SC-200（Microsoft Security Operations Analyst）とは？試験内容・難易度・勉強法をわかりやすく解説

「Microsoftのセキュリティ製品を使っているが、体系的なスキルを証明する資格がほしい」「SOCアナリストやセキュリティ運用の仕事に転向したいが、何の資格が評価されるか迷っている」——こうした声をよく耳にします。

Microsoft 365やAzureを採用する企業が増えるなか、Microsoftのセキュリティ製品群（Defender・Sentinel）を使いこなすスキルの証明として注目されているのがSC-200（Microsoft Security Operations Analyst）です。Microsoft公式の資格であり、Defender XDRとMicrosoft Sentinelを軸にした脅威検知・インシデント対応スキルを評価します。

この記事では、SC-200の試験内容・難易度・効果的な勉強法から、取得後のキャリアへの活かし方まで、現場目線で解説します。Microsoft環境でのセキュリティ運用に関わるエンジニアは、ぜひ最後まで読んでください。

SC-200（Microsoft Security Operations Analyst）とは？

SC-200は、Microsoftが提供する認定試験のひとつで、正式名称は「Microsoft Certified: Security Operations Analyst Associate」です。SOCアナリストやセキュリティ運用担当者として、Microsoftのセキュリティプラットフォームを活用してサイバー脅威を検知・調査・対応するスキルを証明します。

Microsoftの資格体系では、SC（Security）プレフィックスが付く試験はセキュリティ専門に位置づけられており、SC-200はその中の「Associate」レベル——つまり実務担当者向けの中級資格です。

この資格が特に評価される理由は、Microsoft SentinelというSIEM（セキュリティ情報・イベント管理）/SOAR（セキュリティオーケストレーション・自動応答）ツールの実践的な活用能力が中核に据えられている点にあります。Sentinelは企業のSOCで急速に導入が広がっており、「使いこなせる人材」の需要は今後も高まり続けると見られています。

1. MicrosoftセキュリティロードマップにおけるSC-200の位置づけ

Microsoftのセキュリティ関連資格には複数の試験があります。SC-200はその中で「日常的なセキュリティ運用・インシデント対応」を担うアナリスト向けの資格です。

SC-200は「検知・対応」、AZ-500は「設計・保護」に特化しています。両方を取得することで、Microsoftプラットフォームのセキュリティ全体をカバーできます。

試験の基本情報と出題範囲

SC-200の試験概要は以下のとおりです（2025年時点の情報。試験内容はMicrosoftにより定期的に更新されます）。

2. 主要な出題領域

SC-200の試験は大きく3つの領域で構成されています。

・Microsoft Defender XDRを使った脅威の軽減: Defender for Endpoint・Defender for Office 365・Defender for Cloud Appsなど、各Defenderプロダクトによるインシデント調査・対応が問われます。
・Microsoft Sentinelを使った脅威の軽減: Sentinelへのデータソース接続、分析ルールの作成、インシデントの調査、プレイブック（SOAR自動化）の設定など、Sentinelの実践的な操作が出題の中核を占めます。
・Microsoft Defender for Cloudを使ったセキュリティ体制管理: クラウドワークロードのセキュリティ体制評価・推奨事項への対応・アラートの調査など。

3領域の中で特にウェイトが大きいのがMicrosoft Sentinel関連です。Sentinelの操作経験がほぼない状態で受験すると、この領域で大きく失点するリスクがあります。

SC-200の難易度と合格ラインの目安

SC-200の難易度は「Microsoftの製品知識があれば取り組みやすいが、Sentinelの実務経験がないと想定以上に手こずる」という評価が多いです。

難易度を決める主な要因は以下のとおりです。

・Sentinelの操作経験の有無: SentinelはLog Analytics Workspaceと連携したKQLクエリ言語を使います。KQLが読めない状態では、Sentinel関連の問題を正確に解くことが難しくなります。
・Defender製品群の横断的な理解: Defender for Endpoint・Defender for Office 365・Defender for Identity・Defender for Cloud Appsそれぞれの役割と連携を理解している必要があります。
・実際の操作問題（ラボ問題）の有無: 受験回によっては、ブラウザ上でAzureポータルを操作するラボ問題が出題されることがあります。試験時間の管理に注意が必要です。

Microsoft 365やAzureの管理・運用経験があり、セキュリティの基礎知識（CompTIA Security+相当）を持つエンジニアなら、1～2か月の学習で合格圏内に到達できるケースが多いです。

効果的な勉強法と学習手順

1. Microsoft Learnで無料学習する

SC-200の学習において最初にやるべきことは、Microsoft Learnの公式ラーニングパスを一通り確認することです。SC-200に対応したラーニングパスは無料で提供されており、各Microsoftサービスの概要・設定方法・ユースケースがモジュール形式で学べます。

特に以下のモジュールは試験の中核に直結するため、丁寧に取り組むことをお勧めします。

・Microsoft Sentinelへのデータ収集の設定
・KQL（Kusto Query Language）を使ったログ分析
・Sentinelの分析ルールとインシデント管理
・Microsoft Defender XDRのインシデント調査
・プレイブック（Logic Apps）による自動応答の設定

2. KQLの基礎を押さえる

KQL（Kusto Query Language）はMicrosoftのログ分析クエリ言語で、SentinelやAzure Monitorで使用されます。SQL的な構文を持ちつつも独自の記法があるため、事前に基礎を学んでおくことが重要です。

