する運用（セクション 4 参照）が必要です。

Defender プランとの関係:

MCSB v2 を割り当てても Defender プランを有効化しなければ「構成評価」までに留まり、
ランタイムの脅威検知（サーバー保護、コンテナー保護など）は行われません。

4. おすすめ運用方法

4.1 大前提: MCSB v2 は「1 つのイニシアティブ」

MCSB v2 は単一のイニシアティブ割り当てです。「フェーズ 1 イニシアティブ／フェーズ 2 イニシアティブ」のように
分割することはできません。また、割り当てのパラメーターで Effect を変更できるのは 16 個のポリシーのみで、
残りの約 397 ポリシーは Effect が固定です。運用は「まず監査で現状把握 → 重要なポリシーを個別に
Deny で別途割り当て」という形が中心になります（詳細は 4.4 を参照）。

4.2 推奨ステップ

STEP 1: まず監査（既定のまま）で現状把握

割り当て直後は 393 件が Audit/AuditIfNotExists のため、ワークロードへの影響ゼロで非準拠を可視化
1〜2 週間ほど評価結果を蓄積し、非準拠リソースの傾向を把握

STEP 2: Defender for Cloud でスコア確認

セキュアスコアをベースラインとして記録
推奨事項の重要度（高/中/低）で改善優先度を決定

STEP 3: 重要なポリシーを個別に Deny で適用

MCSB v2 の割り当てパラメーターでは 16 個しか Effect を変えられないため、特に重要なポリシーは
その組み込みポリシー定義を単独で別途割り当てし、Deny を強制する（方法 B、4.4 参照）
16 個のパラメーター化ポリシーに該当するものは、パラメータータブで Audit → Deny に変更可（方法 A）
ネットワーク（NS-2: 127 件）、データ暗号化（DP-5: 46 件）など影響範囲の大きいものは特に慎重に
テスト用サブスクリプション／RG で Deny を先行検証してから本番へ展開するのが安全

STEP 4: 例外管理と継続改善

正当な例外は除外（Exemption）またはスコープ除外で管理（Effect を無効化しない）
新規ポリシー追加・バージョン更新に追従し、定期的にスコアをレビュー

4.3 Deny 化の優先候補（影響が読みやすいもの）

コントロール	内容	件数	備考
DP-7	証明書管理	3	有効期限・CA 検証など影響が限定的
NS-6	WAF 有効化	2	公開エンドポイント保護
IM-8	資格情報の露出制限	2	シークレット有効期限など
NS-5	DDoS 保護	2	重要公開サービス向け

4.4 特定ポリシーだけ Effect を変更する方法

重要: MCSB v2 はイニシアティブですが、割り当ての「パラメーター」タブで Effect を変更できるのは、パラメーター化された 16 個のポリシー（＋数値パラメーター 1 個）のみです。残りの約 397 ポリシーは Effect がイニシアティブ定義に**固定（ハードコード）**されており、パラメータータブには現れません。

変更可否のまとめ

対象	件数の目安	パラメーターで変更	代替手段
Effect がパラメーター化されたポリシー	16	✅ 可能	—
数値パラメーター（証明書の有効期間）	1	✅ 可能（`certificatesValidityPeriodInMonths`）	—
Effect が固定のポリシー	約 397	❌ 不可	方法 B / 方法 C / 除外・免除

方法 A: パラメータータブで変更（16 個のみ・最も簡単）

割り当て編集画面の「パラメーター」タブで、対象ポリシーの Effect ドロップダウンだけを変更します。
他のポリシーには影響しません。

# CLI例: 既存割り当てのパラメーターを部分更新（対象Effectのみ指定）
az policy assignment update \
  --name "<assignment-name>" \
  --scope "/subscriptions/<sub-id>" \
  --params @params.json

// params.json（例: 証明書監視のEffectだけAuditに変更。他は触れない）
{
  "certificatesValidityPeriodMonitoringEffect": { "value": "Audit" }
}

