Microsoft Compliance Manager

Microsoft Compliance Manager は、Microsoft Purview コンプライアンス ポータルに含まれるツールです。規制フレームワークに照らして組織のコンプライアンス体制を評価、監視、改善するのに役立ちます。選択した標準の要件に対して組織の制御がどの程度適合しているかを数値で示す compliance score を提供します。Compliance Manager は、Microsoft 365 または Azure のサブスクリプションを持つ組織が利用できます。

Compliance Manager には、Microsoft Purview compliance portal (compliance.microsoft.com) からアクセスします。ホーム ダッシュボードには、全体のコンプライアンス スコア、カテゴリ別の内訳（データ保護、アクセス制御、インシデント管理）、評価の一覧が表示されます。このツールを使うためにコンプライアンスの専門家である必要はありません。各標準の要件に沿って、手順を追って案内してくれます。

Compliance Manager の assessment は、特定の規制フレームワーク（ISO 27001、GDPR、HIPAA など）に照らした組織の評価を表します。各評価には、規制から抽出された一連の controls に加えて、Microsoft-managed actions（Microsoft が代わりに処理する制御）と customer-managed actions（利用者自身で実装する必要がある制御）が含まれます。複数の規制について、同時に評価を作成できます。

compliance score は 0～100% の割合で、作成した評価に対して組織の制御がどの程度実装されているかを示します。次の項目に対してポイントが付与されます。

• Microsoft-managed actions — Microsoft の制御が適用されている場合に自動的に加点されます
• Customer-managed actions — アクションを実装済みとしてマークし、必要に応じて証拠をアップロードすると加点されます

スコアが高いほど制御の適用範囲が広いことを意味しますが、実際の規制コンプライアンスを保証するものではありません。

Improvement actions は、コンプライアンス スコアを向上させるために実行できる具体的な手順です。各アクションには、実装内容の説明、関連する規制、獲得できるポイント数、実装ガイダンス（Microsoft のドキュメントへのリンクを含むことが多い）、実装状況を記録するフィールドが含まれます。アクションは、Protect Information、Manage Devices、Control Access などのカテゴリ別にグループ化されています。

カスタマー管理のアクションでは、Compliance Manager に evidence documents（スクリーンショット、監査レポート、ポリシー文書、テスト結果など）をアップロードして、制御が実装されていることを示せます。これにより、監査人や検査官と共有できる compliance evidence trail が作成されます。証拠書類は Compliance Manager ポータルに保存され、いつでもダウンロードできます。

Compliance Manager には、評価の作成に使用できる 300 種類を超える規制テンプレートが含まれています。テンプレートには、国際標準（ISO 27001、NIST CSF）、業界固有の規制（PCI DSS、HIPAA）、地域の法律（GDPR、LGPD、CCPA）などがあります。Microsoft 365 の範囲を超える規制に対応するプレミアム テンプレートを利用するには、追加のライセンス（Microsoft 365 E5 Compliance や Compliance Manager add-on など）が必要です。

Compliance Manager は、各改善アクションについて次の項目を追跡します。

• Implementation status — 未実装、実装済み、代替実装、計画済み
• Test status — 未テスト、合格、不合格、評価なし
• Test date — 最後にテストを実施した日付

証拠をアップロードせずにアクションを「実装済み」としてマークしてもポイントは付与されますが、正式な監査で確認を求められる可能性があります。状況を示す実際の証拠を必ず用意してください。

Compliance Manager はロールベースの委任に対応しており、特定の改善アクションを個々のチーム メンバーやグループに割り当てることができます。これは、異なるチームがそれぞれ異なる制御領域を担当する大規模な組織で役立ちます（セキュリティ チームはアクセス制御、人事チームはポリシー研修、IT 運用チームはインフラストラクチャ制御を担当する場合など）。割り当てられたユーザーは通知を受け取り、アクションの状態を直接更新できます。

Compliance Manager と Azure Policy は、コンプライアンスの異なる側面に対応します。

• Compliance Manager — 規制フレームワークに照らして組織の制御を追跡します。技術的な制御だけでなく、人やプロセスに関する制御にも重点を置きます。Purview コンプライアンス ポータルから操作します
• Azure Policy — Azure リソースの技術的な構成を適用および監査します。インフラストラクチャのコンプライアンスを自動化します。Azure portal から操作します

包括的なコンプライアンス プログラムには、両方が必要です。

Compliance Manager では、評価結果を Excel にエクスポートして、監査人、経営陣、規制当局と共有できます。エクスポートには、すべての制御、その状態、テスト結果、証拠へのリンクが含まれます。多くの組織では、このエクスポートを Statement of Applicability (SoA) の基礎として使用します。これは ISO 27001 で必要とされる文書で、すべての制御とその実装状況を一覧にしたものです。

このレッスンで学んだ Microsoft Azure Fundamentals (AZ-900) の概念について、理解度を確認します。

このレッスンでは、Compliance Manager が 300 を超える規制フレームワークに対応付けられたコンプライアンス スコアと改善アクションを提供すること、Microsoft-managed actions は自動的に加点される一方で、customer-managed actions では利用者が制御を実装して記録する必要があること、そして監査証跡を構築するために evidence documents をアップロードできることを学びました。次は、GDPR 固有の要件と Azure での実装方法について説明します。