compliance-manager

Microsoft Purview Compliance Manager

Compliance Manager は、コンプライアンス態勢とエビデンスを管理するプラットフォームです。Microsoft クラウドの制御項目、テナントの構成、手動で用意したエビデンスを、規制テンプレート（ISO、NIST、SOC 2、PCI、HIPAA、GDPR、FedRAMP、IRAP、Essential Eight、DORA、EU AI Act など）に対応付け、コンプライアンススコアを提示し、監査対応のエビデンス収集とともに改善アクションを追跡します。

使用する場面

• 1 つ以上の規制評価を作成または維持する場合。
• 監査用のエビデンスパッケージ（SOC 2、ISO 27001 のサーベイランス監査など）を作成する場合。
• 経営指標として、コンプライアンススコアの推移を追跡する場合。
• カスタムの社内フレームワークを Compliance Manager の評価に対応付ける場合。

Defender for Cloud の規制ダッシュボード（defender-for-cloud-hardening）、Records Management（purview-records-management）、M365 Secure Score（一般的なセキュリティテレメトリ）には、このスキルを使用しないでください。

概念マップ

概念	内容
テンプレート	規制／標準（例：「ISO/IEC 27001:2022」）
評価	製品／グループを対象範囲とするテンプレートのインスタンス（例：「M365 ISO 27001」）
改善アクション	個別の制御タスク（Microsoft 管理または顧客管理）
Microsoft 管理アクション	Microsoft が維持管理し、達成分として引き継がれます。作業は不要です
顧客管理アクション	実装、文書化、エビデンスの提出が必要です
エビデンス	アクションに添付するファイル、リンク、自動テストの結果
評価グループ	論理的なまとまり（例：事業部門の対象範囲に含まれるすべての評価）
継続的評価	対応している技術的アクションの自動再テスト

進め方

1. まず、対応すべき要件をテンプレートに対応付けます。 事業で遵守すべき規制をリストアップし、Compliance Manager のテンプレートに照らし合わせます。幅広く対応していますが、社内フレームワークがすべてあらかじめ用意されているわけではありません。不足分はカスタムテンプレートで補います。

2. 10 件ではなく、まず基準となる評価を 1 件から始めます。通常は ISO 27001 または NIST CSF を「Microsoft 365」または「Microsoft 365 + Azure」の対象範囲で設定します。展開を広げる前に、価値を示しましょう。

3. 最初に Microsoft 管理アクションを確認します。 これらは自動的に達成分として加算されます。残る顧客管理アクションが、実際に対応すべき作業です。

4. 顧客管理アクションごとに、次の作業を行います。

   • 期限を設定して担当者を割り当てます。
   • 実装状況を定義します（未実装 → 一部実装 → 実装済み）。
   • エビデンス（ポリシー文書、スクリーンショット、構成のエクスポート、Defender for Cloud のコンプライアンスレポート、監査ログのクエリ）を添付します。
   • 自動テストに対応している技術的アクションでは、テストを構成して継続的に再実行されるようにします（M365、Entra、Defender for Cloud）。

5. 評価をグループ化します。 複数の規制に対応する環境では、重複する制御作業が発生します（NIST AC-2 と ISO 27001 A.9.2 はほぼ同じ内容です）。グループ化した評価で改善アクションを共有し、1 回の実装がすべての評価に反映されるようにします。

6. 社内フレームワーク向けのカスタムテンプレートを作成します。 CSV／Excel インポート（制御 ID、ファミリー、タイトル、説明、テスト手順、アクションの種類）でテンプレートを作成します。Microsoft のカタログにまだない業界フレームワークや、社内向けのコンプライアンスレイヤーに役立ちます。

7. エビデンスリポジトリを適切に管理します。 エビデンスの保存場所を一元化します（評価ごとに SharePoint フォルダーを用意します）。バージョン、日付、担当者を明記します。監査の時期になってから、8 か月前のスクリーンショットを探し回ることのないようにしましょう。

8. レポートを作成します。

   • 評価ごとのコンプライアンススコアの推移（毎月、経営陣に報告）。
   • 担当者別および経過期間別の未完了の改善アクション。
   • エビデンスの鮮度（12 か月を超えるものにフラグを設定）。
   • 監査担当者や GRC ツール向けに PDF／Excel へエクスポート。

