Microsoft Defender service descriptionの2026年4月更新でまず押さえるべき結論は、Defenderを「単体のウイルス対策」ではなく、デバイス、ID、SaaS、メール、脆弱性、脅威インテリジェンスを横断するセキュリティ基盤として確認する必要があるという点です。特にsecurity admins、identity teams、compliance teamsは、機能名だけでなく「どのライセンスで使えるか」「テナント全体に有効化されるか」「特定ユーザーに限定できるか」を見直すべきです。
Microsoft公式のService Descriptions日本語版では、Microsoft Defender service descriptionが2026年4月22日に更新されています。本文では、公式記載をもとに、管理者が実務で確認すべき更新ポイント、ライセンス判断、運用上の注意点を整理します。Microsoft Defenderは、Microsoft環境と非Microsoft環境をまたいで、デバイス、ID、アプリケーション、メール、データを保護する包括的なセキュリティプラットフォームとして説明されています。(Microsoft Learn)
Microsoft Defenderの最新動向：Service Descriptionsで何が確認できるか
Microsoft Defender service descriptionは、単なる製品紹介ページではありません。実務上は、Defender系サービスの適用範囲とライセンス権利を確認するための基準資料として読むべきページです。
Microsoft 365のService Descriptionsでは、テナントレベルのサービスについて「テナント内のすべてのユーザーに対して一部または完全に有効になるオンラインサービス」と説明し、利用には適切なサブスクリプションライセンスが必要だとしています。さらに、一部のテナントサービスでは、特定ユーザーだけにメリットを限定できない場合がある点も明記されています。(Microsoft Learn)
このため、2026年4月更新版を見るときの実務上の焦点は、次の3つです。
| 確認ポイント | 管理者が見るべき内容 | 放置した場合のリスク |
|---|---|---|
| サービス範囲 | Defender for Endpoint、Defender for Identity、Defender for Office 365など、どの領域を守るサービスか | 「Endpointだけ導入済み」と思っていたが、IDやSaaSの監視が不足する |
| ライセンス権利 | 単体ライセンス、Microsoft 365 E5、Business Premium、Defender Suiteなどのどれで利用できるか | 利用権のないユーザーや対象資産に機能を適用してしまう |
| テナント適用 | 既定でテナントレベル有効か、スコープ付き展開が可能か | ライセンス付与範囲と実際の保護範囲がずれる |
特にグローバル企業では、日本語版・英語版・契約文書・管理センター表示で表現が異なる場合があります。記事や社内資料に転記するだけでなく、最終判断は自社テナント、Microsoft 365管理センター、Product Terms、Message Centerの情報と突き合わせることが重要です。
2026年4月更新版で扱われている主なMicrosoft Defenderサービス
今回のService Descriptionsでは、Microsoft Defenderの説明対象として、Defender for Business、Defender for Cloud Apps、Defender for Endpoint、Defender for Identity、Defender for IoT、Defender Vulnerability Management、Defender Experts、Defender Threat Intelligence、Defender for Office 365などが整理されています。Microsoft 365 security & compliance guidance側でも、Defenderのサービス説明にこれらのカテゴリが含まれることが示されています。(Microsoft Learn)
実務では、サービス名を暗記するよりも、次のように「守る対象」で分けると理解しやすくなります。
| 守る対象 | 該当する主なDefenderサービス | 主な確認担当 |
|---|---|---|
| PC、サーバー、モバイル、IoT | Microsoft Defender for Endpoint、Defender for Business、Defender for IoT、Vulnerability Management | security admins |
| ID、Active Directory、ハイブリッドID | Microsoft Defender for Identity | identity teams |
