SCS評価制度はMicrosoft 365でどこまで対応できる？★3への対応範囲を解説

「Microsoft 365を導入しているから、SCS評価制度への対応もある程度できているはず」「Business Standardのままでよいのか、Business Premiumが必要なのか分からない」

SCS評価制度の★3を検討する中小企業のIT担当者にとって、Microsoft 365で対応できる範囲は気になるポイントではないでしょうか。

SCS評価制度とは、企業のセキュリティ対策状況を共通の基準で評価し、★で可視化する制度です。
結論から言うと、Microsoft 365は★3に向けた技術対策を幅広く支援できますが、Microsoft 365だけで★3を取得できるわけではありません。

★3にはシステム設定のほか、社内規程、教育、取引先との取り決め、ネットワーク機器の管理なども含まれるためです。

この記事では、★3の評価基準81件とMicrosoft 365の対応範囲を整理します。

※本記事は2026年10月15日時点の公表情報をもとに作成しています。

この記事のポイント：

SCS評価制度の★3は、一般的なサイバー脅威に対処できるセキュリティ水準を示す段階です。確認範囲はIT製品の導入状況だけではありません。

分野	主な確認内容
ガバナンスの整備	セキュリティ推進体制、守秘義務、セキュリティ対応方針
取引先管理	取引先とのシステム上の関係、機密情報の取扱い、インシデント発生時の役割・責任
リスクの特定	情報機器・ソフトウェア・ネットワークの把握、外部情報サービス、機密区分
攻撃等の防御	ID・認証、アクセス権、教育・訓練、バックアップ、更新、マルウェア対策、ネットワーク境界防護
攻撃等の検知	ネットワーク接続・データの監視
インシデントへの対応	対応手順、連絡・報告ルート、点検、事例共有
インシデントからの復旧	事業継続要件に沿った復旧準備

★3の評価基準81件のうち約6割の48件が、「攻撃等の防御」に集中しています。ID管理、多要素認証、端末ロック、更新プログラムの適用、マルウェア対策などが主要な確認項目です。

7分野それぞれの要求事項と評価基準については、関連記事をご覧ください。

IPAが公表している★3の評価基準81件を、Microsoft 365の機能でどこまで対応できるかという観点から当社で整理すると、次の4つに分類できます。

対応区分	件数	Microsoft 365の位置付け
◎ 技術的に充足	23件	機能を設定すれば、評価基準を技術的に満たせる
○ 一部支援	24件	機能で支援できるが、ルール策定・文書化・運用が別途必要
△ 文書・体制が中心	23件	規程・体制・教育の整備が中心。Microsoft 365は掲載・周知・記録を補助
× 対象外	11件	ネットワーク機器・サーバー・物理対策など

◎と○を合わせた47件では、Microsoft 365が技術的に関与できます。
代表的な対策は、多要素認証、アカウント・管理者権限の管理、端末管理、マルウェア対策、外部共有の制御などです。

47件のうち27件は、Business BasicやBusiness Standardを含むすべてのプランで対応できます。残りの20件のうち、17件はBusiness Premium（またはE3／E5）が必要で、3件はバックアップなどのアドオンを追加して対応します。

ただし、これらの件数は★3の取得可否を示すものではありません。「Microsoft 365による設定」と「社内での運用」を分けて確認するための目安です。

Microsoft 365 Business BasicやMicrosoft 365 Business Standardでも、ユーザーIDや管理者IDの管理、セキュリティ既定値群による多要素認証、SharePointのアクセス権管理などを進められます。

一方、Microsoft 365 Business Premiumには、Microsoft Entra ID P1、Microsoft Intune Plan 1、Microsoft Defender for Business、Microsoft Defender for Office 365 Plan 1などが含まれます。
これにより、次のような対策を進めやすくなります。

• 条件付きアクセスによる、接続条件に応じた認証強化
• Microsoft Intuneによる端末、PIN、アプリ、更新プログラムの管理
• Microsoft Defender for Businessによるマルウェア対策と脅威検知
• Microsoft Defender for Office 365による、危険なリンクや添付ファイルへの対策
• Microsoft Purviewによる秘密度ラベルを使った情報保護

