SC-400 完全ガイド｜Information Protection and Compliance Administrator Associate

Microsoft Certified: Information Protection and Compliance Administrator Associate (SC-400) は、Microsoft Purview を中心とした情報保護・データ分類・DLP (Data Loss Prevention)・コンプライアンス管理を扱う管理者向け Associate 認定でした。2025 年 5 月 31 日に退役し、退役したのは試験だけでなく認定ごとです。後継は認定 Microsoft Certified: Information Security Administrator Associate / 試験 Exam SC-401: Administering Information Security in Microsoft 365 です。現在 SC-400 を予約・受験する手段はありません。 本記事は SC-400 が何を問う試験だったかの記録として、またこの領域をこれから担当する人の道しるべとして残しています。

本記事では、退役の範囲と既に取得済みの人への影響、SC-400 が扱っていた 4 ドメインの中身、Microsoft Purview の主要機能、Microsoft 365 Developer Program での実機演習、そしてこの領域を今から学ぶ人に残された選択肢を整理します。GDPR・HIPAA・APPI (日本個人情報保護法) など各種コンプライアンス要件を Microsoft 製品の機能で実装する技術担当者向けの試験だった、という性質は後継の SC-401 にも引き継がれています。

2025 年 5 月 31 日 認定ごと退役・後継は SC-401

SC-400 は 2025 年 5 月 31 日に退役し、退役したのは試験だけでなく Microsoft Certified: Information Protection and Compliance Administrator Associate の認定ごとです。認定そのものが現行カタログから消えています。 置き換えとなるのは認定 Microsoft Certified: Information Security Administrator Associate / 試験 Exam SC-401: Administering Information Security in Microsoft 365。認定名も変わっており、「Information Protection and Compliance Administrator」は現在取得できる認定の名前ではなくなりました。

すでに SC-400 を取得済みの人へ: 退役は「今後受験できなくなること」であって、すでに発行されたバッジの取り消しではありません。認定は Microsoft の transcript に記録として残ります。 ただし SC-401 へ自動変換されることはなく、SC-400 は 12 ヶ月有効で renewal assessment により更新する認定だったため、退役に伴い更新の動線も終了します。既取得の認定の扱いは Microsoft 公式の退役認定ページで最新の記載をご確認ください。 実務上は「取得時点の認定」として履歴書に残しつつ、この領域で現行の認定が必要なら SC-401 を目指す、という整理になります。

以下の内容は、退役時点の SC-400 が何を問う試験だったかの記録です。受験はできませんが、Microsoft Purview のコンプライアンス機能を体系的に把握する目次としては今も使えます。SC-401 の受験料・問題数・試験時間・配点は SC-400 と同じとは限らないため、本記事の数値を SC-401 の数値として読まないでください。

SC-400 の試験基本仕様 (退役時点)

SC-400 の試験仕様は Associate ティア共通でした。100 分・40 ~ 60 問、合格点 700 / 1000、165 USD / 21,103 円、12 ヶ月有効 (renewal assessment で更新可)。 Pearson VUE 経由で OnVUE オンラインまたはテストセンターで受験でき、日本語含む多言語に対応していました。 出題形式は選択肢問題に加え、Microsoft Purview Portal UI のシナリオ問題、DLP ポリシー / Retention Policy の動作判定、ケーススタディを含み、コンプライアンス管理者の実務フロー (要件整理 → ポリシー設計 → 適用 → モニタリング) に沿った出題が多数を占めていました。いずれも退役時点の数値で、現在これらの条件で予約できる試験はありません。

他の SC 認定との関係

Microsoft セキュリティ系 Associate 3 試験 (SC-200 / SC-300 / SC-400) は、対象領域が明確に分かれていました。SC-200 / SC-300 は現行認定として引き続き受験できますが、SC-400 は退役済みで、同じ枠は後継の SC-401 が担っています。

