Azureのセキュリティ資格の選び方｜SC-900からSC-100までの順番

Azureのセキュリティ資格はどれを取ればいいのか。結論から書きます。クラウドの実務経験が浅い人はSC-900から、Azureの運用をすでに担当している人はAZ-500から入るのが正解です。そして、いきなりSC-100（エキスパート）を目指すのは時間の無駄になります。前提条件があるからです。

この判断ができずに迷う人が多いのは、Microsoftの資格体系が素直ではないからです。名前の頭文字がAZだったりSCだったり、同じセキュリティ分野なのに試験が5つ以上あり、しかも役割ごとに分かれている。全体像を一度整理してしまえば迷いません。この記事では、各試験が何を測っているのか、どの順番で取るのが効率的か、受験料と更新のルール、無料で使える教材、そして取ったあとに実務や案件でどう効くのかをデータで整理します。

クラウドのセキュリティ資格が評価されている市場背景

まず市場の状況から押さえます。企業のシステムがクラウドに移った結果、セキュリティの論点が変わりました。以前は「社内と社外の境界を守る」ことが中心でしたが、クラウド上ではその境界が曖昧になります。代わりに重要になったのが、アイデンティティ（誰がどの資源にアクセスできるか）の管理です。

この変化がそのまま資格体系に反映されています。Microsoftのセキュリティ系資格に「Identity and Access Administrator」という区分が独立して存在するのは、この領域だけで一人前の職務が成立するという判断があるからです。ネットワーク機器の設定ができる人より、権限設計とログ監視ができる人のほうが求められている。これが今の市場の形です。

もう1つの背景が、マルチクラウドとハイブリッドの常態化です。オンプレミスのActive DirectoryとクラウドのIDを連携させる、複数のクラウドを横断してログを集める、といった構成が普通になりました。この複雑さを扱える人が不足しているため、認定資格が採用や案件選定の判断材料として使われています。

求人票の要件欄を見ると、Azure環境の運用案件では「AZ-104相当の知識」「AZ-500保有者歓迎」といった書き方が定着しています。資格が絶対条件になることは少ないものの、スキルの水準を示す共通言語として機能しているという特徴があります。特に業務委託の案件では、面談の回数を減らしたい発注側が資格を足切りに使うことがあります。

Microsoft認定資格の全体像を一度整理する

Microsoftの認定資格は、大きく4つの階層に分かれています。

Fundamentals（基礎）は、その分野の全体像と用語を押さえる層です。実務経験がなくても受けられます。Associate（中級）は、特定の職務を担当できる水準を示す層です。Expert（上級）は、複数領域を横断して設計できる水準。そしてSpecialty（特化）が、特定製品や特定用途に絞った層です。

さらに、資格名には「役割」が埋め込まれています。Azure Security Engineer、Security Operations Analyst、Identity and Access Administrator、Cybersecurity Architect。つまり、試験を選ぶという行為は、どの職務に就きたいかを選ぶことと同じです。ここを意識しないまま「セキュリティっぽい試験」を選ぶと、実務とずれた資格を取ることになります。

この体系の複雑さについては、実際に整理を試みた技術者がこう書いています。

そのため、資格体系はやや複雑で、全体像を把握しにくいと感じる方も多いでしょう。 Microsoft 公式サイトでは体系的な資料が提供されており、以下の2つの方法で全体像を確認できます。 出典: qiita.com

正直なところ、これは資格を検討する人全員が最初に感じることだと思います。ただ、複雑に見える原因ははっきりしていて、製品名と職務名が混ざっているからです。AZから始まる試験はAzureというプラットフォームを軸にしたもの、SCから始まる試験はSecurity・Compliance・Identityという職務領域を軸にしたもの。この2軸が交差していると理解すれば、地図は一気に読めるようになります。

セキュリティ系の主要な試験を並べて比較する

セキュリティに関わる主要な試験を、階層と役割で整理します。

試験コード	階層	測る内容	想定する読者
SC-900	Fundamentals	セキュリティ・コンプライアンス・IDの基礎概念	クラウド初心者、非エンジニア含む
AZ-900	Fundamentals	Azureそのものの基礎	Azureを触り始めた人
AZ-500	Associate	Azure環境のセキュリティ設定と運用	Azureの運用担当者
SC-200	Associate	脅威の検知と調査、インシデント対応	監視・分析の担当者
SC-300	Associate	ID管理とアクセス制御の設計運用	認証基盤の担当者
SC-400	Associate	情報保護とコンプライアンスの実装	情報管理・内部統制の担当者
SC-100	Expert	全体のセキュリティ戦略と設計	アーキテクト職

