SC-900 完全ガイド｜Microsoft Security, Compliance, and Identity Fundamentals 出題範囲・学習リソース・合格戦略

Microsoft Certified: Security, Compliance, and Identity Fundamentals (SC-900) は、Microsoft のセキュリティ・コンプライアンス・ID 領域を横断的に学ぶ Fundamentals 階層の試験です。 AZ-900 が Azure クラウド全般、DP-900 がデータ系を扱うのに対し、SC-900 は Microsoft 365 / Entra / Defender / Purview / Intune といったセキュリティスタック全体を対象としており、情シス担当・SOC アナリスト志望・コンサルタント・営業職にも幅広く推奨される認定です。 本記事では、出題 4 ドメインの中身、Zero Trust の三原則、Defender スイート 7 種類の区別、合格までの学習ロードマップを一本で整理します。

SC-900 の価値は単なる試験合格ではなく、Microsoft セキュリティスタックの「地図」が頭に入ること。 Microsoft は近年セキュリティ製品ラインを猛烈に拡張しており、Entra (旧 Azure AD) ファミリーだけで 10 製品超、Defender ファミリーで 7 製品超、Purview ファミリーで 8 製品超という巨大な体系です。 SC-900 はこれらの全体像を「何ができる製品か、どんな脅威に対応するか」のレベルで一気に学ぶ最短ルートで、情シス部門の意思決定や RFP 作成にも直結します。

SC-900 の試験基本仕様

SC-900 の試験仕様は AZ-900 / DP-900 と同等です。45 分・40 ~ 60 問、合格点 700 / 1000、99 USD / 13,200 円、日本語含む 13 言語対応、無期限有効。 Pearson VUE 経由で OnVUE オンラインまたはテストセンターで受験可能で、コーディングは不要、概念理解中心の試験です。

ドメイン 1: セキュリティ・コンプライアンス・ID の概念 (10-15%)

最も配点比率の低い導入ドメインですが、後続ドメインの土台になる重要領域です。 中心は Zero Trust の概念で、Microsoft の三原則「1) Verify explicitly (常に明示的に検証する)、2) Use least privilege access (最小権限を使う)、3) Assume breach (侵害を前提に設計する)」が頻出します。 この 3 原則は単なる暗記項目ではなく、後続の Defender / Entra / Purview がどの原則を実装しているかを問うシナリオで何度も登場するので、自分の言葉で説明できる状態にしておく必要があります。

加えて、責任共有モデル (AZ-900 と共通)、対称暗号化と非対称暗号化、ハッシュとデジタル署名、認証 (Authentication) と認可 (Authorization) の違いといった基礎概念が問われます。 実装レベルの暗号アルゴリズム名 (AES / RSA) は深掘りされませんが、「非対称鍵は公開鍵で暗号化、秘密鍵で復号」というシンプルな原則は答えられる必要があります。

ドメイン 2: Microsoft Entra (25-30%)

Microsoft Entra ID (旧 Azure Active Directory) を中心としたドメインで、2023 年 7 月のリブランド以降、SC-900 でも Entra 表記が正式となっています。 テナントと初期ドメイン名 / カスタムドメイン名、ユーザー・グループ・デバイス・アプリケーションの 4 オブジェクト、クラウド専用 / 同期 / ゲストの 3 ユーザータイプ、Security Group と Microsoft 365 Group の違いといった基本構造が問われます。

認証方式では MFA (多要素認証)、Passwordless (Microsoft Authenticator / Windows Hello for Business / FIDO2 セキュリティキー) の 3 系統が頻出。 加えて Conditional Access の動作原理 (条件 → アクション)、Privileged Identity Management (PIM) による時限的ロール昇格、Identity Protection のサインインリスク評価、External Identities (B2B / B2C 統合)、SSO (シングルサインオン) による SaaS 統合といった代表機能が概念レベルで問われます。

Entra ID のライセンス (Free / P1 / P2 / Entra Suite) もこのドメインで触れられ、「Conditional Access が必要なら P1 から、PIM が必要なら P2 から」という機能境界を押さえておくと、出題シナリオでの選択肢が正しく絞り込めます。

ドメイン 3: Microsoft セキュリティソリューション (35-40%)