| SaaSアプリ、OAuthアプリ、生成AIアプリ利用 | Microsoft Defender for Cloud Apps、App governance | security admins、identity teams |
| メール、Teams、SharePoint、OneDrive | Microsoft Defender for Office 365 | security admins、compliance teams |
| SOC運用、脅威ハンティング | Defender Experts for XDR、Defender Experts for Hunting、Defender Threat Intelligence | security admins、SOC |
| ラベル、情報保護、DLPとの接点 | Defender for Cloud Apps、Microsoft Purview関連機能 | compliance teams |
ここで重要なのは、Defenderのサービス境界が「セキュリティ管理者だけの範囲」に収まらないことです。たとえば、Defender for Cloud Appsの条件付きアクセスアプリ制御はEntra IDのライセンス要件と関係し、ラベル付け機能は情報保護系ライセンスと関係します。セキュリティ、ID、コンプライアンスの各チームが別々に判断すると、導入後に「機能は見えるが使えるユーザーが限られる」という問題が起きやすくなります。
Defender for Businessとサーバーアドオン：中小企業は上限を確認する
Microsoft Defender for Businessは、最大300人の従業員を持つ中小企業向けのエンドポイントセキュリティソリューションとして説明されています。Microsoft 365 Business Premiumに含まれるほか、スタンドアロン版も用意されています。Defender for Business Servers add-onは、WindowsおよびLinuxサーバーを保護するためのアドオンですが、購入・利用にはMicrosoft 365 Business PremiumまたはDefender for Businessのライセンスが少なくとも1つ必要です。さらに、Defender for Business Serversには顧客あたり60ライセンスの上限が示されています。(Microsoft Learn)
中小企業やグローバル拠点の小規模テナントでは、ここを見落としやすいです。
たとえば、従業員80名、サーバー20台の企業であればBusiness PremiumとDefender for Business Servers add-onの組み合わせを検討できます。一方、サーバー台数が60を超える場合は、Business向けアドオンだけで設計せず、Microsoft Defender for Serversなど別の選択肢を確認する必要があります。
確認すべきポイント
| 状況 | 判断の目安 |
|---|---|
| 従業員300人以下 | Defender for BusinessまたはBusiness Premiumを候補にする |
| サーバーが60台以下 | Defender for Business Servers add-onを確認する |
| サーバーが60台超 | Defender for Serversなど別サービスを検討する |
| 将来的に拠点・サーバーが増える | Business向け前提で固定せず、拡張時のライセンス変更を計画する |
「今は安く始められる」だけで選ぶと、成長後にライセンス体系を組み直すことになります。サーバー台数、従業員数、将来の拠点追加をセットで見積もることが大切です。
Defender for Cloud Apps：SaaSと生成AIアプリの管理を重視する
Microsoft Defender for Cloud Appsは、SaaSアプリ利用から生じる高度な脅威に対する保護、アプリ検出、アプリのセキュリティ態勢強化、アプリ間動作のガバナンス、生成AIアプリの安全な利用などを支援するSaaSセキュリティソリューションとして説明されています。スタンドアロンライセンスに加え、Microsoft 365 E5/A5/G5、Microsoft Defender Suite、Microsoft Purview Suiteなどにも含まれます。条件付きアクセスアプリ制御を利用するにはMicrosoft Entra ID P1が必要で、クライアント側の自動ラベル付けにはAzure Information Protection P2、サーバー側の自動ラベル付けにはInformation Protection for Office 365 – Premiumが必要とされています。(Microsoft Learn)
ここは、identity teamsとcompliance teamsが特に確認すべき領域です。
Defender for Cloud Appsを導入しても、条件付きアクセスやラベル付けまで含めて運用する場合は、Entra IDやInformation Protectionのライセンス要件が関係します。つまり、「Cloud Appsのライセンスがあるか」だけでは不十分です。
実務でよくある失敗
