SC-400 完全ガイド｜Microsoft Information Protection and Compliance Administrator Associate 出題範囲・学習リソース・合格戦略

Microsoft Certified: Information Protection and Compliance Administrator Associate (SC-400) は、Microsoft Purview を中心とした情報保護・データ分類・DLP (Data Loss Prevention)・コンプライアンス管理を扱う管理者向け Associate 認定です。 SC-200 (SOC Analyst) / SC-300 (Identity Admin) と並ぶ Microsoft セキュリティ系 Associate の 1 つで、コンプライアンス担当 / 情報保護担当 / 法務部門連携エンジニアにとって価値の高い認定。 SC-100 (Cybersecurity Architect Expert) の前提認定の 1 つでもあり、SC-400 → SC-100 のキャリアパスが定番です。

本記事では、SC-400 の試験仕様、他の SC 認定との違い、4 ドメイン構成、Microsoft Purview の主要機能、Microsoft 365 Developer Program での実機演習、3-4 ヶ月の合格ロードマップ、合格後の展開ルートまでを整理します。 GDPR・HIPAA・APPI (日本個人情報保護法) など各種コンプライアンス要件を Microsoft 製品の機能で実装する技術担当者向けの試験という性質を理解することが、学習の出発点です。

SC-400 の試験基本仕様

SC-400 の試験仕様は Associate ティア共通です。100 分・40 ~ 60 問、合格点 700 / 1000、165 USD / 21,103 円、12 ヶ月有効 (renewal assessment で更新可)。 Pearson VUE 経由で OnVUE オンラインまたはテストセンターで受験可能、日本語含む多言語対応。 出題形式は選択肢問題に加え、Microsoft Purview Portal UI のシナリオ問題、DLP ポリシー / Retention Policy の動作判定、ケーススタディを含み、コンプライアンス管理者の実務フロー (要件整理 → ポリシー設計 → 適用 → モニタリング) に沿った出題が多数を占めます。

他の SC 認定との関係

Microsoft セキュリティ系 Associate 3 試験 (SC-200 / SC-300 / SC-400) は、対象領域が明確に分かれています。

三者は重複が小さく (10-20% 程度)、それぞれ独立した実務領域に対応。三刀流で取得すると Microsoft セキュリティスタック全領域をカバーでき、シニアセキュリティエンジニア / セキュリティアーキテクト職での強い差別化要因になります。

ドメイン 1: 情報保護の実装 (30-35%、最重要)

配点最大の中核ドメインで、本試験の合否を最も大きく左右します。 中心は Sensitivity Label の作成と適用 (Personal / Public / Internal / Confidential / Highly Confidential の 5 段階分類が標準パターン)、Auto-labeling (機械学習ベースの自動ラベリング)、Trainable Classifier (組織固有のドキュメントタイプを学習)、Sensitive Information Types (SIT) (200+ の組み込みパターン: クレジットカード番号・SSN・マイナンバー等)、Exact Data Match (EDM) (組織固有のデータベース照合)、Document Fingerprint (テンプレート文書の検知)、暗号化と権限制御 (Microsoft Information Protection [MIP] による DRM)、Information Rights Management (IRM)。 本ドメインの落とし穴は、Sensitivity Label の継承動作。親フォルダ / 親メール → 子ファイル / 子メールへのラベル継承パターンと、Container Label (SharePoint Site / Teams) の挙動を理解する必要があります。

ドメイン 2: DLP の実装 (15-20%)

Data Loss Prevention (DLP) のポリシー設計と運用を扱うドメインです。 中心は Exchange / SharePoint / OneDrive / Teams / Endpoint DLP ポリシー設計 (各 location でのカスタマイズ可能オプション)、カスタム DLP ルール (条件: Content contains・Document Property・Sensitive Information Type / アクション: Block・Notify・Encrypt・Allow with Justification)、DLP インシデント管理 (Alert・Activity Explorer・Endpoint DLP Activity Explorer)、Adaptive Protection (Insider Risk と DLP の統合、リスクユーザーに動的 DLP 適用)、Microsoft Purview Data Lifecycle Management 連携、Communication DLP (Teams / Exchange での会話モニタリング)。

ドメイン 3: 情報ガバナンスと保持の実装と管理 (20-25%)

