ITトレンドがおすすめする製品・サービス
- ■守る対象・仕組み別
- 利用中のクラウドサービスを可視化・制御したい：CYGIENE ECAP（サイジーン イーキャップ）、Cloud Access Security Broker (CASB)、Zscaler マルチモードCASB
- クラウドの設定不備を継続的に検知したい：WideAngle、OrcaSecurity、Cloudbase
- 社外からのクラウド利用の通信を保護したい：CYGIENE ECAP（サイジーン イーキャップ）、ZscalerZeroTrustExchange
- ■運用体制・防御範囲別
- 運用監視を外部に委託したい：Cloudbric WAF+、WideAngle
- WebサイトへのWAFやDDoS対策もあわせたい：Cloudbric WAF+、BLUE Sphere
クラウドセキュリティの乗り換え前に棚卸しする守る対象
乗り換えの出発点は、今のクラウドセキュリティが何を守っているかを正確に把握することです。守る対象の漏れは、そのまま保護の空白につながるため、先に範囲を確定させます。
利用中のクラウドサービスの一覧化
業務で使うSaaSや、自社で構築したクラウド上のサーバなど、保護の対象を洗い出します。情報システム部門が把握していない、現場の判断で契約したサービスが含まれる場合もあるため、部門へのヒアリングも行います。
旧製品の管理画面に出ている対象と、実際の利用状況を照らして差異を確認すると、見落としを減らせます。契約や請求の記録から、使われているサービスを洗い出す方法もあります。
旧製品が担っている機能の整理
旧製品が、利用状況の可視化、データの持ち出し制御、設定不備の検知、不審なログインの検知のうち、どれを担っているかを整理します。乗り換え先で同じ範囲を守れるか、不足する機能を別の仕組みで補うかを判断する材料です。補う場合は、追加の製品や運用の費用も見込んでおきます。
機能の名称は製品ごとに異なるため、やりたいことを基準に整理すると比較しやすくなります。
責任共有の範囲と運用体制
クラウドでは、提供事業者と利用者で守る範囲を分担する責任共有の考え方があります。自社が担う範囲のうち、どこをセキュリティ製品に任せているかを明確にします。
運用担当者や、アラートへの対応手順、夜間や休日の連絡体制も、乗り換え先で再現が必要です。体制を変える場合は、移行前に関係者へ周知しておきましょう。外部の運用サービスを使う場合は、契約範囲に含まれる対応時間も確認が必要です。
クラウドセキュリティの検知ポリシーと許可リストの再現
ポリシーは、長年の運用で調整を重ねた、その会社ならではの知見が詰まったものです。新製品に写し替える際は、そのままでは動かない部分が出る前提で進めます。
ポリシーの棚卸しと対応づけ
旧製品に設定されているポリシーを一覧にし、目的ごとに分類します。新製品の標準のテンプレートで代替できるものと、個別に作り直すものを分けると、作業量が見えてきます。
ルールの書き方や条件の指定方法は製品によって異なります。同じ名称のルールでも動作が異なる場合があるため、動作の確認を前提にしましょう。可能であれば、検証用の環境や一部の部署で試験運用を行い、想定どおりに検知されるかを確かめます。
例外設定と許可リストの引き継ぎ
業務上の必要から設けた例外や、信頼する通信先の許可リストは、移行で抜けやすい項目です。例外を設けた理由と承認者を記録しておき、新製品でも同じ判断にもとづいて設定できるようにします。
古い例外が残っているだけの場合もあります。移行を機に、不要な例外を見直す機会にしましょう。例外の数が多いほど、保護の穴になりやすいためです。
誤検知の調整にかかる期間の見込み
新製品を導入した直後は、自社の利用実態にあわせた調整が済んでおらず、誤検知が増えることがあります。調整のために、アラートの量を観察する期間を設けましょう。
最初は検知のみのモードで運用し、結果を確認して遮断の範囲を広げる進め方が有効です。担当者の負担が急に増えないよう、調整の期間と体制を決めておきます。
ログと監査証跡の引き継ぎ
セキュリティ製品のログは、インシデントの調査や監査の際に必要な証跡です。解約すると取り出せなくなる場合があるため、保管の方法を決めてから移行に着手します。
保管期間と書き出しの方法
社内規程や取引先との契約、業界の基準で、ログの保管期間が定められている場合があります。旧製品のログをどの期間、どの形式で書き出せるかを確認し、保管場所と閲覧の権限を決めます。
