要約

  • サイバーセーフティ・レビュー・ボードは、最高経営責任者と取締役会に対して、具体的な期限を伴う計画の公開を求めた。マイクロソフトは日付入りの進捗報告、帯域別目標、名指しされた幹部、報酬との連動を出したが、第三者が公表済みの百分率を再計算できる資料は含まれていない。
  • リリースパイプラインの適用率は2025年11月の94％から2026年7月の90％へ下がり、マイクロソフトは測定範囲の拡大だと説明する。分母とともに動く数字は保証にならない。それでも調達文書には、その形で入っていく。

サイバーセーフティ・レビュー・ボードによる2023年夏のExchange Online侵害に関する報告書——今回参照した写しの表紙日付は2024年3月20日——の要求は、最初の勧告に集約されている。「The CEO and Board should develop, and share publicly, a plan with specific timelines to make fundamental, security-focused reforms」（CSRB報告書、印刷版19ページ）。

この道具は三つの条件を同時に満たさなければならない。宛先は経営の頂点であり、一つのエンジニアリング組織ではない。求められるのは具体的な期限であって、進行中のプログラムではない。そして公開、すなわち判断できる読者の存在が要る。三つ揃わなければ、二つでは足りない。

2024年5月3日、マイクロソフトは100％目標の一群で応じた。その一つがこれである。「100% of access to source code and engineering systems infrastructure is secured through Zero Trust and least-privilege access policies.」（2024年5月3日の発表）遵守状況は目標と主要な結果で測るとされた。しかし公表されたページを見る限り、個々の目標に暦の期限はなく、目標ごとの名指しの責任者もいない。

方法は2025年4月の報告書にはっきり書かれている。「We calculated progress by recording the completed percentage of standards and key results, those defined initially and any additions.」（2025年4月報告書、印刷版4ページ）実務の言葉に直せば、会社が作業を足すたびに分母が膨らむということだ。これは不正ではない。定義である。そして、まさにその定義のせいで、外部の読者はこの数字を進捗の証拠として使えない。

結果は点ではなく帯域で公表される。2025年4月、目標1〜3は95〜99％の帯域に、目標4・5は66〜94％の帯域に入った。2025年11月、目標2・3は95〜99％に留まる一方、目標1・4・5は66〜94％へ下がり、会社は資産台帳の範囲拡大を理由に挙げた（2025年11月報告書）。2026年7月、目標1は「closed」と記録され、目標2・3は95〜99％、目標4・5は66〜94％となった（2026年7月報告書）。帯域は件数ではなく、完了は資産比率でもない。どちらも再計算できない。

適用率の数字には日付があり、比較もできる。ただし各報告書が何を測っているかを尊重する条件付きで。2024年9月、商用クラウドの本番ビルドパイプラインの85％が中央統制のパイプラインテンプレートを使っていた（2024年9月報告書）。2025年4月、ビルドパイプラインで92％、リリースパイプラインで54％、コード署名へのアクセスを本番テナントのIDに限定した割合は56％。2025年11月、統制テンプレートを使うリリースパイプラインは94％、ネットワーク分離は89％。2026年7月、重要かつ高価値のビルドパイプラインが93％、リリースパイプラインが90％（2026年7月トラストセンターの要約）。

リリースパイプラインの系列はゆっくり読む価値がある。54％、次に94％、そして90％。最後の動きについて、マイクロソフトはこう述べる。「Recent metric variation reflects expanded measurement scope, with final attribution under review.」（2026年7月PDF）統制が後退したのか、改善したのか、単に定義し直されたのかを知りたい読者は、この文書から答えを得られない。会社自身が、帰属はなお検討中だと書いている。

最も引用される数字は性質が違う。「achieving 99.5% detection and remediation of live secrets in code.」（2025年11月10日の発表）分子も分母も、抽出方法も示されていない。適用率なのか、検出性能なのか、修復の完了度なのかも明示されない。これは会社が自社について述べたことであり、検証済みの正確度ではない。

2026年7月に公表された量も同じ慎重さを要する。重要・高リスクのオープンソース脆弱性のインスタンスを55万件超修復し、コンテナの自動パッチ適用が月およそ300万件の脆弱性インスタンスを処理したという（2026年7月の要約）。インスタンスは固有の脆弱性でもCVEでもない。55万という数字には測定の対象期間がない。月次の処理量は滞留の解消ではない。読み方を縛る数字はほかにもある。監視対象のパイプラインは約8万本、2025年4月時点で七つの主要なセキュリティログ区分のうち五つが保存基準を満たしていた（2025年4月報告書）。加えて、報告ごとに集計期間が異なる。2025年11月は2025年1月以降のCVEを数え、報奨金の支払いは2024年7月から2025年6月を対象とする。公表日は締め日ではない。

