100%を追い求めるのはやめよう: Microsoft Secure Scoreの神話が消えるべき理由

By Mirko Peters · 2026-08-22

ブログへようこそ。Microsoft 365テナントを管理していると、Microsoft Defenderポータルを開いたときに、なんとも言えない不安を感じた経験がきっとあるはずです。Exposure Managementのセクションに移動し、組織のMicrosoft Secure Scoreを確認した瞬間、一気に焦りが込み上げてくる。42%は悪い数字なのか。四半期末までに90%にすべきなのか。なぜ情報システム部のBobは、残りの推奨事項をまだ解決していないのか。正直に言えば、多くのITadministratorやセキュリティ責任者は、Secure Scoreを学校の成績のように扱うという危険なわなに陥っています。A+未満であれば、ネットワークは脆弱であり、自分の仕事も危うく、ハッカーが実際に防御を突破しているのだと考えてしまうのです。

Automatically translated with AI from the original post. Read the English original

Cover: Microsoft Secure Score - Simply Explained

こうした考え方は誤っているだけでなく、組織の運用効率やセキュリティ態勢を実際に損なうおそれがあります。この投稿では、完璧な100%のSecure Scoreという神話を検証し、その計算方法を解説したうえで、中核となる柱を取り上げ、このツールを虚栄の指標ではなく実践的なロードマップとして活用する方法を紹介します。このテーマをさらに深く理解し、中核となる概念の解説を聞きたい場合は、関連するポッドキャストのエピソードMicrosoft Secure Score - Simply Explainedもぜひお聴きください。

Microsoft Secure Scoreの実際の意味

なぜ100%のスコアを追い求めることが無益なのかを理解するには、まずMicrosoft Secure Scoreとは何かを定義する必要があります。脆弱性スキャナーや自動化されたペネトレーションテストのように扱っている人が多すぎますが、どちらでもありません。Secure Scoreは本質的に、Microsoft 365テナント内で、Microsoftが推奨するセキュリティ制御がどれだけ有効化されているかを評価する構成測定ツールです。実際の脅威ではなく、お使いの構成を見ているのです。

これは、お使いのMicrosoftライセンス環境に合わせて調整された、対話型かつインテリジェントなチェックリストだと考えてください。多要素認証が全社的に強制されているか、従来の認証プロトコルがブロックされているか、セキュリティポリシーがユーザーとデバイス全体で有効になっているかといった、基本的なアーキテクチャやガバナンスに関する問いに答えてくれます。継続的に更新されるセキュリティ構成の状態を示し、サイバーインシデントが決して起きないという保証ではなく、基準値の測定として機能します。

Secure Scoreの実際の計算方法

Secure Scoreの計算の仕組みを理解すると、スコアが変動する理由や、完璧な数値がめったに達成できない理由が見えてきます。基本となる計算式は単純です。獲得ポイントを利用可能な合計ポイントで割ると、Secure Scoreのパーセンテージになります。ただし、ポイントの付与方法は推奨事項の種類によって異なります。

組織はおもに次の2つの仕組みでポイントを獲得します。

バイナリ制御: すべてか無かのどちらかの推奨事項です。たとえば、レガシ認証のブロックや基本的なセキュリティの既定値の適用は、実施されるか、されないかのどちらかです。制御が完全に有効であれば、利用可能なポイントをすべて獲得します。オフのままであれば、ポイントはゼロです。
比例制御: 導入率に応じて部分的にポイントを付与する推奨事項です。たとえば、BitLockerの暗号化が管理対象デバイスの80%に展開されて有効になっていれば、Secure Scoreはその制御に対して利用可能なポイントの約80%を付与します。この仕組みにより、大規模なユーザー基盤やデバイス群にセキュリティポリシーを展開する過程で、組織は段階的な進捗を確認できます。

100%のスコアが神話である理由

すべてのIT責任者が聞くべき厳しい真実があります。組織のSecure Scoreが100%であれば、何かを誤っている可能性が高いか、非常に単純で均質な環境で運用しているかのどちらかです。Microsoft自身も、組織が100%に到達することを想定していません。多くの現代的なエンタープライズにとって、避けがたい複数の要因があるため、全項目で完璧なスコアを達成することは現実的にほぼ不可能です。

まず、ライセンスの制約が大きく影響します。高度なセキュリティに関する推奨事項の多くは、Microsoft 365 E5 などの特定のライセンスや専用のアドオンが必要です。組織の主なライセンスが Business Standard や E3 の場合、価値の高い推奨事項の一部は恒久的に実施できず、達成可能なスコアの上限が決まってしまいます。

次に、業務要件が厳格なセキュリティ構成と衝突することがよくあります。古いプロトコルに依存する従来型の業務アプリケーションがあったり、外部パートナーの要件によって特定のベースラインポリシーを有効にできなかったりする場合があります。さらに、許容できる業務上のリスクや運用上の複雑さがあるため、すべての項目を機械的にオンにすると生産性を損ない、エンドユーザーの不満を招きかねません。健全な組織はセキュリティと使いやすさのバランスを取るものであり、その結果として Secure Score に差分が生じるのは自然なことです。

Secure Score の 4 つの柱

セキュリティの状態を効果的に管理するため、Microsoft は Secure Score の推奨事項を 4 つの主要な柱に分類しています。これらのカテゴリを理解すると、セキュリティチームは最も重要な領域に優先順位を付けて取り組めます。

