変更要約: SC-100 第5章を新規作成（ドメイン4「アプリとデータのセキュリティ設計」: M365 保護(Microsoft Secure Score/Defender for Office 365/Defender for Cloud Apps(CASB)/Intune/Purview ラベル/DLP)、Copilot for Microsoft 365(権限/ラベル継承/過剰共有/DSPM for AI/Purview Audit)、アプリ保護(脅威モデリング/セキュア開発ライフサイクル/workload identity/API Management/Azure WAF)、データ保護(discovery/分類/保存時・転送時暗号化/CMK/Key Vault/Defender for Storage/Defender for Databases/Azure SQL/Synapse/Cosmos DB/Storage)）。
5.4データの保護
データの discovery と分類、データへの脅威緩和の優先順位、保存時/転送時の暗号化（Azure Key Vault・インフラ暗号化）、Azure ワークロード（Azure SQL・Azure Synapse Analytics・Azure Cosmos DB）と Azure Storage のデータ保護、Microsoft Defender for Storage・Microsoft Defender for Databases を理解します。
最終的に守る対象はデータです。アーキテクトは「どこに何の機密があるか（discovery/分類）」を起点に、暗号化・アクセス・脅威検知を重ね、価値の高いデータから優先して守ります。
5.4.1discovery・分類と暗号化
まず データの discovery と分類（Microsoft Purview の情報保護・秘密度ラベル）で「どこに機密があるか」を把握し、脅威緩和の優先順位を付けます。次に暗号化＝保存時暗号化（既定で有効・必要に応じ 顧客管理キー（CMK） を Azure Key Vault/Managed HSM で管理）と 転送時暗号化（TLS）、二重で守る インフラ暗号化 を設計します。鍵管理は「誰が鍵を握るか（Microsoft 管理 vs 顧客管理）」がコンプライアンス要件に直結します。アーキテクトは「機密度に応じた暗号化と鍵の所在」を設計判断として整理します。
5.4.2データストアの脅威検知
データの保管先ごとに脅威検知を設計します＝Azure Storage は Microsoft Defender for Storage（マルウェアアップロード・異常アクセス検知）、Azure SQL・Azure Cosmos DB・PostgreSQL/MySQL 等は Microsoft Defender for Databases（SQL インジェクション・異常アクセス検知）で守ります。Azure Synapse Analytics など分析基盤も含め、保存データへの脅威を Defender for Cloud の CWPP として有効化します。アクセス制御（プライベートエンドポイント・RBAC・ファイアウォール）と暗号化に、脅威検知を重ねる多層防御が要点です。
決め手：「どこに機密があるか発見/分類」＝Purview（情報保護/ラベル）。「自社で暗号鍵を管理（規制要件）」＝CMK＋Key Vault/Managed HSM。「Storage への異常アクセス/マルウェア検知」＝Defender for Storage。「Azure SQL/Cosmos DB の SQLi/異常検知」＝Defender for Databases。
混同に注意：
①保存時暗号化は既定で有効＝要件は多くの場合「鍵を誰が管理するか（CMK）」。
②Defender for Storage/Databases（脅威検知）と暗号化/アクセス制御（予防）は別レイヤ＝多層で重ねる。
③秘密度ラベル（Purview・データに追従）とストアの暗号化（基盤）は補完。
5.4.3この節のまとめ
- Purview の discovery/分類で機密の所在を把握し優先順位付け。暗号化は保存時/転送時＋鍵管理（CMK＝Key Vault/Managed HSM）
- Defender for Storage（Storage）・Defender for Databases（Azure SQL/Cosmos DB 等）で保存データの脅威検知
- アクセス制御・暗号化・脅威検知を重ねる多層防御で価値の高いデータから守る
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 規制要件により、データの暗号化に使う鍵を Microsoft ではなく自社で管理する必要がある。最適なのはどれですか？
Q2. Azure Storage への異常なアクセスやマルウェアのアップロードを検知したい。最適なのはどれですか？
Q3. Azure SQL や Azure Cosmos DB への SQL インジェクションや異常なアクセスを検知したい。最適なのはどれですか？
Q4. データ保護の出発点として最も適切なのはどれですか？
Q5. データ保護における多層防御の考え方として正しいのはどれですか？