ただし、利用できる機能が契約に含まれているだけでは不十分です。対象ユーザーへの適用、例外設定の確認、認証方法の登録状況なども点検する必要があります。

★3の評価基準には、Microsoft 365の範囲外となる項目が11件あります。代表例は次のとおりです。

• ネットワーク構成や設置場所の把握
• ルーターやファイアウォールの台帳管理
• ネットワーク機器の管理パスワード変更
• ファイアウォールの受信通信・ルール管理
• 開発環境と本番環境の権限分離
• サーバーやネットワーク機器の設定変更管理

たとえば、Microsoft Defender for Businessは端末上で不正な通信を検知・遮断する対策に利用できます。しかし、オフィスのルーターや境界ファイアウォールの設定まで管理するものではありません。

このような項目には、ネットワーク機器側の設定、構成図、機器台帳、変更申請の記録など、Microsoft 365とは別の対策が必要です。

「文書・体制が中心」と整理される23件は、Microsoft 365の機能だけでは充足できません。一方で、文書の公開、周知、確認記録の保管には活用できます。

たとえば、次のような運用です。

• セキュリティ対応方針をSharePointに掲載
• 改定内容をTeamsやOutlookで周知
• Formsで確認済みの従業員を記録
• Plannerで年1回の点検を予定化
• Microsoft Listsで緊急連絡先を管理
• 教育資料と受講記録をSharePointに保管

重要なのは、ツールを使うこと自体ではなく、誰が、いつ、何を実施し、どこに記録を残したかを説明できる状態にすることです。

最初からすべての機能を導入するのではなく、次の順番で現状を確認することが重要です。

1. ★3の評価基準に対する現在の対応状況を確認する
2. Microsoft 365で設定できる項目を洗い出す
3. 現在のライセンスで利用できる機能を確認する
4. 規程・教育・点検記録などの運用面を整理する
5. ネットワークや物理対策などの対象外領域を分ける

すでに実施している対策でも、設定状況や点検結果が記録されていなければ、★3の確認を行う専門家に説明しにくくなります。設定変更と同時に、確認日、担当者、結果、証跡の保管場所を残す運用まで決めておきましょう。

Microsoft セキュア スコアを使った現状確認や、証跡の保存先・担当者・確認頻度の決め方は、関連記事で解説しています。

新しい機能を社内に浸透させる過程で、操作に関する問い合わせ対応や独自の運用ルールの乱立にお悩みの管理者様は少なくありません。本資料では、Microsoft 365の導入や運用定着、セキュリティ基盤の構築における実践的な事例集をご用意しました。

・従業員規模別（300名以下・301名以上）の厳選した7つの成功事例をご紹介
・運用ルールの体系化や、社内SNS活用による組織活性化のヒントを収録

Microsoft 365担当者様の負担軽減と、貴社のスムーズな運用定着を実現する一助としてぜひご活用ください。

▼【Microsoft 365導入事例】をダウンロードする

Microsoft 365は、SCS評価制度★3への対応を進める有力な基盤です。ただし、重要なのは機能を増やすことではなく、現在の設定、運用、証跡、対象外領域を整理することです。

私たちは、数あるクラウドツールの中でもMicrosoft 365に特化して支援を行ってきました。
だからこそ、導入前の検討・設計から、移行、運用、社内への定着まで、企業が「つまずきやすいポイント」を熟知しています。

【例えば、こんなご相談をよくいただきます】

13年以上・350社以上の導入実績をもとに、貴社の課題に寄り添った最適な運用をご提案します。
「まずは現状のモヤモヤを聞いてほしい」といった些細なご相談でも構いません。ぜひお気軽にお声がけください。

本記事の作成にあたり、以下の経済産業省、IPA、Microsoftの公式情報を参考にしています。

• サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）（経済産業省）
• SCS評価制度 要求事項・評価基準
• サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）（IPA）
• Microsoft 365 Business Premium