変更要約: SC-100 第5章を新規作成（ドメイン4「アプリとデータのセキュリティ設計」: M365 保護(Microsoft Secure Score/Defender for Office 365/Defender for Cloud Apps(CASB)/Intune/Purview ラベル/DLP)、Copilot for Microsoft 365(権限/ラベル継承/過剰共有/DSPM for AI/Purview Audit)、アプリ保護(脅威モデリング/セキュア開発ライフサイクル/workload identity/API Management/Azure WAF)、データ保護(discovery/分類/保存時・転送時暗号化/CMK/Key Vault/Defender for Storage/Defender for Databases/Azure SQL/Synapse/Cosmos DB/Storage)）。
5.4データの保護
データの discovery と分類、データへの脅威緩和の優先順位、保存時/転送時の暗号化（Azure Key Vault・インフラ暗号化）、Azure ワークロード（Azure SQL・Azure Synapse Analytics・Azure Cosmos DB）と Azure Storage のデータ保護、Microsoft Defender for Storage・Microsoft Defender for Databases を理解します。
最終的に守る対象はデータです。アーキテクトは「どこに何の機密があるか（discovery/分類）」を起点に、暗号化・アクセス・脅威検知を重ね、価値の高いデータから優先して守ります。
5.4.1discovery・分類と暗号化
まず データの discovery と分類（Microsoft Purview の情報保護・秘密度ラベル）で「どこに機密があるか」を把握し、脅威緩和の優先順位を付けます。次に暗号化＝保存時暗号化（既定で有効・必要に応じ 顧客管理キー（CMK） を Azure Key Vault/Managed HSM で管理）と 転送時暗号化（TLS）、二重で守る インフラ暗号化 を設計します。鍵管理は「誰が鍵を握るか（Microsoft 管理 vs 顧客管理）」がコンプライアンス要件に直結します。アーキテクトは「機密度に応じた暗号化と鍵の所在」を設計判断として整理します。
5.4.2データストアの脅威検知
データの保管先ごとに脅威検知を設計します＝Azure Storage は Microsoft Defender for Storage（マルウェアアップロード・異常アクセス検知）、Azure SQL・Azure Cosmos DB・PostgreSQL/MySQL 等は Microsoft Defender for Databases（SQL インジェクション・異常アクセス検知）で守ります。Azure Synapse Analytics など分析基盤も含め、保存データへの脅威を Defender for Cloud の CWPP として有効化します。アクセス制御（プライベートエンドポイント・RBAC・ファイアウォール）と暗号化に、脅威検知を重ねる多層防御が要点です。