会社はこの限界を自ら認めている。「We do not disclose the full body of work we are undertaking to advance an objective (such as standards and key results)」（2025年11月報告書）率直ではある。そして、これらの文書だけでは外部監査が計算をやり直せない、技術的な理由でもある。

最も「結果」に近いのは次の一点だ。Satya Nadellaは2024年5月、マイクロソフトが「basing part of the compensation of the senior leadership team on our progress towards meeting our security plans and milestones」と述べた（2024年5月3日の公式ブログ）。2024年9月にはこう繰り返している。「Microsoft’s senior leadership team now has security performance directly linked to compensation.」（2024年9月の進捗更新）今回参照した資料のどこにも、重み付け、発動の閾値、特定のマイルストーンに連動した自動減額は公表されていない。尺度のない報酬連動は、優先順位の信号であって、執行できる条項ではない。

ガバナンスにも名前はある。CISOのIgor TsyganskiyがDeputy CISOによるサイバーセキュリティ・ガバナンス・カウンシルを率い、Deputy CISOとエンジニアリングチームが監督・リスク管理・報告を共同で担う。経営層のレビューは週次、取締役会への更新は四半期ごと、セキュリティの成果は従業員評価に組み込まれる。Joy Chikはこのプログラムのexecutive sponsorとされている（2024年9月の発表）。名前のある監督体制は、指標ごとに責任者と期限を割り当てた台帳ではない。

実際に存在するものも正しく数えるべきだ。このプログラムには少なくとも一つの暦の期限がある。重要製品とサービスを2029年までに耐量子暗号（PQC）へ移行するという目標だ（2026年7月10日の発表）。すべてが期限なしだと言えば誤りになる。また2025年4月報告書の付録は、CSRBの勧告1〜4を「complete」と記している。これは自社の遵守状況についてのマイクロソフト自身の評価であり、独立した検証ではない。

プログラムのハブに載る最新の報告は2026年7月で、対応する発表は2026年7月10日付である（トラストセンターのハブ）。頻度は約束であって日程表ではない。「We plan to keep ourselves accountable and provide the latest SFI news to customers, partners, and the security community through regular updates.」このページに固定の公表周期は示されておらず、ページ自体が随時変わりうる。

すべてを決める問い、すなわちマイクロソフト以外の誰がこの百分率を保証しているのかについては、正直な答えは狭い。今回の記事のために、記載された参照日に読んだ十一の文書——CSRB報告書、四つの詳細な進捗報告、四つの日付入りマイクロソフト発表、2026年7月のトラストセンター要約ページ、そしてプログラムのハブ——の中に、公表された百分率への独立した証明は見当たらなかった。内部テスト、標準への対応付け、ボードによる先行のインシデント審査は、その後の進捗数値に対する独立した保証ではない。この資料群にないことは、他所に存在しないことの証明ではない。

この会社について当メディアがこれまでに書いてきたこととの差分は、はっきり述べておく。過去の七本は、同社を製品と市場の主体として扱っていた。Copilotの統合（2026年3月19日）、報じられたマイクロソフトとAmazon、OpenAIの駆け引き（2026年3月19日）、Strykerへの侵害後にIntuneの管理者制御に触れたCISAの注意喚起（2026年3月19日）、Microsoft 365の障害（2026年1月23日）、G42とのUAEにおける200MW拡張（2025年11月7日）、英国競争市場庁のクラウド市場に関する勧告（2025年8月1日）。いずれも、外部審査の後に執行可能な救済が何に置き換わったかを検証していない。ボード自体の非強制性を扱った当メディアの以前のブリーフィングは、この記事が始まる地点で終わっている。会社が自ら築いた代替物である。BTWディレクトリのMicrosoft Corporationの項目はここでは身元の座標であり、運用事実の出所ではない。

したがって本当に有用な問いは、マイクロソフトが真剣に取り組んでいるかではない。文書は作業と、名前のある人々と、数万本の計装されたパイプラインを示している。問いは、自ら公表した百分率が何を義務づけるかである。調達契約に書けば、達成率は保証に見える。年次報告に書けば、統制に見える。保険契約に書けば、測定済みのリスクに見える。三つの場合すべてで、読者は売り手しか出せない結論を買っている。測られる側が自ら定義し、計算し、解釈する尺度は検証ではない。小数点付きの自己評価である。