| 失敗例 | 原因 | 対策 |
|---|---|---|
| SaaSの検出はできたが制御が弱い | 条件付きアクセスアプリ制御の前提を確認していない | Entra ID P1の有無を確認する |
| ラベル付け連携が想定どおり動かない | 情報保護ライセンスを別扱いで見ていた | AIP P2やInformation Protection for Office 365 – Premiumの要件を確認する |
| OAuthアプリの棚卸しが後回しになる | SaaS管理をメール・端末対策と分離している | App governanceをID管理・アプリ管理の定例レビューに入れる |
| 生成AIアプリ利用の可視化が遅れる | SaaS管理の対象を従来アプリだけで考えている | 生成AIアプリの利用実態をCloud Apps側で確認する |
生成AIアプリの利用が広がるほど、SaaS管理は単なる「シャドーIT対策」ではなくなります。データ持ち出し、OAuth権限、外部アプリ連携、条件付きアクセスをまとめて見る必要があります。
Defender for Endpoint：P1とP2、サーバー対象を分けて考える
Microsoft Defender for Endpointは、Windows、macOS、Linux、Android、iOS、IoTデバイスを対象とするAIを利用したエンドポイントセキュリティソリューションとして説明されています。Plan 1は次世代マルウェア対策、攻撃面の削減、デバイス制御、エンドポイントファイアウォール、ネットワーク保護などの主要な保護機能を提供します。Plan 2はPlan 1の機能に加え、EDR、自動調査と修復、脅威と脆弱性の管理、脅威分析、サンドボックス、Microsoft Threat Expertsなどを含みます。サーバー向けDefender for Endpointでは、サーバーまたは仮想マシンのOSEごとに個別ライセンスが必要と説明されています。(Microsoft Learn)
P1とP2の違いは、単に「上位版かどうか」ではありません。運用設計上は、次のように考えると判断しやすくなります。
| 要件 | 適した考え方 |
|---|---|
| 基本的なエンドポイント保護を整えたい | P1相当の機能範囲を確認する |
| EDRで検知・調査・対応まで行いたい | P2を前提に検討する |
| 脆弱性管理も端末運用に組み込みたい | P2とVulnerability Managementの関係を確認する |
| サーバーも同じ視点で監視したい | ユーザー単位ではなくOSE単位のライセンス確認が必要 |
| SOCで高度なハンティングを行いたい | P2、Defender XDR、Expertsサービスとの組み合わせを検討する |
特にサーバーは、ユーザーライセンスの延長で考えると間違えやすい領域です。仮想マシン、オンプレミスサーバー、クラウド上のワークロードを含め、対象OSEを棚卸ししてからライセンスを見積もるべきです。
Defender for Identity：ID保護は「特定ユーザーだけ保護」の発想に注意
Microsoft Defender for Identityは、企業のハイブリッド環境を高度な標的型攻撃や内部脅威から保護するクラウドサービスです。スタンドアロンのユーザーごとのサブスクリプションライセンスとして利用でき、Enterprise Mobility + Security E5/A5、Microsoft 365 E5/A5/G5、Microsoft Defender Suiteなどにも含まれます。公式説明では、Defender for Identityの機能はテナント内のすべてのユーザーに対してテナントレベルで有効になり、現時点では特定ユーザーへのメリット制限ができない一部テナントサービスの例として示されています。(Microsoft Learn)
identity teamsにとって重要なのは、Defender for Identityを「一部の高リスクユーザーだけに割り当てる機能」として考えないことです。Active DirectoryやハイブリッドIDの挙動を監視する性質上、保護対象や監視対象は組織全体のID基盤に広がります。
identity teamsが確認すること
| 確認項目 | 見るべき内容 |
|---|---|
| ハイブリッドID構成 | オンプレミスAD、Entra ID、同期構成の範囲 |
| ライセンス付与 | Defender for Identityの恩恵を受けるユーザーの扱い |
| セキュリティ運用 | アラートを誰が確認し、どの手順で調査するか |
| 権限設計 | ID管理者、SOC、ヘルプデスクの役割分担 |
| プライバシー・監査 | ユーザー行動監視に関する社内説明と監査証跡 |
ID保護は、導入後に「誰がアラートを見るのか」が曖昧になりやすい領域です。Defender XDRポータル上のインシデント運用と、AD管理チームの調査手順を事前に接続しておきましょう。
Defender for IoTとVulnerability Management：資産管理と脆弱性管理を分離しない