配点比率が最大のドメインで、Microsoft Defender スイート全体を扱います。 覚えるべき主要 Defender 製品は 7 種類。

本ドメインで頻出するのが、「異常なサインインの検出はどの Defender が担当するか」「SOC アナリストがすべてのアラートを一元管理できるツールはどれか」といったシナリオ問題。 Microsoft Sentinel は クラウドネイティブの SIEMで、Azure / Microsoft 365 / オンプレ / 他クラウド (AWS / GCP) すべてのログを取り込めるのが特徴。 Defender XDR は主要 Defender 製品の統合ダッシュボードで、Sentinel との違い (Sentinel = ログ統合分析、XDR = 統合運用) を答えられる状態にしておく必要があります。

加えて Microsoft Defender for Cloud の Secure Score (推奨事項の達成度)、Microsoft Sentinel の Playbook (自動応答)、Microsoft Defender for Cloud Apps の Shadow IT 検出といった代表機能が問われます。

ドメイン 4: Microsoft コンプライアンスソリューション (20-25%)

Microsoft Purview ファミリーを中心としたコンプライアンスドメインです。Microsoft Purview (旧 Azure Purview + Microsoft 365 Compliance Center の統合ブランド) は近年急速に拡大しており、SC-900 では 8 主要機能が問われます。

中心は Microsoft Purview Information Protection (旧 Azure Information Protection、機密ラベルでデータを分類保護)、Microsoft Purview Data Loss Prevention (DLP) (機密情報の漏洩防止)、Microsoft Purview Insider Risk Management (内部不正検知)、Microsoft Purview Compliance Manager (コンプライアンスダッシュボード)、Microsoft Purview eDiscovery (法的開示対応)、Microsoft Purview Audit (操作ログ)、Microsoft Purview Data Lifecycle Management (保持・削除ポリシー)、Microsoft Service Trust Portal (コンプライアンス文書のリポジトリ)。

本ドメインで頻出するのが、「機密情報を含むファイルが社外に送信されるのを防ぐにはどの機能か」(DLP)、「退職予定者の不審な操作を検知するにはどの機能か」(Insider Risk Management)、「訴訟対応で社内データを保全するにはどの機能か」(eDiscovery) といったシナリオ問題。 Purview のサブブランド名はやや覚えにくいですが、それぞれの「対応シナリオ」を 1 つ覚えれば、本ドメインの問題は確実に得点できます。

公式リソースだけで合格できるか

SC-900 も Microsoft 公式リソースだけで合格可能です。Microsoft Learn の SC-900 学習パス (約 10 時間)、Virtual Training Day: Security, Compliance, and Identity 経由の無料バウチャー、公式 Practice Assessment の 3 つで完結します。 Virtual Training Day は日本語回も定期開催されており、Part 1 + Part 2 完走で受験バウチャー (約 165 USD 相当) が 5 営業日以内に発行されるため、独学で受験料を実質ゼロにできます。

4 週間の合格ロードマップ

Week 1 はドメイン 1 (概念) を Microsoft Learn で消化し、Zero Trust 三原則と認証 / 認可の違いを腹落ちさせる。Week 2 はドメイン 2 (Entra) を学習し、Entra ID 無料テナント (Microsoft 365 Developer Program のサンドボックス) で実機演習。Week 3 はドメイン 3 (Defender 群) と Virtual Training Day Part 1 + 2 を並走しバウチャー獲得。Week 4 はドメイン 4 (Purview) と Practice Assessment 80% 反復で仕上げ。

SC-900 の次に何を目指すか

SC-900 はセキュリティ系認定群の入口です。ID 管理者を志すなら SC-300 (Identity and Access Administrator Associate) で Entra ID の本格管理。SOC アナリスト / セキュリティ運用なら SC-200 (Security Operations Analyst Associate) で Sentinel / Defender XDR 中心。Azure セキュリティ全般なら 2026 年 8 月 GA 予定の SC-500 (旧 AZ-500 後継、Microsoft Defender for Cloud 統合強化版) が本命。 最上位は SC-100 (Cybersecurity Architect Expert) で、組織横断のセキュリティ戦略設計を担うロール向け。SC-100 は SC-200 / SC-300 / AZ-500 のいずれかの保有が事実上の前提です。

よくある質問

本記事の試験情報は Microsoft Learn 公式 SC-900 ページ および公式 Study Guide に基づいています。 本記事は Microsoft Corporation の公式商品ではなく、いかなる提携・後援関係もありません。 Microsoft、Microsoft Entra、Microsoft Defender、Microsoft Sentinel、Microsoft Purview、Azure は Microsoft group of companies の商標です。 情報は 2026 年 5 月 24 日時点の公式公開資料に基づきます。最新情報は必ず公式ページをご確認ください。