SC-900：Microsoft Security, Compliance, and Identity Fundamentals Microsoft コンプライアンス ソリューションの機能 問1
Microsoft コンプライアンス ソリューションの機能／Service Trust Portal とプライバシーの原則ある企業のセキュリティ担当者は、自社が利用を検討している Microsoft クラウド サービスについて、独立した第三者監査機関が発行した ISO 27001 や SOC 2 などの監査報告書を入手し、社内のベンダー リスク評価の証跡として保管したいと考えています。この目的に最も適した情報の入手先はどれですか。
当サイトのオリジナル問題（SC-900：Microsoft Security, Compliance, and Identity Fundamentalsの出題範囲「Microsoft コンプライアンス ソリューションの機能」に対応。実際の試験問題ではありません）
- AMicrosoft Purview コンプライアンス マネージャーで算出されるコンプライアンス スコア
- BMicrosoft Purview 監査(Audit)で検索した操作ログの結果
- CService Trust Portal で公開されている監査報告書やコンプライアンス ガイド
- DMicrosoft Entra 管理センターで確認できる監査ログ
正解：C
解説
Service Trust Portal は、Microsoft が自社のクラウド サービスについて独立した第三者監査機関から取得した ISO 27001 や SOC 2 などの監査報告書、コンプライアンス ガイド、データ保護に関する資料を公開する Microsoft 公式のポータルです。社内のベンダー リスク評価や監査対応の証跡として、これらの一次資料をダウンロードできます。一方、コンプライアンス マネージャーのスコアや Purview 監査、Microsoft Entra ID の監査ログは、いずれも自社テナント内の設定状況や操作履歴を可視化するものであり、Microsoft 側が受けた第三者監査の報告書そのものを提供するものではありません。したがって、独立監査報告書の入手を目的とする場合は Service Trust Portal が適切です。
選択肢ごとの解説
- A誤り。コンプライアンス マネージャーのコンプライアンス スコアは自社テナントの管理策の実施状況を測定する指標であり、Microsoft が受けた第三者監査の報告書そのものではありません。
- B誤り。Purview 監査の操作ログ検索結果は自社テナント内で行われた操作やイベントの記録であり、独立監査機関が発行した報告書ではありません。
- C正しい。Service Trust Portal は Microsoft のクラウド サービスに対する ISO 27001・SOC 2 などの第三者監査報告書やコンプライアンス ガイドを公開しており、独立監査報告書の入手先として適切です。
- D誤り。Microsoft Entra 管理センターの監査ログは自社テナントでのディレクトリ変更などの操作記録であり、Microsoft が受けた第三者監査の報告書ではありません。