この表の使い方はシンプルです。自分が今やっている仕事、あるいはやりたい仕事の説明に最も近い行を選ぶ。それが取るべき試験です。

注意すべきは、SC-100（Microsoft Cybersecurity Architect）に前提条件があることです。この試験に合格しても、AZ-500、SC-200、SC-300、AZ-305のいずれかの認定を持っていないと認定は付与されません。つまり実質的に、Associateを1つ取ってからでないと到達できません。ここを知らずにSC-100だけを申し込む人が毎年います。最初に確認してください。

Azureそのものの基礎から入りたい場合は、出題範囲と学習の進め方がMicrosoft Azure Fundamentals（AZ-900）にまとまっています。クラウドの用語やサービスの名前に不安がある段階なら、セキュリティ系に進む前にここを通しておくほうが結果的に速いです。

初心者はSC-900から入るのが合理的な理由

クラウドの実務経験が浅い人には、SC-900を勧めます。理由は3つあります。

第一に、範囲が概念中心だからです。ゼロトラストという考え方、多要素認証の仕組み、条件付きアクセスの役割、Microsoft Entra IDが何をしているか、Microsoft Purviewが何を管理するか。こうした「何のための機能か」を押さえる試験なので、環境を持っていなくても学習できます。

第二に、以降のすべての試験の共通言語になるからです。AZ-500もSC-300も、SC-900で扱う概念の上に組み立てられています。土台を飛ばすと、用語の意味がわからないまま手順を暗記することになり、実務で応用が効きません。

第三に、受験料が安く、リスクが小さいからです。Fundamentals階層の試験は、Associate以上と比べて費用が半分程度です。学習の入口として試すには適した価格帯です。

一方で、SC-900だけでは職務の証明になりません。採用側や発注側は、Fundamentals階層を「勉強を始めた証拠」としては見ますが、「任せられる証拠」とは見ません。SC-900は通過点であって、目的地ではない。ここは正直に書いておきます。

学習の順番として実務的なのは、AZ-900とSC-900を1か月程度で両方通し、そのあとAZ-104（Azure管理者）かAZ-500に進む形です。AZ-104を挟むかどうかは、Azureのリソース操作に慣れているかで決めてください。仮想ネットワークやストレージアカウントを自分で作った経験がないなら、AZ-104を挟んだほうがAZ-500の学習が楽になります。

AZ-500の中身と、準備で詰まりやすい箇所

AZ-500（Azure Security Engineer Associate）は、Azure環境を実際に守る人のための試験です。Azureのセキュリティ資格と言われたとき、多くの人が想定するのがこれです。

出題は4つの柱で構成されています。IDとアクセスの管理、プラットフォーム保護（ネットワークとホストの防御）、セキュリティ運用（監視と対応）、そしてデータとアプリケーションの保護です。配点は年度により調整されますが、IDとアクセスの比重が一貫して高い点は変わりません。

準備で詰まる箇所は、はっきりしています。1つは、ネットワークセキュリティの構成です。ネットワークセキュリティグループ、Azure Firewall、アプリケーションゲートウェイ、プライベートエンドポイント。似た機能が複数あり、どの場面でどれを選ぶかを問われます。暗記では答えられません。もう1つは、キー管理です。Azure Key Vaultの役割、マネージドIDの使いどころ、暗号化キーを誰が管理するかという設計判断。ここは実際に手を動かさないと身につきません。

対策としては、無料枠のAzureアカウントで環境を作るのが最も早い。読むだけの学習と、実際にリソースを作って設定を触る学習では、定着の速度が違います。仮想マシンを1台立て、ネットワークセキュリティグループで通信を絞り、ログをMicrosoft Sentinelに流してみる。この一連をやっておくと、試験問題の情景が具体的に浮かぶようになります。

試験は多肢選択とケーススタディの組み合わせで、合格ラインは1000点満点中700点です。ケーススタディは長文なので、時間配分を練習してから臨んでください。

SC-200、SC-300、SC-400の選び分け

Associate階層のSC系3つは、職務ごとに分かれています。どれを選ぶかは、今の仕事の内容で決めてください。

SC-200（Security Operations Analyst）は、監視と調査の担当者向けです。Microsoft SentinelやMicrosoft Defenderのアラートを見て、本物の攻撃かどうかを判断し、対応する。ログのクエリ言語（KQL）を書けることが求められるので、SQLのような問い合わせ言語に抵抗がない人に向きます。SOC（監視センター）での勤務や、インシデント対応を担う立場ならこれです。

