Microsoft Purview コンプライアンススコアの計算方法: ポイント、重み付け、ベースラインの実際の仕組み

By Mirko Peters · 2026-10-23

Microsoft Purview Compliance Manager のスコア計算を分かりやすく解説します。改善アクション、重み付け、ポイント、ベースラインがクラウドのセキュリティ評価にどう影響するかを学べます。

Automatically translated with AI from the original post. Read the English original

Microsoft Purview のコンプライアンススコアの計算方法を理解すると、IT 管理者やクラウドアーキテクトは、抽象的なセキュリティ評価を測定可能な進捗として捉えられるようになります。改善アクション、リスクの重み付け、責任共有モデル、既定のベースラインがどのように組み合わさるかを把握すれば、クラウドの構成を疑うことなく、組織のスコアを正しく解釈できます。

重要なポイント

• コンプライアンススコアは、各評価で完了した改善アクションによって獲得したポイントから算出される割合です。
• ポイントはリスクの重み付けに基づいて割り当てられ、影響の大きい予防的な技術コントロールは最大 27 ポイントになります。
• 既定の Data Protection Baseline 評価は、すべてのサブスクリプションレベルに含まれ、GDPR、NIST、ISO の主要な要件に対応しています。
• 1 つの技術的アクションが複数の規制ルールを満たす場合、複数の評価で同時にポイントを獲得できます。
• 新しい構成変更が Microsoft Purview のダッシュボードに反映されるまで、通常は約 24 時間かかります。

経営陣が Microsoft Purview ポータルにサインインして Compliance Manager のダッシュボードを開くと、まず目に入るのは、大きく表示された 1 つの割合です。整理されていないスプレッドシートや年次監査に慣れたチームにとって、この数値は組織の健全性を即座に把握できるスナップショットになります。ただし、この数値の背後にある計算方法は分かりにくいことがよくあります。インターフェイスをチームの味方にするには、ポイントがどのように蓄積されるか、重み付けがどのように割り当てられるか、そして設定に触れていないのにスコアが変動する理由を理解する必要があります。

コンプライアンススコアの仕組み

基本的に、コンプライアンススコアは比率です。獲得したポイントを合計可能なポイントで割り、パーセンテージで表したものです。組織が改善アクションを完了するたび、または Microsoft が責任共有モデルに基づく自社分を完了するたびに、合計ポイントに加算されます。

ただし、全体スコアは個々の評価スコアの単純な平均ではありません。コンプライアンスの枠組みは重複することが多いため、1 つの技術的な対策で複数の規制の要件を満たせる場合があります。GDPR の評価と NIST の評価の両方に該当するアクションを完了すると、獲得したポイントは両方の枠組みに寄与します。その結果、同じ基盤のセキュリティ構成であっても、追跡する評価の数が多いほど、全体の獲得ポイントが増える場合があります。

リスクの重み付け: 予防的アクションと検出的アクション

すべての改善アクションが同じ重要度を持つわけではありません。Microsoft Purview は、各アクションがリスクをどれだけ軽減できるかに基づいて重み付けを行います。この重み付けの仕組みは自動的な優先順位付けエンジンとして機能し、技術チームを、最もセキュリティ上の投資効果が高い活動へと導きます。

予防的なアクションは、セキュリティの設定ミスや脅威が表面化する前にそれを防ぎ、簡単に回避できないものであり、最も高いポイントが割り当てられます。一方、検知的なアクションは、異常が発生した後に監視やログ記録を行うだけのもので、割り当てられるポイントは少なくなります。標準テンプレート全体では、最も価値の高いアクションは最大27ポイントです。一方、影響の小さいものやドキュメント作成が中心のタスクは1ポイントにとどまる場合もあります。この尺度を理解しておけば、影響の大きい技術的な構成が手つかずのまま残っている間に、チームが価値の低い管理タスクを何週間も追いかけてしまうことを防げます。

データ保護ベースラインの役割

初心者がよく混乱するのは、カスタムルールを一つも設定していない初日から、すでにスコアが存在することに気づく場面です。この初期値は、すべての Microsoft 365 サブスクリプションレベルに含まれる既定の評価である「データ保護ベースライン」によって決まります。

ベースラインには、NIST、ISO、FedRAMP、GDPR などの世界的に認知された標準や規制から取り出した基本的な管理項目が含まれています。コンプライアンス マネージャーは、既存のテナント設定を初期状態のまま確認し、既定で有効になっているベースラインのセキュリティ管理策に対してポイントを付与します。これにより、組織は白紙の状態から始めるのではなく、すぐに機能する出発点を得られます。

責任共有モデルと自動テスト

コンプライアンス スコアの健全性は、責任共有モデルに大きく依存します。Microsoft はクラウド インフラストラクチャのセキュリティの大部分を代わりに担っており、コンプライアンス マネージャーは、これらのバックエンドの保護策についても組織に自動的にクレジットを付与します。つまり、スコアは Microsoft のクラウド エンジニアリング チームと、社内の管理者の両方の取り組みを反映したものになります。

さらに、多くの技術的なアクションには自動テストが組み込まれています。コンプライアンス マネージャーは、手動による証拠や手書きのメモを求める代わりに、Microsoft Secure Score や Defender for Cloud からテレメトリを直接取得し、設定が適切に維持されているかを検証します。自動テストによって繰り返しの管理作業は減りますが、該当する項目は手動編集がロックされます。管理者による制御の一部を手放すことと引き換えに、継続的で自動化された正確性を得る仕組みです。

スコアの更新は、即座に結果が出るスロットマシンの表示ではないことに注意してください。新しいセキュリティ ポリシーを実装したり、テナント設定を切り替えたりした場合は、テレメトリの処理とダッシュボードの状態の更新に最大24時間かかることを想定してください。

まとめ

Microsoft Purview のコンプライアンス スコアの計算方法を理解すると、このツールは近寄りがたいブラック ボックスから、クラウド セキュリティのための戦略的なロードマップへと変わります。ポイント、リスクの重み付け、ベースラインがどのように相互作用するかを把握すれば、チームは価値の高いタスクに優先順位を付け、関係者や監査人に進捗を明確に伝えられるようになります。

Microsoft 365 の管理とガバナンスをさらに簡素化することに関心がありますか? エピソード全編を聴いて、コンプライアンス マネージャーのワークフロー、役割、評価について、専門用語を避けた包括的な解説をご覧ください。

よくある質問

Microsoft Purview コンプライアンス マネージャーではポイントはどのように計算されますか?

ポイントは、評価内で完了した改善アクションごとに付与されます。各アクションには、予防的、検知的、是正的のいずれのセキュリティ対策であるかに応じて決まる重み(1～27ポイント)が設定されています。

設定を変更していないのに、全体のコンプライアンス スコアが変わるのはなぜですか?

新しい評価を追加した場合、自動テストによって背景の管理策の検証状態が更新された場合、またはテナントに紐づく責任共有の管理策が Microsoft によって更新された場合に、全体のスコアが変動することがあります。

1つの構成変更は、複数のコンプライアンス評価に影響しますか?

はい。ある技術的な改善アクションが、有効な複数の規制テンプレート(GDPR や ISO 27001 など)の要件を満たす場合、そのポイントは関連するそれぞれの評価に加算され、全体のスコアを効率よく引き上げます。

設定を変更してから、コンプライアンス スコアが更新されるまでどのくらいかかりますか?

構成の変更は技術環境にはすぐに反映されますが、コンプライアンス マネージャーのダッシュボードとスコアには、更新された状態を処理して表示するまで通常最大24時間かかります。