M365 と Google Workspace の設定を CISA の基準で自動点検する：ScubaGear v2.0・ScubaGoggles v1.1.0

米 CISA の無料ツール ScubaGear（Microsoft 365 用）と ScubaGoggles（Google Workspace 用）が更新された。民間組織にも勧められている点検ツールで、新版では前回の結果との差分を出せるので、定期的に回して「設定が緩んでいないか」を見るのに向く。

ScubaGear v2.0
- 従来の Defender 基準を廃止し、Defender・Purview・Exchange Online・Teams にまたがる管理策を新しい「Security Suite」基準にまとめた。
- Security Suite の必須設定の例として、クリックで実行される添付（少なくとも .exe・.cmd・.vbe）を含むメールの遮断、マルウェア付きメールの隔離・破棄、配信後にマルウェアとわかったメールの除去、迷惑・フィッシングメールを受信箱に届けない設定、統合監査ログの有効化がある。
- Entra ID 基準に、リスクの高い AI エージェントの遮断を求める項目が加わった（Entra ID P2 に加えて Microsoft Agent 365 か Microsoft 365 E7 が前提）。
- REST API を直接呼ぶ方式になり、Power BI の評価、リスクの高いアプリの重大度スコアと CSV 出力、レポートへの特権ユーザー一覧が追加された。
ScubaGoggles v1.1.0
- 管理者ログに頼らず Google の Policy API で設定をほぼリアルタイムに取得する。ログの保持期間が短くても点検できる。
- 人手の少ないチーム向けの「Assured Controls」基準、YAML 設定用の GUI、Gemini の安全な設定を確かめる管理策が加わった。
共通: 2 回分の診断結果の JSON を突き合わせて違いを示す差分機能が付いた。

まず現状を 1 回診断し、必須設定のうち満たしていない項目を一覧にする。添付ファイルの遮断と監査ログの有効化は、小さな組織でもすぐ効く。
直したら、月 1 回などの頻度で再診断し、前回の JSON との差分を見る。誰かが設定を戻した、新しいアプリに広い権限が付いた、といった変化を拾える。
Workspace は危険なサードパーティアプリの点検（Google Workspace で危険なサードパーティ OAuth アプリを特定・ブロックする）と合わせて回す。