Microsoft セキュア スコア は、組織のセキュリティ体制を測定する指標であり、スコアが高いほど、推奨される対策がより多く実施されていることを示します。 これは、Microsoft Defender ポータルの Microsoft セキュア スコア で確認できます。
セキュリティ スコアの推奨事項を実行することにより、組織を脅威から保護できます。 組織は、Microsoft Defender ポータルの一元化されたダッシュボードから、Microsoft 365 の ID、アプリ、デバイスのセキュリティを監視および操作できます。
セキュア スコアは、次のような方法で組織の役に立ちます。
- 組織のセキュリティ体制の現在の状態について報告します。
- 検出可能性、可視性、ガイダンス、制御機能を提供して、セキュリティ体制を改善します。
- ベンチマークと比較し、主要業績評価指標 (KPI) を確立します。
セキュア スコアの概要については、このビデオをご覧ください。
指標と傾向の堅牢な視覚化、他の Microsoft 製品との統合、類似組織とのスコア比較などを、組織で利用することができます。 スコアは、Microsoft 以外のソリューションが推奨されるアクションに対処した場合にも反映されます。
メカニズム
次のアクションのポイントを取得します。
- 推奨されるセキュリティ機能の構成
- セキュリティ関連のタスクの実行
- Microsoft 以外のアプリケーションまたはソフトウェア、または代替の軽減策を使用して推奨されるアクションに対処する
推奨されるアクションの中には、完全に完了した時点でのみポイントが与えられます。 一部のデバイスまたはユーザーのタスクが完了すると、一部のアクションによって部分的なポイントが発生します。 推奨されるアクションの 1 つを適用できない場合、または実行したくない場合は、リスクを受け入れるか、残りのリスクを受け入れることを選択できます。
サポートされている Microsoft 製品のいずれかのライセンスをお持ちの場合は、それらの製品に関する推奨事項が表示されます。 ライセンス エディション、サブスクリプション、プランに関係なく、製品に関して考えられる推奨事項の完全なセットが表示されます。 これにより、セキュリティのベスト プラクティスを理解し、スコアを向上させることができます。 セキュリティ スコアで表される絶対的なセキュリティ体制は、organizationが特定の製品に対して所有しているライセンスに関係なく同じままです。 セキュリティは使いやすさとバランスが取れている必要があり、すべての推奨事項がご使用の環境に適しているわけではないことを覚えておいてください。
スコアはリアルタイムで更新され、視覚化と推奨されるアクション ページに表示される情報が反映されます。 またセキュア スコアは毎日同期を行い、各アクションで達成されたポイントに関するシステム データを受信します。
注:
Microsoft TeamsおよびMicrosoft Entra関連する推奨事項の場合、構成状態で変更が発生すると推奨事項の状態が更新されます。 さらに、推奨事項の状態は、それぞれ月に 1 回または週に 1 回更新されます。
推奨されるアクションのスコア付け方法
推奨される各アクションは 10 ポイント以下の価値があり、そのほとんどはバイナリ形式でスコア付けされます。 新しいポリシーの作成や特定の設定の有効化など、推奨されるアクションを実装すると、ポイントの 100% が得られます。 その他の推奨されるアクションの場合、ポイントは構成全体に対する割合として指定されます。
たとえば、推奨されるアクションでは、多要素認証を使用してすべてのユーザーを保護することで 10 ポイントを取得するとします。 保護されているユーザーの総数は 100 人のうち 50 人だけなので、5 ポイントの部分スコア (50 個の保護されたポイント/ 100 個の合計 * 10 個の最大 pts = 5 pts) が得られます。
Microsoft セキュア スコア の使用を開始する
セキュア スコアに含まれる製品
現在、次の製品に関する推奨事項があります。
- アプリ ガバナンス
- Microsoft Entra ID
- Citrix ShareFile
- Microsoft Defender for Endpoint（エンドポイント用マイクロソフトディフェンダー）
- Microsoft Defender for Identity
- Office のMicrosoft Defender
- DocuSign
- エクスチェンジ・オンライン
- GitHub
- Microsoft Defender for Cloud Apps（クラウドアプリを守るマイクロソフトのセキュリティサービス）
- Microsoft Purview 情報保護
- Microsoft Teams
- Okta
- Salesforce
- ServiceNow
- SharePoint オンライン
- ズーム
その他のセキュリティ製品の推奨事項は近日リリース予定です。 推奨事項は、各製品に関連付けられているすべての攻撃対象領域をカバーしているわけではありませんが、適切なベースラインです。 推奨されるアクションを、Microsoft 以外のソリューションまたは代替の軽減策の対象としてマークすることもできます。
セキュリティの既定値
Microsoft セキュア スコア には、一般的な攻撃に対する事前構成済みのセキュリティ設定を使用してorganizationを保護しやすくするために、Microsoft Entra IDのセキュリティの既定値をサポートするための推奨されるアクションが更新されました。