試験では複雑なKQLクエリの記述は求められませんが、簡単なフィルタリング・集計・結合操作（where・project・summarize・join）の意味と出力結果を理解できる水準が求められます。

# Sentinel Log Analytics でのKQLの例（概念理解用）
# SecurityEvent テーブルから過去24時間のログイン失敗を抽出
SecurityEvent
| where TimeGenerated > ago(24h)
| where EventID == 4625
| summarize count() by AccountName, IpAddress
| order by count_ desc

実際に手を動かして理解するのが最善です。Azure無料サブスクリプションまたはMicrosoft Learn上のサンドボックス環境を使って、KQLクエリを試しながら学ぶと定着が早くなります。

3. 練習問題と模擬試験で仕上げる

教材を一通り学習したあとは、練習問題で知識の定着度を確認します。以下のリソースが有効です。

・MeasureUp（Microsoft公式の練習テスト）: 試験に近い形式の問題が収録されており、解説も充実しています。有料ですが、本番前の最終確認として信頼性が高いです。
・Udemy の SC-200 対応講座: John Savill や Alan Rodrigues の講座が日本でも評価されています。動画学習と模擬試験がセットになっており、効率よく試験対策ができます。

4. 学習スケジュールの目安

Microsoft 365/Azureの日常的な管理経験があるエンジニア向けの目安です。

Sentinelの実務経験がない場合は、この期間を5～6週間に延ばし、Azure無料サブスクリプションで実際にSentinelを触る時間を確保することをお勧めします。

SC-200がキャリアに与える影響

対応する職種と評価される場面

SC-200は以下のような職種・役割で直接評価される資格です。

・SOCアナリスト（L1/L2）: Microsoftのセキュリティ製品を使った日常的なアラートトリアージ・インシデント初動対応
・セキュリティエンジニア（Microsoft環境担当）: SentinelやDefenderの設計・構築・運用チューニング
・クラウドセキュリティ担当者: AzureワークロードのセキュリティモニタリングとDefender for Cloud活用
・IT管理者からセキュリティへのキャリアチェンジ: Microsoft 365管理経験を活かしてセキュリティ専門職へ転向

特にMicrosoft 365テナントを管理している社内SE・情シス担当者にとって、SC-200は現在の業務の延長線上で取得しやすく、かつキャリアチェンジの説得力を高めやすい資格です。

国内での需要と給与への影響

日本国内では、Microsoft 365やAzureを採用する企業が増加するにつれ、Microsoftセキュリティ製品の運用スキルを持つエンジニアへの需要が高まっています。SIerやMSP（マネージドサービスプロバイダー）では、SC-200取得者を「Microsoftセキュリティ運用担当」として評価するケースが増えています。

給与面では、SC-200取得によって年収30万円～80万円程度のレンジアップにつながったケースが報告されています。単独での効果は控えめですが、AZ-500やSC-300などMicrosoftの他のセキュリティ資格と組み合わせることで、「Microsoftセキュリティ専門家」としての市場価値が大きく向上します。

年次更新制度について

SC-200は取得後に毎年無料のオンライン更新評価を受けることで資格を維持できます。更新評価はMicrosoft Learn上で受けられ、再試験費用は不要です。ただし更新を忘れると資格が失効するため、取得後は更新期限を手帳やカレンダーに記録しておくことを習慣にしてください。

Linuxサーバーのセキュリティ設定やfirewalldの実践については、姉妹サイトLinuxMaster.JPでも詳しく解説しています。Microsoft環境とLinux環境の両面からセキュリティを理解することで、より幅広い現場に対応できるようになります。

よくある誤解と注意点

【誤解1】「Microsoft製品を触ったことがなくても勉強だけで取れる」

SC-200は実務経験がなくても合格は可能ですが、Sentinelのラボ問題が出題された場合に実際の操作感覚がないと詰まりやすくなります。Azure無料サブスクリプションを使って、SentinelとDefenderの基本操作を最低限体験してから受験することを強く推奨します。「知識で解ける問題」だけでなく「操作して正解にたどり着く問題」が含まれる点を念頭に置いてください。

【誤解2】「SC-200を取ればSOCの求人で即戦力扱いになる」

資格はスキルの証明の入口にすぎません。SOCアナリストとして評価されるには、ログ分析・インシデント対応の実践経験が不可欠です。SC-200取得後は、Azure無料環境やMicrosoft Sentinel評価版を使った自己研鑽を継続し、実際のSOC業務に近い演習を積むことが重要です。

【注意】試験内容の定期更新に注意

MicrosoftはSC-200を定期的に改定します。受験前に必ず公式のSC-200試験ページで最新のスキル概要（Skills measured）を確認してください。古い参考書や動画教材が対応していない範囲が出題されることがあります。Microsoft Learnの公式ラーニングパスが最もアップデートが早いため、直前確認はLearnを起点にすることをお勧めします。

本記事のまとめ

SC-200（Microsoft Security Operations Analyst）は、MicrosoftのSentinelやDefenderを使ったセキュリティ運用スキルを証明する、実践性の高い中級資格です。

Microsoft 365やAzureを日常的に扱う社内SEや情シス担当者が「セキュリティの専門家」としてキャリアを築くための、コストパフォーマンスに優れた一手です。まずはMicrosoft Learnの公式ラーニングパスから始めてみてください。