Microsoft Defender for IoT – Enterprise IoT securityは、Defender for Endpointと統合され、Enterprise IoTデバイスの脆弱性を検出、継続監視、管理するサービスとして説明されています。EIoTデバイスライセンスは1ライセンスにつき1台のEIoTデバイスをカバーし、前提条件はDefender for Endpoint P2またはそれを含むサブスクリプションです。(Microsoft Learn)
一方、Microsoft Defender Vulnerability Managementは、Windows、macOS、Linux、Android、iOS、ネットワークデバイスを対象に、資産の可視性、インテリジェントな評価、組み込みの修復ツールを提供します。コア機能はDefender for Endpoint Plan 2で利用でき、Premium機能はDefender for Endpoint Plan 2向けのアドオンとして利用できます。Defender for Servers Plan 1およびPlan 2にも脆弱性管理機能へのアクセスが含まれると説明されています。(Microsoft Learn)
ここでの実務ポイントは、資産管理と脆弱性管理を別々に扱わないことです。
たとえば、PCとサーバーだけを脆弱性管理の対象にしても、会議室端末、プリンター、ネットワーク機器、工場内端末、IoT機器が見えなければ攻撃面は残ります。Defender for IoTとVulnerability Managementを組み合わせて、次のように対象資産を分類すると運用しやすくなります。
| 資産タイプ | 主な確認観点 |
|---|---|
| ユーザー端末 | OS、EDRオンボード状況、脆弱性、攻撃面削減ルール |
| サーバー | OSE単位のライセンス、重要度、公開範囲、修復優先度 |
| IoT・専用機器 | 発見状況、所有部門、通信先、脆弱性可視化 |
| ネットワークデバイス | 管理対象か、更新可能か、代替統制が必要か |
| BYOD・未管理端末 | 検出のみか、制御対象にするか、条件付きアクセスと連携するか |
脆弱性管理は「スキャン結果を見る」だけでは成果が出ません。資産の重要度、悪用可能性、業務影響、修復担当をセットで決めることが重要です。
Defender ExpertsとThreat Intelligence：SOCの負荷を下げる選択肢
Microsoft Defender Experts for XDRは、Microsoft Defender XDRサービスを利用する顧客向けのマネージドXDRサービスです。Defender for Endpoint、Defender for Office 365、Defender for Identity、Defender for Cloud Apps、Microsoft Entra IDを利用する顧客に対して、インシデントの優先順位付け、トリアージ、調査、対応ガイダンス、プロアクティブな脅威ハンティングなどを提供すると説明されています。(Microsoft Learn)
Defender Experts for Huntingは、Microsoft Defenderデータを使い、エンドポイント、メール、ID、クラウドアプリ全体で24時間365日の脅威ハンティングを行うマネージドサービスです。ただし、サービス範囲にはMicrosoft PurviewのDLPやDefender for IoTは含まれないと明記されています。(Microsoft Learn)
SOC運用では、次のような判断軸で導入を考えるとよいでしょう。
| 課題 | 検討すべきサービス |
|---|---|
| アラートが多すぎて優先順位付けできない | Defender Experts for XDR |
| 高度な攻撃のハンティングを自社だけで回せない | Defender Experts for Hunting |
| インシデント対応手順を専門家の助言で補強したい | Defender Experts for XDR |
| 脅威インフラやIOCの調査を効率化したい | Microsoft Defender Threat Intelligence |
| Purview DLPやIoTまで外部ハンティングに任せたい | サービス範囲外のため別途運用設計が必要 |
Microsoft Defender Threat Intelligenceは、トリアージ、インシデント対応、脅威ハンティング、脆弱性管理、脅威インテリジェンス分析のワークフローを効率化するプラットフォームです。StandardとPremiumの比較では、Premium側にMicrosoft IOC、Microsoftによる強化済みOSINT、URLとファイルインテリジェンスなどが含まれます。(Microsoft Learn)
自社SOCが成熟していない場合は、まずDefender XDRでインシデント管理を標準化し、次にExpertsやThreat Intelligenceで専門性を補う流れが現実的です。
Defender for Office 365：P1とP2の違いは「防御後の運用」に出る
