SCS評価制度★3とMicrosoft 365｜評価基準ごとの実装例と確認ポイント

Posted at 2026-10-11

本記事は株式会社BTNコンサルティングのブログ記事「SCS評価制度★3とMicrosoft 365｜評価基準ごとの実装例と確認ポイント」を再構成したものです。最新版は初出記事をご覧ください。
https://www.btncon.com/blog/scs-microsoft365

Microsoft 365を業務基盤にしている企業向けに、★3の評価基準に対してMicrosoft 365の機能で何ができるかを整理します。

最初に前提を明確にしておきます。SCS評価制度は特定の製品の導入を求めていません。以下の機能は評価基準を満たすための実装例であり、設定するだけで適合が保証されるものではありません。適合の判断では、対象範囲（全ユーザー・全端末に及んでいるか）、設定内容、運用、証跡を評価基準ごとに確認する必要があります。

評価基準と実装例

評価基準	求められること（要旨）	実装例	必要ライセンスの目安	手作業で代替する場合
3-1-1-1	PCの製造元・OS・台数の把握	Intune のデバイス一覧	Intune（Business Premium 等に含まれる）	資産台帳での管理
4-1-1-1〜4	ユーザIDの申請・承認、共有禁止、不要IDの削除	Entra ID のユーザー管理	標準機能	申請書と入退社フローでの削除記録
4-1-2-2〜7	管理者IDの限定・最小権限・保有者の把握	Entra ID のロール割り当て	標準機能（PIMは Entra ID P2 または Entra ID Governance が必要）	ロール割り当て一覧の定期確認
4-1-3-2〜4	重要な機密情報を扱うクラウドへの多要素認証	条件付きアクセス	Entra ID P1（Business Premium に含まれる）	―
4-1-4-1〜2	端末のロック制御、6文字以上のPIN	Intune のデバイス構成、Windows Hello for Business	Intune	端末ごとのローカル設定と確認記録
4-4-1-1〜2	許可外ソフトウェアの制限、自動実行の無効化	Intune の構成プロファイル、標準ユーザー運用	Intune	管理者権限の剥奪とグループポリシー
4-4-4-1〜2	自動更新、14日以内の更新適用	更新リング（Windows Update for Business）	Intune	月次の適用確認表
4-4-5-1〜3	マルウェア対策の導入・スキャン・定義更新	Microsoft Defender（Defender for Business 等）	Business Premium 等	他社製品でも可
5-1-1-1〜3	不正通信のリアルタイム検知・遮断と通知	Defender のネットワーク保護・Webコンテンツフィルタリング、通知設定	製品・プランにより異なる	境界のUTM等

表の「必要ライセンスの目安」は代表的な構成であり、全プランを照合したものではありません。導入前に自社の契約で利用可能かを確認してください。

多要素認証（4-1-3）：既定値群だけで適合とは判断できない

評価基準4-1-3-2は、重要な機密情報を取り扱うクラウドサービスへのアクセスについて、ユーザ・管理者ともに常に多要素認証を使うことを求めています。

セキュリティの既定値群は、ライセンスを追加せずに基礎的な保護を有効にできる機能ですが、一般ユーザーへの多要素認証の要求は状況に応じて判断される仕様です。このため、既定値群を有効にしただけでSCSの多要素認証要件を満たすとは判断できません。

条件付きアクセスが使える場合は、対象ユーザー・対象アプリを明確にしたポリシーを作成し、次の点を確認してください。

除外ユーザー（緊急用アカウント、サービスアカウント等）が適切に管理されているか
管理者ロールが例外なく対象になっているか
旧来の認証方式（レガシー認証）がブロックされているか

なお「多要素認証で保護されている」ことと「アクセスのたびに追加認証画面が表示される」ことは同じではありません。セッションの有効期間や認証済みトークンの扱いも含めて、専門家確認の段階で説明できるようにしておくことを推奨します。

認証要素について、評価基準ではメールやSMSのワンタイムパスワード、スマートフォンへの認証要求も所有情報として挙げられています（4-1-3-3）。

管理者ID（4-1-2）：PIMは必須ではない

Privileged Identity Management（PIM）は管理者権限を必要な時だけ付与できる機能ですが、Entra ID P2 または Entra ID Governance のライセンスが必要です。Business Premium の標準範囲には含まれません。