SC-300（Identity and Access Administrator）は、認証基盤の担当者向けです。Microsoft Entra IDの設計、条件付きアクセスのポリシー、特権アカウントの管理、外部ユーザーの招待と統制。クラウド時代のセキュリティの中核なので、実は最も応用が効く資格だと考えています。社内の情報システム部門にいる人が取ると、すぐ業務に反映できます。

SC-400（Information Protection and Compliance Administrator）は、情報の分類と保護、データ損失防止、電子情報開示、監査ログの保持といったコンプライアンス寄りの領域です。法務や内部統制と連携する仕事が多い人に向きます。技術的な深さより、業務要件を製品設定に落とす力が問われます。

選び分けの目安を1つ挙げるなら、「自分が普段見ている画面」で決めるのが確実です。アラートの一覧を見ているならSC-200、ユーザーと権限の一覧を見ているならSC-300、文書とポリシーの一覧を見ているならSC-400。日常業務と重なる試験を選んだ人は、学習の速度も合格後の活用も明らかに違います。

なお、ネットワークの基礎が弱いと感じる場合は、クラウド系と並行して汎用のネットワーク資格を押さえる手もあります。学習範囲の比較はCCNA（シスコ技術者認定）を見てください。クラウド資格は製品仕様に寄るため、プロトコルレベルの理解は別途補う必要があります。

受験料、更新のルール、無料で使える学習リソース

費用と維持の話をします。ここを知らずに取ると、あとで面倒になります。

受験料は階層によって異なり、Fundamentals階層はおよそ1万2,500円、Associate以上はおよそ2万1,000円という水準です（いずれも税別。価格は改定されるため申込前に公式サイトで確認してください）。試験はオンラインでも試験会場でも受けられます。オンライン受験は自宅で完結する代わりに、部屋の撮影や机上の確認といった手続きがあり、環境要件が厳しめです。初めてなら会場受験のほうが余計な緊張がありません。

更新のルールが重要です。Role-basedの認定（Associate、Expert）には有効期限があり、取得から1年で失効します。ただし、失効前の一定期間内であれば、オンラインの更新アセスメントを無料で受けることで延長できます。試験会場に行く必要も、受験料を払う必要もありません。一方、Fundamentals階層の認定には有効期限がなく、更新は不要です。

この仕組みは、よくできていると思います。クラウドは仕様変更が速いので、1年ごとに知識を確認させるのは理にかなっている。ただし更新を忘れると失効するので、取得したらカレンダーに登録しておいてください。

学習リソースは、無料のものだけでかなり戦えます。Microsoft Learnには各試験に対応した学習パスが公開されており、すべて無料で読めます。加えて、公式の模擬問題（プラクティスアセスメント）も無料で提供されています。市販の問題集を買う前に、この公式模擬問題を1周してください。出題の癖がつかめます。

時期によっては、オンラインの無料トレーニングイベントに参加すると受験バウチャーが提供されることがあります。提供の有無は時期と地域で変わるため、申し込む前に公式の案内を確認する価値があります。費用を抑えたい人は、このタイミングを狙うのが賢い方法です。

3か月で1つ取るための学習スケジュール

働きながら取る前提で、3か月のモデルを組んでみます。対象はAZ-500ですが、SC系のAssociateでも配分はほぼ同じです。

1か月目は、土台作りに使います。最初の2週間でSC-900の学習パスを通し、概念と用語を頭に入れます。残りの2週間で、Azureの無料枠にアカウントを作り、仮想ネットワーク、仮想マシン、ストレージアカウント、Microsoft Entra IDのユーザーとグループを自分の手で作ります。この段階では設定の意味がわからなくても構いません。画面の場所を覚えるのが目的です。

2か月目が本番です。AZ-500の学習パスを4つの柱ごとに区切り、1週間に1つずつ消化します。読んだ内容は必ず実機で再現してください。条件付きアクセスのポリシーを1つ作る、ネットワークセキュリティグループで特定のポートだけ開ける、Key Vaultにシークレットを保存してアプリから読み出す。手順を写経するだけでも、記憶の残り方が違います。