書き出せる形式や期間の上限は製品によって異なります。解約の前に、実際に書き出して中身を確認しておくと安心です。ログに含まれる個人情報の取り扱いも、社内の規程にあわせて決めておきます。
SIEMや運用監視との連携の再設定
ログを集約して分析するSIEMや、外部の運用監視サービスへログを送っている場合は、連携の設定を作り直します。送信する形式や項目が変わると、既存の検知ルールが動かなくなることがあります。
連携の動作は、実際のログが想定どおりに届くかを確認しましょう。項目名や時刻の形式の違いで、集計が合わなくなる場合もあります。
過去のインシデント情報の保管
過去のインシデントの対応記録や、アラートへの判断の履歴は、新製品へ自動で引き継がれない場合があります。対応の経緯を文書にして残し、今後の判断の参考にできる形で保管します。
担当者が替わっても参照できるよう、共有の場所に置いておきましょう。インシデントの記録には機密情報が含まれるため、閲覧できる人の範囲も決めておきます。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でクラウドセキュリティの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
通信経路とID連携の切り替え
クラウドセキュリティ製品は、通信を中継する方式や、端末にエージェントを入れる方式、ID管理と連携する方式などで動作します。切り替えは、利用者の業務に直結する作業です。
プロキシやエージェントの入れ替え
通信を中継する方式では、ブラウザやネットワーク機器の設定を変更し、端末へ導入する方式ではエージェントを配布します。配布の方法と、対象の端末数、リモートワーク中の端末への対応を計画します。
全社一斉ではなく、情報システム部門や一部の部署から段階的に切り替えると、問題の影響を小さくできます。リモートワークの端末は設定の反映に時間がかかるため、余裕を持った日程にしましょう。
IDプロバイダーとのシングルサインオン連携
利用者の認証を、ID管理の仕組みと連携している場合は、新製品側で連携の設定が必要です。認証の方式やグループの情報の渡し方が異なると、ログインできない利用者が出るおそれがあります。
切り替え前に、管理者アカウントで動作を確認し、緊急時に旧設定へ戻す手順も用意しておきましょう。
業務への影響と利用者向けの周知
通信の経路が変わると、一部の業務システムやクラウドサービスが使えなくなる場合があります。影響が出そうなサービスを事前に洗い出し、問い合わせの窓口と対応手順を用意します。
利用者には、切り替えの日程と、変化する点を事前に知らせておくと、混乱を抑えられます。
並行稼働中の保護を途切れさせない体制
切り替えの途中は、新旧が混在し、守りが手薄になりやすい期間です。リスクを減らすために、段階を分けて進める計画を立てます。
検知のみから遮断へ段階的に移す
新製品は、まず検知とログの記録だけを行う状態で稼働させ、旧製品の遮断を維持します。検知の結果が安定したら、遮断の範囲を段階的に広げていきます。
この方法なら、設定の誤りで業務が止まる事態を避けながら、新製品の挙動を確認できます。検知のみの期間は、旧製品の遮断で守られている範囲を維持することが前提です。
旧製品の停止時期の決め方
旧製品の契約期間や、解約の申し出期限、データの書き出しに必要な期間をもとに、停止の時期を逆算します。停止前に、新製品が旧製品の担っていた機能を満たしているかの最終確認を行います。
両製品の費用が重なる期間は、事前に予算へ織り込んでおきましょう。年度の途中で契約を切り替える場合は、日割りや返金の扱いも契約書で確認します。
インシデント対応の連絡体制の確認
移行期間中にインシデントが発生した場合に、どちらの製品のアラートを誰が確認するかを決めておきます。連絡の経路が曖昧だと、対応が遅れる要因となり得ます。
ベンダーのサポート窓口の連絡先と、緊急時の対応時間も確認しておきましょう。移行作業中の問い合わせに、どこまで対応してもらえるかも事前に聞いておくと安心です。
乗り換え先候補のクラウドセキュリティ比較表
守る対象や運用の体制によって、乗り換え先に求める機能は変わります。可視化、設定不備の検知、通信保護、運用監視の観点で、各製品の特徴を一覧にしました。
| 製品名 | 特徴 |
|---|---|