セキュリティの既定値をオンにすると、次の推奨されるアクションの完全なポイントが付与されます。
- すべてのユーザーがセキュリティで保護されたアクセス (9 ポイント) の多要素認証を完了できることを確認する
- 管理ロールに MFA を要求する (10 ポイント)
- レガシ認証をブロックするポリシーを有効にする (7 つのポイント)
重要
セキュリティの既定値には、サインイン リスク ポリシーと同様のセキュリティを提供するセキュリティ機能と、ユーザー リスク ポリシーの推奨アクションが含まれます。 セキュリティの既定値に加えてこれらのポリシーを設定する代わりに、状態を Resolved through alternative mitigationに更新することをお勧めします。
Secure Score のアクセス許可
重要
Microsoft では、アクセス許可が可能な限りで少ないロールを使用することをお勧めします。 これにより、組織のセキュリティが向上します。
Microsoft Defender Unified role based access control(RBAC)で権限管理
Microsoft Defender Unified Role-based Access Control(RBAC)では、Secure Scoreに特定の権限を持つカスタムロールを作成できます。 これらの権限はDefender Unified RBAC権限モデルのセキュリティ・ポスチャーカテゴリにあり、読み取り専用アクセスではExposure Management(read)、Secure Score推奨を管理するユーザー向けにはExposure Management(管理)と呼ばれています。
ユーザーがSecure Scoreデータにアクセスするためには、Microsoft Security Exposure ManagementのデータソースにDefender Unified RBACのカスタムロールが割り当てられます。
Microsoft Defender Unified RBACを使ってSecure Score権限を管理する方法を始めるには、Microsoft Defender Unified Role-based Access Control(RBAC)をご覧ください。
注:
Defender Unified RBACはSecure Scoreアクセスのために自動的に有効です。 いずれかのアクセス許可を持つカスタム ロールが作成されると、割り当てられたユーザーに即座に影響します。 アクティブ化する必要はありません。
現在、モデルはMicrosoft Defender ポータルでのみサポートされています。 GraphAPI (内部ダッシュボードや Defender for Identity Secure Score など) を使用する場合は、引き続きMicrosoft Entraロールを使用する必要があります。 GraphAPI のサポートは後日対応予定です。
Microsoft Entra グローバル ロールのアクセス許可
Microsoft Entraグローバル ロール (セキュリティ管理者など) は、引き続きセキュリティ スコアにアクセスするために使用できます。 サポートされているMicrosoft Entraグローバルロールを持つが、Microsoft Defender Unified RBACでカスタムロールに割り当てられていないユーザーは、以下のようにSecure Scoreデータを閲覧(および許可される範囲で管理)できます。
次のロールは、読み取りおよび書き込みアクセス権を持ち、変更を加え、Secure Score と直接対話し、他のユーザーに読み取り専用アクセスを割り当てることができます。
- セキュリティ管理者以上
- Exchange 管理者
- SharePoint 管理者
次のロールには読み取り専用アクセス権があり、推奨されるアクションの状態やメモの編集、スコア ゾーンの編集、カスタム比較の編集はできません。
- ヘルプデスク管理者
- ユーザー管理者
- サービス サポート管理者
- セキュリティ リーダー
- セキュリティ オペレーター
- グローバルリーダー
注:
最小特権アクセスの原則に従う場合（ユーザーやグループには、その職務の遂行に必要なアクセス許可のみを付与するという原則）、Microsoft では、Secure Score のアクセス許可を持つカスタム ロールが割り当てられているユーザーまたはセキュリティ グループから、既存の特権レベルの高い Microsoft Entra グローバル ロールを削除することを推奨しています。 これにより、カスタムのMicrosoft Defender Unified RBACロールが有効に機能します。
リスク認識
Microsoft セキュア スコアは、システム構成、ユーザーの行動、その他セキュリティ関連の測定に基づいて、セキュリティ体制の概要を数値的に表したものです。 これは、システムまたはデータが侵害される可能性を絶対的に測定することではありません。 代わりに、Microsoft 環境でセキュリティ制御を使用している範囲を表します。これは、侵害のリスクを相殺するのに役立ちます。 オンライン サービスはセキュリティ侵害から免除されません。セキュリティ スコアは、セキュリティ侵害に対する保証として解釈しないでください。
ご意見をお聞かせください。
問題がある場合は、Defender XDR コミュニティに投稿して、お知らせください。
関連リソース
ヒント
さらに詳しく知りたいですか？ Tech Community 内の Microsoft Security コミュニティにご参加ください: 「Microsoft Defender XDR Tech Community」。