ある企業がコンプライアンスマネージャーを使用して、新たに ISO/IEC 27701 フレームワークへの準拠評価を開始したいと考えている。コンプライアンスマネージャーでの「評価（Assessment）」の説明として最も正確なものはどれか。
- A. 特定の規制フレームワーク（ISO 27701 など）に対する組織のコントロール実装状況を体系的に追跡するコンテナで、Microsoft 管理コントロールと顧客管理コントロールが明確に区分されている
- B. 組織内のすべてのユーザーのセキュリティトレーニング受講状況を追跡するレポート
- C. Azure リソースのセキュリティ構成を自動スキャンしてコンプライアンス状態を評価するエンジン
- D. Microsoft が実施した第三者監査の結果を自動取得して表示するダッシュボード
解答と解説を見る
正解: A
コンプライアンスマネージャーの評価（Assessment）は、ISO 27701・GDPR・NIST CSF などの特定の規制フレームワークに対して組織がどのようなコントロールを実装しているかを体系的に追跡するコンテナである。各評価にはフレームワーク要件が自動展開され、Microsoft が責任を持つコントロール（Microsoft 管理）と組織自身が実装すべきコントロール（顧客管理）が明確に区分されている。Microsoft 管理コントロールの実装情報は自動取得され、顧客管理コントロールは担当者が実装状況を記録する。選択肢Dは一部正しい（Microsoft 管理コントロールは自動取得）が、評価全体の説明としては不十分である。選択肢Bのトレーニング追跡は評価の機能ではない。選択肢Cは Azure Security Center/Defender for Cloud の機能説明であり、コンプライアンスマネージャーの評価ではない。