三者は重複が小さく (10-20% 程度)、それぞれ独立した実務領域に対応していました。Microsoft セキュリティスタック全領域をカバーする組み合わせは、現在は SC-200 + SC-300 + SC-401 になります。シニアセキュリティエンジニア / セキュリティアーキテクト職での強い差別化要因である点は変わりません。

ドメイン 1: 情報保護の実装 (30-35%、最重要)

配点最大の中核ドメインで、本試験の合否を最も大きく左右していました。 中心は Sensitivity Label の作成と適用 (Personal / Public / Internal / Confidential / Highly Confidential の 5 段階分類が標準パターン)、Auto-labeling (機械学習ベースの自動ラベリング)、Trainable Classifier (組織固有のドキュメントタイプを学習)、Sensitive Information Types (SIT) (200+ の組み込みパターン: クレジットカード番号・SSN・マイナンバー等)、Exact Data Match (EDM) (組織固有のデータベース照合)、Document Fingerprint (テンプレート文書の検知)、暗号化と権限制御 (Microsoft Information Protection [MIP] による DRM)、Information Rights Management (IRM)。 本ドメインの落とし穴は、Sensitivity Label の継承動作。親フォルダ / 親メール → 子ファイル / 子メールへのラベル継承パターンと、Container Label (SharePoint Site / Teams) の挙動を理解する必要があります。

ドメイン 2: DLP の実装 (15-20%)

Data Loss Prevention (DLP) のポリシー設計と運用を扱うドメインです。 中心は Exchange / SharePoint / OneDrive / Teams / Endpoint DLP ポリシー設計 (各 location でのカスタマイズ可能オプション)、カスタム DLP ルール (条件: Content contains・Document Property・Sensitive Information Type / アクション: Block・Notify・Encrypt・Allow with Justification)、DLP インシデント管理 (Alert・Activity Explorer・Endpoint DLP Activity Explorer)、Adaptive Protection (Insider Risk と DLP の統合、リスクユーザーに動的 DLP 適用)、Microsoft Purview Data Lifecycle Management 連携、Communication DLP (Teams / Exchange での会話モニタリング)。

ドメイン 3: 情報ガバナンスと保持の実装と管理 (20-25%)

文書保持と廃棄の戦略を扱うドメインです。 中心は Retention Policy / Label (組織全体への一律保持 vs 個別ラベル適用)、Records Management (規制対応文書の不変保持・Regulatory Record の宣言)、Disposition Review (保持期限到達文書のレビューと廃棄プロセス)、Adaptive Scope (動的スコープ・Department / Country など属性ベースの対象選定)、Retention Policy / Label の競合解決 (Retain wins over delete・Longer retention wins・Explicit wins)、Inactive Mailbox 管理、Litigation Hold / In-place Hold 戦略、Records Management に関する規制対応 (SEC 17a-4・FINRA・GDPR Right to be Forgotten)。

ドメイン 4: 内部リスクとコンプライアンスの管理と調査 (20-25%)

内部脅威と監査を扱うドメインです。 中心は Insider Risk Management (組み込みポリシーテンプレート: データ流出・退職者リスク・知的財産保護・セキュリティポリシー違反・優先ユーザー保護・医療データ流出など / Triage・Investigation・Forensic Evidence)、Communication Compliance (Teams / Exchange / Yammer での不適切コミュニケーション検知・キーワード / 機械学習ベース)、eDiscovery (Standard / Premium・Case 作成・Hold・Search・Review・Export)、eDiscovery Premium の高度機能 (Custodian Management・Computed Custodian Volume・Review Set・Analytics)、Audit (Standard / Premium) (Activity Log・Search-MailboxAuditLog・Long-term Retention up to 10 years)、Customer Lockbox (Microsoft サポートエンジニアの顧客データアクセスへの承認制御)。