Microsoft Defender for Office 365は、フィッシング、ゼロデイマルウェア、ビジネスメール侵害などの高度なコラボレーション攻撃から組織とユーザーを保護するサービスです。Plan 1にはSafe Attachments、Safe Links、SharePoint・OneDrive・Teams向けのSafe Attachments、フィッシング対策の偽装保護、BEC保護、リアルタイム検出などが含まれます。Plan 2にはPlan 1の機能に加え、ユーザータグ、Threat Explorer、自動調査と対応、攻撃シミュレーショントレーニング、インシデント、高度なハンティング、脅威分析、Action Center、マルチテナント組織サポート、Microsoft 365 Defender APIsなどが含まれます。(Microsoft Learn)
P1とP2の違いは、入口対策だけでなく、攻撃後の調査・教育・自動化にあります。
| 運用目的 | P1で見る範囲 | P2で強化される範囲 |
|---|---|---|
| メール脅威の防御 | Safe Links、Safe Attachments、フィッシング対策 | P1機能を含む |
| 検出後の調査 | リアルタイム検出中心 | Threat Explorer、インシデント、高度なハンティング |
| 対応の効率化 | 手動対応が中心になりやすい | 自動調査と対応、Action Center |
| ユーザー教育 | 別途教育ツールが必要になりやすい | 攻撃シミュレーショントレーニング |
| 経営・監査向け説明 | 個別ログ確認が中心 | 脅威分析やインシデント単位で説明しやすい |
compliance teamsにとっては、メール対策だけでなく、SharePoint、OneDrive、Teams上のファイル保護も重要です。メールから始まる攻撃が、Teamsチャットや共有ファイルに広がるケースを想定し、コラボレーション領域全体でポリシーを確認しましょう。
security admins、identity teams、compliance teamsが確認すべき実務チェックリスト
Microsoft Defender service descriptionの更新内容を読んだ後は、次の順番で確認すると抜け漏れを減らせます。
| 担当チーム | 最初に確認すること | 次に取るべき行動 |
|---|---|---|
| security admins | Defender for Endpoint、Office 365、Cloud Apps、XDRの有効化範囲 | ライセンス一覧、デバイスオンボード状況、インシデント運用手順を照合する |
| identity teams | Entra ID P1、Defender for Identity、条件付きアクセスの前提 | ID監視対象、特権アカウント、OAuthアプリ、条件付きアクセス制御を見直す |
| compliance teams | ラベル付け、情報保護、DLP、監査要件 | DefenderとPurviewの役割分担、監査ログ、社内規程への記載を確認する |
| SOC | アラート量、ハンティング体制、外部支援の必要性 | Defender ExpertsやThreat Intelligenceの活用余地を評価する |
| IT資産管理 | 端末、サーバー、IoT、未管理デバイスの棚卸し | Defender for Endpoint、IoT、Vulnerability Managementの対象を整理する |
このチェックリストは、単なる導入前確認だけでなく、年次のライセンス更新やセキュリティ監査の前にも使えます。
ライセンスとテナントレベル適用で注意すべき落とし穴
Defender系サービスで最も起きやすいトラブルは、「機能が見えている」と「利用権がある」を混同することです。
Microsoft 365のテナントレベルサービスは、一部または全体がテナント内ユーザーに対して有効になる場合があります。しかし、利用には適切なサブスクリプションライセンスが必要です。さらに、Defender for Business、Defender for Cloud Apps、Defender for Office 365などでは、既定でテナントレベルで機能が有効になる記載があります。一方、Cloud Appsではスコープ付き展開を使ってライセンスユーザーに限定できる説明もあります。(Microsoft Learn)
よくある誤解と正しい見方
| 誤解 | 正しい見方 |
|---|---|
| 管理ポータルに機能が表示されるなら全員使ってよい | 表示とライセンス権利は別。対象ユーザーのライセンスを確認する |
| テナントレベルで有効ならユーザー単位の確認は不要 | 適切なサブスクリプションライセンスが必要 |
| E5が一部ユーザーにあれば全社で同じ機能を使える | 恩恵を受けるユーザーや対象資産の扱いを確認する |
| サーバーもユーザーライセンスでまとめて保護できる | サーバーや仮想マシンはOSE単位など別の考え方が必要な場合がある |