注意: Defender for Cloud 既定の MCSB 割り当てはマネージドな割り当てのため、Azure Policy 画面から
直接パラメーター編集できない場合があります。その場合は Defender for Cloud → 環境設定 →
セキュリティポリシー → 該当標準から該当 Recommendation の設定を変更します。

方法 B: 固定 Effect のポリシーを個別に上書き割り当て

パラメーター化されていないポリシーの Effect を変えたい場合は、その組み込みポリシー定義を単独で
別途割り当てし、希望の Effect（例: Deny）を指定します。MCSB 側の評価は残りますが、追加割り当てで
意図した Effect を効かせられます。

メリット: MCSB 本体を改変せず、特定ポリシーだけ強制できる
デメリット: 同じ観点が二重評価になり、割り当て管理が増える

方法 C: Defender for Cloud の Recommendation 単位で強制（Deny/Enforce）

一部の Recommendation は Defender for Cloud 側で「Deny」や「Enforce」を有効化できます。
対象が限られるため、まず方法 A → 不可なら方法 B/C の順で検討します。

特定リソースだけ適用外にしたい場合

Effect の変更ではなく「このリソースだけ評価対象から外す」なら、全ポリシー共通で以下が使えます。

除外（Exclusion）: 割り当てスコープから特定リソースグループ等を除外
免除（Exemption）: 特定リソースを期限付きで準拠例外として扱う（監査ログに記録が残る）

4.5 運用上の注意

いきなり全 Deny 化しない（既存リソース更新が止まるリスク）
DeployIfNotExists（自動修復）はマネージド ID と権限付与が必要
Disabled（16 件）は既定で無効。有効化が必要なものは個別に Audit/Deny へ変更
パラメータータブで変えられるのは16 個のみ。それ以外は方法 B/C か除外・免除で対応
変更は必ずテスト環境 → 本番の順で、1 コントロールずつ展開

付録: データソースと検証

取得方法: Azure Portal で MCSB v2（プレビュー）イニシアティブを割り当て、その割り当てから
ポータルの「ポリシー一覧」「グループ」「イニシアティブ定義」をエクスポートして取得
ポリシー定義総数: 414 件（ポリシー一覧エクスポートとイニシアティブ定義で完全一致）
参照 ID マッチング: ポリシー一覧の参照 ID（小文字）= イニシアティブ定義の
policyDefinitionReferenceId（小文字化）で 414/414 完全一致
グループ件数: グループエクスポートの「ポリシーの合計」とイニシアティブ定義由来の集計が全コントロールで一致
注意: プレビュー中のため、上記の件数・バージョンは今後変更される可能性があります

まとめ

MCSB v2 は 414 ポリシー定義を束ねた単一の組み込みイニシアティブで、AI Security ドメインの新設が v1 からの最大の違いです。
割り当て直後は 393 件（約 95%）が Audit／AuditIfNotExists であり、リソース作成をブロックしません。まずは監査で現状を可視化するのが安全です。
リソースに直接影響するのは Deny 4 件（AKS 系）と DeployIfNotExists 1 件のみ。適用前に影響範囲を確認しましょう。
割り当てのパラメーターで Effect を変えられるのは 16 個のみ。残りは固定のため、強制したい場合は個別の上書き割り当て等で対応します。
MCSB v2 は 2026 年 6 月時点でプレビューであり、既定は MCSB（v1）です。適用には Defender for Cloud のセキュリティポリシー画面での有効化が必要です。
Policy（予防的統制）と Defender for Cloud（発見的統制）は役割分担。両者を組み合わせて初めて多層防御が完成します。

ガバナンスは「一度に完璧」を目指すより、Audit で現状を可視化 → 段階的に Deny へという進め方が現実的です。本記事のグループ別ポリシー一覧をチェックリストとして活用いただければ幸いです。

参考リンク