9. 継続的に再評価します。 評価ごとに四半期ごとの社内レビューを予定します。外部監査で逸脱が見つかるまで待たないでください。

ガードレール

• Compliance Manager のスコアは監査の判定ではありません。 アクションの状態から Microsoft が算出する、コンプライアンス状況の指標です。監査人は証拠を求めます。スコアは作業の優先順位付けに役立ちますが、監査に合格したことを示すものではありません。
• 証拠なしに、顧客管理のアクションを「実装済み」にしないでください。 これは監査に失敗するケースです。今スコアを水増しすると、後で恥をかくことになります。
• Microsoft 管理のクレジットは Microsoft のサービスに対するものです。 そのサービス内のテナント構成は、引き続きお客様の責任です（例：Microsoft 管理の暗号化 ≠ お客様の CMK 構成）。
• カスタムテンプレートには継続的なテストがありません。 技術的なアクションを自動化する組み込みテンプレートは再テストされますが、カスタムテンプレートでは証拠を手動で更新する必要があります。
• 評価をまたいで作業を重複させないでください。 グループ化を使わないと、同じ管理策を 5 回実装することになります。
• Compliance Manager は Purview ライセンスが必要な機能です。 一部のテンプレートはプレミアムアドオンです（特定の地域・業界向けテンプレート）。SKU ごとにテンプレートを利用できるか確認してください。
• Compliance Manager の証拠は、法的な記録保持用の保管場所ではありません。 実際の記録管理には、Records Management と併用してください。

よくあるアンチパターン

• 「スコアが 92% → コンプライアンスに準拠している」 — スコアは内部指標です。監査人がテストするのは管理策であり、Microsoft のスコアではありません。
• 「証拠をアップロードせずにアクションを完了済みにした」 — 直ちに監査に失敗します。
• 「最初の 1 週間で 15 件の評価を作成した」 — どれも証拠が維持されず、すべて劣化します。
• 「Compliance Manager の証拠を個人用 OneDrive フォルダーに保存した」 — 引き継ぎに伴うリスクがあり、監査時に見つけられません。
• 「Microsoft 管理アクションのコンテキストを無視した」 — お客様側のオプションを構成せずに、Microsoft のクレジットを申告しています（例：監査で求められているのに Customer Key を有効にせず、「暗号化」のクレジットを申告する）。
• 「カスタムテンプレートを UI で手作業で作成した」 — 時間がかかり、バージョン管理もできません。CSV インポートを使い、CSV をソース管理してください。
• 「継続的評価を無視し、自動テストされる技術的管理策の証拠としてスクリーンショットを手動で用意した」 — 無駄な作業です。

プロンプトの例

• 医療機関向けの M365 + Azure テナントで、SOC 2 Type II、ISO 27001、HIPAA をグループ化した Compliance Manager の導入計画を作成してください。
• 社内の管理策フレームワーク CSV から、カスタム評価テンプレートを作成してください。
• ISO 27001 のサーベイランス監査に向けた準備として、証拠リポジトリの構成とタグ付け規則を作成してください。
• NIST 800-53 と ISO 27001 に重複する顧客管理アクションを特定し、共通アクションに統合してください。
• 四半期ごとの内部レビュー手順書を作成してください。証拠の鮮度、再テストの状態、古くなったアクションの再割り当てを検証する方法を含めてください。
• Compliance Manager の NIST CSF 対応範囲を現在の GRC ツールと比較し、移行案を提案してください。
• FedRAMP Moderate の評価で、Entra、M365、Defender for Cloud のアクションに対する技術的テストを自動化してください。

Microsoft Learn

• Compliance Manager の概要：https://learn.microsoft.com/purview/compliance-manager
• テンプレート一覧：https://learn.microsoft.com/purview/compliance-manager-templates-list
• 評価：https://learn.microsoft.com/purview/compliance-manager-assessments
• 改善アクション：https://learn.microsoft.com/purview/compliance-manager-improvement-actions
• 継続的評価：https://learn.microsoft.com/purview/compliance-manager-setup#turn-on-automatic-testing
• カスタムテンプレート（CSV インポート）：https://learn.microsoft.com/purview/compliance-manager-templates
• 証拠：https://learn.microsoft.com/purview/compliance-manager-improvement-actions#how-to-export-an-improvement-action-report
• コンプライアンススコアの計算：https://learn.microsoft.com/purview/compliance-score-calculation
• ロールのアクセス許可：https://learn.microsoft.com/purview/compliance-manager-setup#set-user-permissions-and-assign-roles