| Defender Expertsですべてのセキュリティ領域を外部委託できる | HuntingではPurview DLPやDefender for IoTが対象外とされている |
ライセンス設計では、「誰がログインするか」だけでなく、「誰が保護のメリットを受けるか」「どのデータや資産が監視されるか」「どの管理者が対応するか」まで含めて判断しましょう。
管理者が今すぐ行うべき確認手順
Service Descriptionsを読んだだけでは、実際のセキュリティ強化にはつながりません。次の手順で、自社環境に落とし込むことが重要です。
現在のDefender利用状況を棚卸しする
まず、Microsoft 365管理センター、Microsoft Defenderポータル、Entra管理センターで、現在有効になっているサービスとライセンスを確認します。
特に次の項目を見ます。
- Microsoft 365 E5、E3、Business Premium、Defender Suiteなどの契約状況
- Defender for Endpointのオンボード済みデバイス数
- Defender for Office 365のSafe Links、Safe Attachments、フィッシング対策ポリシー
- Defender for Cloud Appsの接続アプリ、検出アプリ、OAuthアプリ
- Defender for Identityのセンサー、監視対象ドメイン
- サーバー、IoT、ネットワークデバイスの管理対象範囲
ライセンス対象と保護対象を突き合わせる
次に、利用中の機能とライセンス付与の対応を確認します。特に、テナントレベルで有効になっているサービスは、実際に恩恵を受けるユーザーとライセンス範囲が一致しているかを確認してください。
Excelや台帳にまとめる場合は、次の列を作ると管理しやすくなります。
| 列名 | 記入例 |
|---|---|
| サービス名 | Defender for Endpoint P2 |
| 保護対象 | Windows端末、macOS端末、Linuxサーバー |
| 利用ライセンス | Microsoft 365 E5、Defender for Endpoint for Servers |
| 対象ユーザー・資産 | 全社員、業務サーバー50台 |
| 管理担当 | SOC、情シス端末管理チーム |
| 注意点 | サーバーはOSE単位で確認 |
Message CenterとProduct Termsを確認する
Microsoft公式ページでは、今後の変更、新機能、計画メンテナンス、重要なお知らせを把握するためにMessage Centerを確認するよう案内しています。また、ライセンス条件についてはProduct Terms siteを参照するよう示しています。(Microsoft Learn)
実務では、Service Descriptions、Message Center、Product Termsの3つを分けて使うと判断しやすくなります。
| 情報源 | 主な用途 |
|---|---|
| Service Descriptions | サービス概要、対象機能、ライセンスの大枠を確認する |
| Message Center | 今後の変更、機能追加、メンテナンス、影響範囲を確認する |
| Product Terms | 契約上の利用条件や正式なライセンス条件を確認する |
Service Descriptionsだけで契約判断を完結させないことが重要です。特にグローバル企業、教育機関、政府機関、Frontline Workers向けプランを利用している組織では、プラン名や提供範囲が通常の商用テナントと異なる場合があります。
まとめ：2026年4月版は「Defender全体の棚卸し」に使う
Microsoft Defender service descriptionの2026年4月更新ポイントは、特定の新機能だけを見るのではなく、Defender全体を横断して、サービス範囲、ライセンス、テナントレベル適用、運用担当を再確認することにあります。
security adminsは、Endpoint、Office 365、Cloud Apps、XDRの保護範囲を確認しましょう。identity teamsは、Defender for Identity、Entra ID P1、条件付きアクセス、OAuthアプリの管理を見直すべきです。compliance teamsは、ラベル付け、情報保護、DLP、監査要件とDefenderの関係を整理する必要があります。
次に取るべき行動はシンプルです。まず自社のMicrosoft Defender利用サービスを一覧化し、ライセンス、対象ユーザー、対象デバイス、管理担当を1つの表にまとめてください。そのうえで、Message CenterとProduct Termsを確認し、今後の変更や契約条件とずれがないかを点検します。
Defenderは、導入して終わりの製品ではありません。デバイス、ID、SaaS、メール、データ、脆弱性をつなげて守るための基盤です。2026年4月版のService Descriptionsは、その全体像を見直すための実務的なチェックポイントとして活用できます。
コメント