ID

最新のクラウドアーキテクチャにおいて、ID こそが境界線です。この柱では、多要素認証 (MFA)、条件付きアクセスポリシー、強力なパスワード保護ルール、レガシ認証の完全な廃止に重点を置きます。侵害された資格情報は脅威アクターによる最も一般的な攻撃経路であるため、このカテゴリは通常、全体のスコアにおいて大きな比重を占めます。

デバイス

働く人々の分散が進むにつれて、エンドポイントのセキュリティは極めて重要になります。デバイスに関する推奨事項には、Microsoft Defender ウイルス対策の構成、攻撃面の減少 (ASR) ルールの有効化、BitLocker 暗号化の適用、改ざん防止の有効化が含まれます。改ざん防止により、ローカルユーザーや悪意のあるスクリプトが企業のノート PC やワークステーション上でセキュリティ機能を無効化することを防げます。

データ

データガバナンスは、侵害が発生するまで見過ごされがちです。この柱は、秘密度ラベル、データ損失防止 (DLP) ポリシー、自動暗号化、Microsoft Purview のコンプライアンス機能を中心としています。これらの制御により、組織は機密性の高い社内の知的財産や個人を特定できる情報を分類、保護、追跡できます。

アプリ

クラウドアプリのセキュリティでは、アプリガバナンス、サードパーティ製アプリのアクセス許可、OAuth の同意ポリシー、シャドー IT の利用状況を評価します。ユーザーがサードパーティ製の生産性ツールを M365 アカウントに自由に接続するため、不正なデータアクセスを防ぐにはアプリのアクセス許可を把握し続けることが不可欠です。

M365 セキュリティ指標に関するよくある誤解

セキュリティ指標に対する誤解は、誤った判断や的外れな非難につながりかねません。よくある誤解をいくつか解消しておきましょう。

誤解 1: スコアが高ければハッキングされない。 これは明らかに誤りです。Secure Score が高いということは、構成が Microsoft のベストプラクティスに沿っていることを意味するにすぎません。高度なゼロデイ攻撃、内部脅威、または巧妙なフィッシングキャンペーンに従業員が引っかかることから守ってくれるわけではありません。

誤解 2: スコアが低ければ、その組織は能力が低い。 十分に安全な組織でも、スコアが 70% から 85% の範囲にとどまることは珍しくありません。一方、創業間もない小規模企業は 30% から 45% 程度であることも多いです。状況がきわめて重要です。

誤解 3: 推奨事項はすべて実装しなければならない。 前述のとおり、推奨事項の中には従来のワークフローを壊すもの、必要なライセンスがないと実施できないもの、社内ポリシーに抵触するものがあります。こうした例外を文書化することは、IT 管理の通常の一部です。

実践的なロードマップとしての Secure Score の活用

Secure Score を威圧的な成績表として捉えるのではなく、成功している管理者は優先順位付きの作業キューとして活用しています。Microsoft Defender ポータル内の「推奨事項」セクションには、セキュリティへの影響の可能性、必要な構成手順、管理センターの該当ブレードへの直接リンクなど、貴重な技術的詳細が示されています。

重要なのは、Microsoft では管理者が推奨事項のステータスを変更できる点です。特定のコントロールがお客様のビジネスモデルに適用されない場合は、Risk Accepted（リスクを受容）またはResolved through Alternative Mitigation（代替の軽減策により解決済み）としてマークできます。この機能には 2 つの効果があります。スコアへの悪影響が取り除かれること、そして特定の判断がなぜ行われたのかを説明する永続的な監査証跡が作成されることです。このドキュメントは、将来の IT スタッフ、社内監査人、サイバーセキュリティ保険の提供者にとって非常に価値があります。

Secure Score を広範なセキュリティ戦略に組み込む

Secure Score は、セキュリティという大きなパズルの 1 つのピースにすぎないことを忘れてはいけません。Secure Score が測定するのは静的な構成のコンプライアンスであり、アクティブな脅威の探索やリアルタイム監視の代わりにはなりません。Secure Score は、Microsoft Defender XDR、Microsoft Sentinel、Microsoft Entra ID Protection などの高度なテレメトリツールと組み合わせることで最も効果を発揮します。

Secure Score は、ドアや窓に適切な鍵が取り付けられているかを確認しますが、Defender for Endpoint や Microsoft Purview は、実際の侵入の試みを監視し、境界内での不審な動作を追跡します。真のサイバーセキュリティには、継続的な監視、ユーザーのセキュリティ意識向上トレーニング、確実なパッチ管理、そして回復力のある運用ガバナンスを含む総合的なアプローチが必要です。

まとめ: 見かけの指標ではなく、実質的な改善に注力する

結局のところ、IT プロフェッショナルの主な目標は、Microsoft のダッシュボードで 100% という見栄えのよい数値を達成することではありません。目標は、組織のデータを保護し、ユーザーの ID を保護し、運用の回復力を確保するとともに、余計な摩擦を生じさせずにビジネスの生産性を高めることです。恣意的な見かけの指標を追い求めると、実装を急ぐことになり、ユーザーのワークフローが壊れ、IT チームが疲弊する結果につながりがちです。

不足しているパーセンテージを一つひとつ気にするよりも、セキュリティ態勢を確実に高める継続的かつ段階的な改善に注力してください。影響の大きい ID とデバイスのコントロールから優先して取り組み、ビジネス上の例外は慎重に文書化し、Secure Score は絶対的な基準ではなく、指針として活用してください。

このテーマについて、実際の管理者向けの実践的なアドバイスやアーキテクチャの洞察を含む、より詳しい議論をお聴きになりたい方は、関連するポッドキャストのエピソード Microsoft Secure Score - Simply Explained をぜひご覧ください。それでは次回まで、テナントの安全性と業務の円滑さを保ってください！