文書保持と廃棄の戦略を扱うドメインです。 中心は Retention Policy / Label (組織全体への一律保持 vs 個別ラベル適用)、Records Management (規制対応文書の不変保持・Regulatory Record の宣言)、Disposition Review (保持期限到達文書のレビューと廃棄プロセス)、Adaptive Scope (動的スコープ・Department / Country など属性ベースの対象選定)、Retention Policy / Label の競合解決 (Retain wins over delete・Longer retention wins・Explicit wins)、Inactive Mailbox 管理、Litigation Hold / In-place Hold 戦略、Records Management に関する規制対応 (SEC 17a-4・FINRA・GDPR Right to be Forgotten)。

ドメイン 4: 内部リスクとコンプライアンスの管理と調査 (20-25%)

内部脅威と監査を扱うドメインです。 中心は Insider Risk Management (組み込みポリシーテンプレート: データ流出・退職者リスク・知的財産保護・セキュリティポリシー違反・優先ユーザー保護・医療データ流出など / Triage・Investigation・Forensic Evidence)、Communication Compliance (Teams / Exchange / Yammer での不適切コミュニケーション検知・キーワード / 機械学習ベース)、eDiscovery (Standard / Premium・Case 作成・Hold・Search・Review・Export)、eDiscovery Premium の高度機能 (Custodian Management・Computed Custodian Volume・Review Set・Analytics)、Audit (Standard / Premium) (Activity Log・Search-MailboxAuditLog・Long-term Retention up to 10 years)、Customer Lockbox (Microsoft サポートエンジニアの顧客データアクセスへの承認制御)。

Microsoft Purview の全体像

Microsoft Purview は、Microsoft の統合データガバナンス / コンプライアンスプラットフォームで、2022 年に旧 Azure Purview (データカタログ) と Microsoft 365 Compliance Center を統合してリブランドされた製品です。 SC-400 で扱う Purview は主に Microsoft 365 文脈の機能 (Information Protection・DLP・Insider Risk・Communication Compliance・eDiscovery・Audit) を指し、Azure データ基盤のデータカタログ機能 (Purview Data Catalog・Data Map) は SC-400 範囲外。 両者は同じ Purview ブランドながら歴史的経緯で機能が分かれており、SC-400 学習では Microsoft 365 Compliance 文脈の Purview にフォーカスすることが重要です。Microsoft Purview Portal (旧 Microsoft 365 Compliance Center) の UI に習熟することが必須です。

3-4 ヶ月の合格ロードマップ

Microsoft 365 管理者経験 1-3 年 + SC-900 取得済みを想定した 3 ヶ月プランです。Month 1: SC-900 の復習 + Microsoft Learn の SC-400 学習パス (Information Protection 編) を消化、Microsoft 365 Developer Program で無料 Tenant 取得、Sensitivity Label を 3-5 個作成し Auto-labeling 構成。Month 2: DLP / Retention ドメインを学習、DLP ポリシーを各 location で構成、Retention Label + Policy で文書保持戦略を 1 セット構成。Month 3: Insider Risk / eDiscovery ドメインと総仕上げ。Insider Risk Management ポリシー展開・Communication Compliance 設定・eDiscovery Case を 1 つ完走・公式 Practice Assessment を 80% 取れるまで反復。 未経験者は前段に SC-900 と Microsoft 365 基礎の学習を 1-2 ヶ月置いて、合計 4-5 ヶ月計画が現実的です。

SC-400 の次に何を目指すか

セキュリティ系を網羅するなら SC-200 (Security Operations Analyst)・SC-300 (Identity Admin) との二刀流 / 三刀流。SC-100 (Cybersecurity Architect Expert) で上位の戦略・アーキテクチャレイヤへ昇格 (SC-400 は SC-100 の前提認定の 1 つ)。 Microsoft 365 全体管理を目指すなら MS-102 (Microsoft 365 Administrator Expert) で Purview を含む全体管理者の Expert ティアへ。 コンプライアンス専門なら ISACA CISA (Certified Information Systems Auditor)・CISM (Certified Information Security Manager)・OneTrust / TrustArc 系のプライバシー / GRC 認定との二刀流が事業会社のコンプライアンス / 内部監査ポジションで評価されます。 年収レンジは 700-1,200 万円帯のシニアコンプライアンスエンジニア / 情報セキュリティ管理者求人で SC-400 が推奨要件として表記されることが増えています。

よくある質問

本記事の試験情報は Microsoft Learn 公式 SC-400 ページ およびMicrosoft Purview Documentation に基づいています。 本記事は Microsoft Corporation の公式商品ではなく、いかなる提携・後援関係もありません。 Microsoft、Azure、Microsoft Purview、Microsoft Entra は Microsoft group of companies の商標です。 情報は 2026 年 5 月 24 日時点の公式公開資料に基づきます。最新情報は必ず公式ページをご確認ください。