| CYGIENE ECAP（サイジーン イーキャップ） | 端末内で完結するCASBとSWG。アクセスログの保有期間は180日 |
| Cloudbric WAF+ | WAFに加えDDoS遮断やボット対策も備え、24時間365日の監視付き |
| BLUE Sphere | WAFとDDoS防御、DNS監視、サイバー保険付帯をまとめて提供 |
| Cloud Access Security Broker (CASB) | クラウドアプリの利用状況を可視化・制御し、機密データを保護 |
| Zscaler マルチモードCASB | SaaSとIaaSの可視化・統制を一元管理し、シャドーITを検出 |
| ZscalerZeroTrustExchange | 全通信を検査して脅威と漏えいを防ぐゼロトラストプラットフォーム |
| WideAngle | 設定ミスを自動検知。ヘルプデスクと月次レポートで運用を支援 |
| OrcaSecurity | エージェントレスでマルチクラウドを可視化し、設定ミスを検知 |
| Cloudbase | リスクの検出から修復までを支援するCNAPP |
守る対象と運用体制から探す乗り換え候補
利用状況の可視化、設定不備の検知、通信の保護、外部への運用委託といった観点ごとに候補を紹介します。ポリシーやログの移行は、製品ごとに資料での確認が必要です。
Cloudbric WAF+
- 特許取得のロジック＆AIエンジンを搭載、高い攻撃検知力
- WAF/DDoS攻撃遮断/API保護/ボット対策/Malicious IP遮断
- 24時間365日監視体制と専門家にお任せのマネージドサービス付帯
ペンタセキュリティ株式会社が提供する「Cloudbric WAF+」は、クラウド型のWAFにDDoS攻撃の遮断、API保護、ボット対策、悪意あるIPの遮断を加えたセキュリティサービスです。24時間365日の監視体制と、専門家に任せられるマネージドサービスが付帯するため、運用監視を外部に委託する形へ切り替えたい場合に比較できます。
BLUE Sphere
- WAF/DDoS防御/DNS監視/サイバー保険がオールインワン
- ドメイン無制限で複数サイトを１つの契約で守る！
- 三井住友海上火災保険「サイバープロテクター」が無償で付帯！
株式会社アイロバが提供する「BLUE Sphere」は、WAFとDDoS防御、DNS監視、サイバー保険をオールインワンで備えたサービスです。ドメイン数に制限がなく、複数のサイトを一つの契約で守れます。クラウド上のWebサイトを守る仕組みを見直すときに、防御と保険をまとめて検討したい企業に向いた製品です。
Cloud Access Security Broker (CASB) （Netskope Japan株式会社）
- クラウドアプリの利用状況を可視化・制御
- セキュリティポリシーで機密データを保護します。
- シャドーITやクラウドのリスク可視化と対策
Zscaler マルチモードCASB （ゼットスケーラー株式会社）
- インラインとAPIによる包括的なクラウド保護
- SaaSとIaaSの可視化および統制を一元管理します。
- 脅威対策とシャドーIT検出でリスクを軽減
ZscalerZeroTrustExchange （ゼットスケーラー株式会社）
- クラウドネイティブな安全アクセス
- TLS/SSL含む全通信を検査し、脅威と漏えいを防止。
- 最小特権アクセスで攻撃対象領域の縮小を支援。
WideAngle （NTTドコモビジネス株式会社）
- 設定ミスを自動検知し情報漏洩リスクを軽減。
- ヘルプデスクと月次レポートで運用負荷を軽減
- 独自ルールで標準ポリシーの検知精度向上。
OrcaSecurity （株式会社日立ソリューションズ）
- 主要クラウドに幅広く対応
- 迅速導入と包括的可視化をエージェントレスで実現。
- CI/CD統合で開発初期からセキュリティ確保
Cloudbase （Cloudbase株式会社）
- リスク検出から修復までサポートするCNAPP
- 専門人材不要のリスク修復ドキュメント
- マルチクラウドとオンプレミスを一元管理。
まとめ
クラウドセキュリティの乗り換えは、守る対象の棚卸し、ポリシーと許可リストの再現、ログの引き継ぎ、通信経路とID連携の切り替え、段階的な停止の順に進めると、保護の空白を抑えられます。移行の支援内容や、検知モードでの試験運用の可否を比較し、複数製品に資料請求して検討してください。