Microsoft Purview の全体像

Microsoft Purview は、Microsoft の統合データガバナンス / コンプライアンスプラットフォームで、2022 年に旧 Azure Purview (データカタログ) と Microsoft 365 Compliance Center を統合してリブランドされた製品です。 SC-400 が扱っていた Purview は主に Microsoft 365 文脈の機能 (Information Protection・DLP・Insider Risk・Communication Compliance・eDiscovery・Audit) で、Azure データ基盤のデータカタログ機能 (Purview Data Catalog・Data Map) は SC-400 の範囲外でした。 両者は同じ Purview ブランドながら歴史的経緯で機能が分かれています。Purview 自体は試験より長生きしている現役の製品で、Microsoft Purview Portal (旧 Microsoft 365 Compliance Center) の UI に習熟することが、この領域の実務スキルの土台である点は変わりません。

退役前に使われていた 3-4 ヶ月の学習ロードマップ (記録)

以下は退役前の SC-400 で標準的だった学習手順の記録です。教材の並べ方の参考にはなりますが、受験に向けて実行できる計画ではありません。 Microsoft 365 管理者経験 1-3 年 + SC-900 取得済みを想定した 3 ヶ月プランでした。Month 1: SC-900 の復習 + Microsoft Learn の SC-400 学習パス (Information Protection 編) を消化、Microsoft 365 Developer Program で無料 Tenant 取得、Sensitivity Label を 3-5 個作成し Auto-labeling 構成。Month 2: DLP / Retention ドメインを学習、DLP ポリシーを各 location で構成、Retention Label + Policy で文書保持戦略を 1 セット構成。Month 3: Insider Risk / eDiscovery ドメインと総仕上げ。Insider Risk Management ポリシー展開・Communication Compliance 設定・eDiscovery Case を 1 つ完走・公式 Practice Assessment を 80% 取れるまで反復。 ハンズオンの並び自体は Purview を学ぶ手順として今も使えますが、SC-400 の学習パスと Practice Assessment は退役した試験に紐づいたものです。SC-401 を目指す場合は、出題範囲と学習リソースを本記事ではなく公式ページから確認してください。

SC-400 が受けられない今、この領域で何を目指すか

直接の後継は SC-401 です。認定 Microsoft Certified: Information Security Administrator Associate / 試験 Exam SC-401: Administering Information Security in Microsoft 365 が、Microsoft Purview による情報保護・コンプライアンス領域の現行認定にあたります。出題範囲・受験料・試験形式は SC-400 と同じとは限らないため、必ず Microsoft 公式ページで確認してください。 セキュリティ系を網羅するなら、いずれも現行の SC-200 (Security Operations Analyst)・SC-300 (Identity Admin) との組み合わせ。SC-100 (Cybersecurity Architect Expert) は上位の戦略・アーキテクチャレイヤへの昇格ルートですが、SC-400 が SC-100 の前提認定の 1 つだったのに対し、SC-401 が前提として認められるかは Microsoft 公式の認定ページでご確認ください。 Microsoft 365 全体管理を目指すなら MS-102 (Microsoft 365 Administrator Expert) が引き続き受験可能ですが、MS-102 自体が 2026 年 11 月 30 日に認定ごと退役予定で、後継として Microsoft 365 Certified: AI Services Administrator Associate (Exam AB-650) が announce されています。 コンプライアンス専門なら ISACA CISA (Certified Information Systems Auditor)・CISM (Certified Information Security Manager)・OneTrust / TrustArc 系のプライバシー / GRC 認定との二刀流が事業会社のコンプライアンス / 内部監査ポジションで評価されます。 700-1,200 万円帯のシニアコンプライアンスエンジニア / 情報セキュリティ管理者求人では SC-400 が推奨要件として長く表記されてきました。なくなったのは認定であって、スキルセットへの需要ではありません。

よくある質問

本記事の試験情報は Microsoft Learn 公式 SC-400 ページ およびMicrosoft Purview Documentation に基づいています。 本記事は Microsoft Corporation の公式商品ではなく、いかなる提携・後援関係もありません。 Microsoft、Azure、Microsoft Purview、Microsoft Entra は Microsoft group of companies の商標です。 情報は 2026 年 5 月 24 日時点の公式公開資料に基づきます。最新情報は必ず公式ページをご確認ください。