3か月目は、演習と弱点補強です。公式の模擬問題を1周し、間違えた分野の学習パスに戻ります。この往復を2回やると、正答率が安定してきます。安定したら試験を予約してください。逆に言うと、予約は仕上がってからで構いません。Microsoftの試験は通年で受けられるので、日程に追われる必要がない点が有利です。

社会人が計画を崩す原因は、だいたい平日夜の見積もり過剰です。週の合計時間ではなく、崩れない配置で考えてください。平日は30分で学習パスを1節読むだけにして、実機の演習は週末にまとめる。この形のほうが3か月続きます。

試験当日の進め方と、オンライン受験の注意点

受験形式を選べるのがMicrosoftの試験の特徴ですが、それぞれに注意点があります。

試験会場で受ける場合は、身分証明書が2点必要になることがあります。事前に案内を読み、指定された条件を満たす証明書を用意してください。会場では私物をロッカーに預け、支給されたメモ用のボードだけを持ち込みます。紙のメモは使えません。

オンラインで受ける場合は、環境の要件が厳しめです。部屋に他の人がいないこと、机の上に何も置かないこと、開始前に部屋をカメラで映して確認を受けること。壁に貼った紙や本棚の中身まで指摘されることがあります。デュアルディスプレイは片方を外す必要があります。この準備を当日に始めると時間が足りないので、前日に部屋を片付けておいてください。

試験中の進め方としては、ケーススタディを後回しにしないことを勧めます。Microsoftの試験では、ケーススタディのセクションに入ると前のセクションに戻れない設計になっている場合があります。案内画面の指示をよく読み、戻れない旨の表示が出たらそこで区切りだと理解してください。

結果は終了直後に画面へ表示されます。合否と、分野ごとの達成度のグラフが出るので、不合格だった場合はどの柱が弱かったかがわかります。再受験には待機期間があり、1回目の不合格後は一定日数を空ける必要があります。連続で受け直せる想定で準備を薄くしないでください。

初心者がやりがちな失敗4つ

データを見ていると、つまずき方には型があります。

失敗1は、階層を飛ばすことです。Fundamentalsを飛ばしてAZ-500から入り、用語がわからず挫折する。急がば回れで、SC-900に2週間かける方が早く着きます。

失敗2は、手を動かさないことです。動画と参考書だけで進めて、模擬問題で点が取れない。クラウドの資格は操作画面を知っているかどうかで正答率が変わります。無料枠で環境を作ってください。

失敗3は、SC-100の前提条件を見落とすことです。前述のとおり、Associateの認定がないと認定されません。学習を始める前に、公式の資格ページで前提を確認してください。

失敗4は、更新を忘れて失効させることです。せっかく取った認定が1年で消えます。無料で更新できるのに、通知を見逃して失効する人がいる。これが一番もったいない。

もう1つ挙げるなら、「資格を取れば案件が来る」という期待の持ち方も失敗の一種です。資格は、話を聞いてもらえる確率を上げるものであって、仕事を連れてくるものではありません。取得後に何をしたかを語れる状態にしておくことが必要です。

付け加えると、複数の試験を同時並行で進めるのも避けたほうがいい。SC-200とSC-300は似た画面を扱いますが、問われる判断の軸が違います。混ぜて学習すると、どちらの型も中途半端になります。1つ取り、更新の見通しを立ててから次に進む。この順番が結局は速い。

情報の鮮度にも注意が必要です。クラウドの製品名は頻繁に変わります。Azure Active DirectoryはMicrosoft Entra IDへ、Azure Security CenterはMicrosoft Defender for Cloudへと名称が変わってきました。古い記事や中古の参考書は旧名称のまま書かれていることがあり、そのまま覚えると試験の選択肢が読めません。学習の主軸は公式の学習パスに置き、書籍や解説記事は補助として使うのが安全です。

フリーランスや副業でどう活かすか

取得後の使い道を具体的に考えます。

クラウドのセキュリティ知識が委託案件として切り出されるパターンは、主に3つあります。1つめは、構築フェーズでの設計レビューです。すでに動いているAzure環境について、権限設計やネットワーク構成に問題がないかを確認し、報告書にまとめる。短期で区切りやすく、副業で受けやすい形です。

