Microsoftの2026年10月のIntuneアップデートでは、商用テナントのWindowsデバイス向けにSTIG監査ベースラインが追加されます。この機能により、デバイス構成を変更することなく、設定ごとおよびデバイスごとの結果を管理者に提供します。
Intune管理者にとってのメッセージは明確です。これは強制ポリシーではなく、評価レイヤーです。チームはサポート対象の構成ギャップを特定するための体系的な方法を得られますが、ライセンス、手動検証、修復は引き続き運用上の責任となります。
1. 商用Windowsデバイス向けSTIG監査ベースライン
MicrosoftのIntune What’s Newエントリによると、商用テナントではSecurity Technical Implementation Guideの推奨事項に照らしてWindowsデバイスを監査できるようになりました。このベースラインは、デバイス設定を変更せずに、サポート対象の自動チェックを評価して結果を報告します。
これは自動的なセキュリティ強化ではありません。修復計画のための証拠ソースです。
管理できること： 管理者は、個々の設定別およびデバイス別に監査結果を確認できます。この区別により、環境全体で繰り返し発生する構成ギャップと、調査が必要なデバイス固有の例外という、2つの実用的な視点を得られます。
リリースノートでは、自動評価はサポート対象のチェックに限定されています。手動検証が必要なルールは別途評価する必要があります。
重要な理由： 設定ごとおよびデバイスごとの可視性により、ベースラインを単一の区別されないチェックリストとして扱うのではなく、チームが作業に優先順位を付けられます。頻繁に確認されるギャップは、より広範な構成変更を正当化する可能性がある一方、孤立した結果にはデバイスレベルのレビューが必要になる場合があります。
強制を行わない設計は、明確な境界も確立します。監査結果は対応が必要となる可能性のある項目を特定しますが、その対応を承認または適用するものではありません。
意味すること： 完了した自動評価を、すべてのSTIG推奨事項が検証済みである証拠と解釈しないでください。手動レビューのルールは、チームが別プロセスを通じて評価するまで未解決のままです。
Microsoftは、この機能にはIntune Advanced Analyticsが必要であると述べています。この前提条件により、ライセンス資格の確認は、評価計画の開始後に判明する管理上の詳細ではなく、最初の展開タスクになります。
管理者の対応：
- ライセンス資格を確認する。 評価作業を割り当てる前に、商用テナントがIntune Advanced Analyticsにアクセスできることを確認します。
- レビューの責任範囲を定義する。 設定ごとの検出結果を確認する担当者と、デバイスレベルのギャップを調査する担当者を決定します。
- 手動チェックを分離する。 ベースラインが自動的に検証できない推奨事項に対し、個別のワークフローを作成します。
- 修復に優先順位を付ける。 報告された検出結果を使用して、組織の既存のリスクおよび変更プロセスに従い、構成ギャップの優先順位を決定します。
- 構成変更を管理する。 監査ベースラインはデバイス設定を変更しないため、修復は独立してレビュー、テスト、承認します。
全体像
評価が強制に先行するようになりました。 STIG監査ベースラインにより、商用テナントは、修復方法を決定する前にサポート対象のWindows構成ギャップを特定できます。
対象範囲の境界が重要です。 自動検出結果と手動検証ルールは別々の作業ストリームを構成します。どちらももう一方の代替として扱うべきではありません。
ライセンスが実行に影響します。 MicrosoftはIntune Advanced Analyticsを必要としているため、チームは運用展開計画を作成する前にテナントのライセンス資格を解決する必要があります。
結果にはガバナンスが必要です。 設定ごとおよびデバイスごとの検出結果は、担当者、優先順位、変更管理が紐付けられて初めて有用になります。
まとめ： MicrosoftのSTIG監査ベースラインは、設定を変更することなくサポート対象のWindows構成に関する検出結果を可視化することで、商用Intuneテナントにおける重要な可視性のギャップを解消します。当面のタスクは、Advanced Analyticsへのアクセスを検証し、自動レビューと手動レビューのプロセスを分離して確立し、確認済みのギャップを管理された修復プロセスに回すことです。
今後もIntuneのアップデートをお届けします。いつものように、本番環境への展開前には十分にテストしてください！