評価基準が求めているのは、管理者権限を持つ人の限定、用途に応じた最小権限、保有者の把握、不要になった管理者IDの削除、付与・変更・削除の申請・承認制です。PIMがなくても、ロール割り当ての一覧と申請・承認記録、定期的な確認で満たすことができます。

更新適用（4-4-4-2）：設定だけでは14日以内を担保できない

利用している機能・設定に関するアップデートのうち、ベンダーが「重大」「高リスク」とする脆弱性を修正するもの、CVSS基本値7.0以上の脆弱性を修正するもの、または脆弱性のレベルの詳細が提供されていないものは、リリースから14日以内の適用が求められます。

更新リングで延期日数と期限を設定しても、電源が入っていない端末、再起動待ちの端末、管理対象外の端末があれば期限内に適用されません。次の管理を合わせて行ってください。

更新のリリース日と適用完了日の記録
未適用端末の把握と対処
Microsoft 365 Apps、ブラウザ、サードパーティ製ソフトウェアの更新状況
インターネット境界のネットワーク機器（ルーター、UTM等）の更新。Microsoft 365の管理外なので別途管理が必要
期限内に適用できなかった場合のリスク低減策の記録

検知（5-1-1）：端末側で満たせるかは個別確認

5-1-1-1は、境界または端末において、インターネットから社内への通信と、社内から不正なサーバへの通信の双方を、リアルタイムに検知・遮断する仕組みを求めています。Defender のネットワーク保護やWebコンテンツフィルタリングは端末側の実装候補ですが、自社の構成で要件を満たせるかは、自己評価の段階で★3確認責任者に確認することを推奨します。

アラートの通知先（5-1-1-3）が実際に対応できる担当者になっているかも確認してください。

バックアップ（4-3-4）：復元できる範囲を確認する

4-3-4では、取得対象・頻度・保管期間を定めたバックアップ、重要な機密情報の遠隔地バックアップ、バックアップ対象ごとのリストア手順書が求められます。

SharePoint・OneDriveのバージョン履歴、ごみ箱、保持ポリシーは、それぞれ目的の異なる機能です。これらをバックアップとして扱う場合は、次の点を確認して説明できるようにしてください。

対象データと保管期間
権限や設定まで復元できるか
保管先がアカウント侵害やテナント全体の障害の影響を受けないか
リストア手順

テナント外に保管するバックアップ製品の利用は設計例の一つであり、制度上一律に必須とされているものではありません。

Microsoft 365だけでは満たせない評価基準

次の要求事項は製品設定では完結しません。

ガバナンスの整備（1-2-1、1-2-3、1-3-1）
取引先管理（2-1-1、2-1-2、2-1-4）
ネットワーク・外部情報サービス・機密情報の管理（3-1-2〜3-1-4）
ネットワーク境界防護（4-5-1）
教育・訓練（4-2-2）、インシデント対応手順（6-1-1）、復旧準備（7-1-1）

★4を見据えるなら

★4ではログの取得（4-4-3）が加わり、認証サーバのログを6か月保管し、月1回以上モニタリングすることが求められます。クラウドサービスの利用も対象です。Entra IDのサインインログの保持期間がこれに満たない場合は、Log Analytics等へのエクスポートを検討してください。

参考資料

IPA「★3・★4 要求事項・評価基準」（2026年3月27日版Excel）https://www.ipa.go.jp/security/scs/requirements-criteria.html ／評価基準 3-1-1、4-1-1〜4-1-4、4-3-4、4-4-1、4-4-4、4-4-5、5-1-1、4-4-3
Microsoft「セキュリティの既定値群」https://learn.microsoft.com/en-us/entra/fundamentals/security-defaults
Microsoft「Privileged Identity Management の前提条件」https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-getting-started

本記事は2026年9月20日時点の公表資料および製品仕様に基づきます。ライセンス要件と機能名は変更される場合があります。
制度の運用開始前であり、解説書・自己評価等ガイド等の公開により内容が変わる可能性があります。