2つめは、診断と改善提案です。脆弱性診断の実務がどう組み立てられるかはオープンソースで始めるWebサイト脆弱性診断｜OWASP ZAPの使い方ガイドに具体的な手順があります。クラウド設定の確認と、アプリケーション層の診断は別物ですが、両方を扱えると案件の幅が広がります。より踏み込んだ形式については【ペネトレーションテスト事例】模擬ハッキングで弱点を発見！実施の流れと必要性で流れが説明されています。

3つめは、中小企業向けの導入支援です。専任担当者がいない会社に対して、多要素認証の展開や権限整理を代行する仕事です。予算の制約が大きい領域なので、制度を絡めた提案ができると通りやすくなります。その設計例は中小企業のサイバーセキュリティ対策2026｜IT導入補助金で防御力を強化する方法を見てください。

どの案件形態でも発注が増えているのがセキュリティと周辺領域を束ねた依頼です。実際にどんな業務が委託されているかはAI・マーケティング・セキュリティのお仕事に整理されています。単独のスキルより、隣接領域との組み合わせで評価されるという傾向が読み取れます。開発寄りの案件に広げたい場合はアプリケーション開発のお仕事も参考になります。報酬水準の感覚を掴むならソフトウェア作成者の年収・単価相場で職種別のデータを見ておくとよいでしょう。

運営者として市場を見てきた立場からの考察

フリーランスと在宅ワークの市場を20年運営してきた立場から見ると、クラウド資格の価値は「入口の信用」に集約されます。発注側は、初対面の相手のスキルを測る手段を持っていません。ポートフォリオが出せない業務も多い。そこで資格が、最初の数分の会話を成立させる役割を果たします。

ただし、運営者として見てきた限りでは、資格の数を増やした人より、1つの領域で継続的に仕事を受けた人のほうが安定しています。長く続く人ほど、「この設定ならこの人に聞けば早い」という関係を作ることに時間を使っている。クラウドのセキュリティは、一度構成を理解した人に次も頼みたくなる性質の仕事です。環境を知っている人のほうが確実に速いからです。だから最初の1件を丁寧にやると、2件目以降の相談が自然に来ます。

額面と手取りの構造にも触れておきます。同じ業務でも、仲介に手数料が乗る経路と、依頼者と直接契約する経路では、手元に残る金額が変わります。手数料0%で直接つながる形は、受け手の手取りが厚くなるだけでなく、依頼者も同じ予算でより多く頼めます。これは金額の話にとどまりません。手取りが薄いと、受け手は件数を増やして埋めるしかなくなり、一件あたりの確認作業が削られます。セキュリティ設定の確認は、丁寧さがそのまま品質になる仕事なので、この差は成果物に出ます。両側を見てきた実感として、余裕のある関係のほうが結果が良い。

最後に、選び方をもう一度まとめます。今やっている仕事に最も近い試験を1つ選ぶ。その前提となる基礎を飛ばさない。合格したら、無料の更新アセスメントを忘れずに受ける。そして、資格で得た知識を使って小さな仕事を1件仕上げる。この順番で進めた人は、資格を「持っているもの」ではなく「使えるもの」にできます。市場を長く見てきて、差がつくのはそこだと考えています。

よくある質問

Q. Azureのセキュリティ資格はどれから取るべきですか？

クラウドの実務経験が浅いならSC-900から入るのが合理的です。セキュリティ、コンプライアンス、IDの基礎概念を扱うため、環境を持っていなくても学習できます。Azureの運用をすでに担当しているなら、AZ-500から始めて構いません。SC-100はAssociate認定が前提条件なので、最初には選べません。

Q. 受験料はいくらかかりますか？

Fundamentals階層はおよそ1万2,500円、Associate以上はおよそ2万1,000円という水準です（いずれも税別）。価格は改定されるため、申し込み前に公式サイトで確認してください。オンライン受験と試験会場受験のどちらでも料金は同じです。

Q. 取得した資格に有効期限はありますか？

AssociateとExpertのRole-based認定には有効期限があり、取得から1年で失効します。ただし失効前の一定期間内であれば、オンラインの更新アセスメントを無料で受けて延長できます。Fundamentals階層の認定には有効期限がなく、更新手続きは不要です。

Q. 無料で学習する方法はありますか？

Microsoft Learnに各試験に対応した学習パスが無料で公開されており、公式の模擬問題も無料で受けられます。加えてAzureの無料枠でアカウントを作り、実際にリソースを操作しながら学ぶのが最も定着します。時期によっては無料トレーニングイベントで受験バウチャーが提供されることもあります。