CSPM対応のクラウドセキュリティ機能と確認したい点

クラウドセキュリティの不備検知機能とは

クラウドの設定不備を見つける機能は、CSPMと呼ばれます。まずは仕組みと検知できる内容、ほかの対策との役割の違いを整理し、クラウドセキュリティの機能を理解する土台をつくりましょう。

CSPMの仕組みと点検の流れ

CSPMは、Cloud Security Posture Managementの略称です。クラウドの設定情報を取得し、あらかじめ決めたルールと照らして、危険な状態がないかを確認します。

設定情報の取得には、クラウドが提供する仕組みを使う方法が基本です。点検は定期的、または設定の変更に応じて行われ、結果は管理画面に一覧で表示されます。確認したいのは、点検の間隔と、設定の変更を検知して画面に反映するまでの時間です。

検知できる不備の主な種類

代表的な検知の対象は、ストレージの公開設定や、通信を許可する範囲の広さです。暗号化が有効になっていない保存領域や、多要素認証を設定していない管理者アカウントも、検知の対象に含まれる場合があります。

ログの記録が無効のままの環境や、長く使われていない認証情報なども見つけられる製品があります。検知できる項目の数や種類は製品ごとに異なります。自社の環境で重要な項目が含まれているかを、資料請求の段階で確認しておきましょう。

脆弱性診断との役割の違い

CSPMが見るのは、クラウドの設定です。一方、脆弱性診断は、ソフトウェアやサーバーに存在する弱点を調べる仕組みで、対象も目的も異なります。両者は競合するものではなく、補い合う関係にあります。

設定が正しくても、使っているソフトに弱点があれば攻撃を受ける可能性があります。反対に、弱点がなくても設定に誤りがあれば情報が漏れかねません。どちらか一方で十分とは言い切れないため、役割を分けて考える姿勢が大切です。

不備検知とあわせて確認したい関連機能

クラウドセキュリティの製品には、CSPM以外にも複数の機能があります。目的が違う機能を混同すると、必要な対策が抜ける場合があるため、代表的な機能の位置づけを確認しておきましょう。

ワークロードを守るCWPPとの違い

CWPP（Cloud Workload Protection Platform）は、クラウド上で動く仮想サーバーやコンテナなどを守る機能です。マルウェアの検知や不審な動作の監視、ソフトウェアの弱点の確認などを担う製品があります。仮想サーバーを多く使う環境では、検討の対象です。

CSPMが環境の設定を見るのに対して、CWPPは稼働中のサーバーなどの中身を見ます。守る場所が違うので、組み合わせて使う企業もあります。どちらが必要かは、利用しているクラウドの使い方で変わるため、自社の構成を整理してから検討しましょう。

SaaSの利用を管理するCASBの位置づけ

CASB（Cloud Access Security Broker）は、社員が使うクラウドサービスの利用状況を可視化し、制御する仕組みです。許可していないサービスの利用や、重要な情報の持ち出しを把握したい場合に使われます。社員が個人で契約したサービスの確認にも役立つ場合があります。

自社で構築したクラウド環境の設定を点検するCSPMとは、見る対象が異なります。社内で使うSaaSの管理が課題なら、CASBも検討対象です。守りたい対象を先に決めると、必要な機能を整理できます。

複数機能を束ねるCNAPPという考え方

CNAPP（Cloud Native Application Protection Platform）は、CSPMやCWPPなど複数の機能をまとめて提供する製品の分類です。画面や検知結果を一つにまとめることで、運用の手間を減らす狙いがあります。複数の製品を使い分ける場合に比べて、管理する窓口が少なくなる点が特徴です。

ただし、分類の名称や含まれる機能は、提供会社によって捉え方が異なります。名称だけで判断せず、必要な機能が実際に含まれているかを資料で確認することが大切です。あわせて、機能ごとの追加費用の有無も確かめましょう。

CSPM機能を比較するときの確認項目

CSPMを備えた製品は複数あり、機能の細かさに差があります。比較のものさしをあらかじめ用意しておくと、資料請求で集めた情報を、同じ基準で並べて見られます。

点検ルールと準拠基準への対応

点検の基準となるルールが、あらかじめ用意されているかを確認しましょう。CISベンチマークなど、広く参照されるセキュリティの指針に沿った点検ができる製品があります。指針との適合状況を、画面上で確認できると便利です。

自社独自のルールを追加できるかも、確認したい点です。社内規程にそった点検が必要な場合や、部署ごとに基準が異なる場合に役立ちます。対応している基準の種類や更新の頻度は、提供会社の資料で確かめましょう。

重要度の判定と優先順位のつけ方

検知した不備が多数に及ぶ場合もあります。一度に直すのは難しいため、危険度の高いものから順に対応できるかが重要です。件数だけで判断せず、影響の大きさで並べ替えられると助かります。

重要度の判定の根拠が示されるか、外部に公開されている資源を優先して表示できるかを見ておきましょう。判定の基準を自社の事情にあわせて調整できる製品もあり、不要な警告を減らす手段です。調整の方法や、変更の履歴が残るかも確認しましょう。

通知や報告書など外部との連携方法

検知結果をメールやチャットに通知できると、見落としを減らせます。チケット管理のツールと連携し、対応の担当者を割り当てられる製品もあります。担当者が普段使っているツールに届くかどうかが、運用の定着を左右します。

監査や社内報告に使う報告書を出力できるかも確認しましょう。出力の形式や、期間を指定した比較ができるかは、製品によって異なります。経営層への報告に使う場合は、図表を含む形式で出せるかも確認しておきましょう。

ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でクラウドセキュリティの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。

機能を使いこなすための導入前の準備

機能が豊富でも、自社の環境に接続できなければ効果は得られません。導入を決める前に、点検の対象や必要な権限、試用で試す内容を整理しておくと、導入後の手戻りを抑えられます。

点検対象のクラウドとアカウントの洗い出し

社内では、部署ごとに別々のアカウントでクラウドを使っている場合があります。情報システム部門が把握していないアカウントは、点検の対象から漏れてしまいます。そのため、導入前の洗い出しが欠かせない作業です。

契約中のクラウドとアカウントを一覧にして、点検の対象を決めましょう。開発や検証用の環境も含めるかどうかも、事前に整理しておきます。各部署への聞き取りを行うと、把握もれを減らせるほか、担当者の名前も控えられます。

接続に必要な権限と設定の確認

CSPMがクラウドの設定を取得するには、閲覧用の権限を付与する方法が使われます。付与する権限の範囲は、製品の資料や導入手順で確認できます。接続の手順書が用意されているかも、判断材料です。

必要以上の権限を渡さないことが大切です。閲覧だけで動作する製品かどうかも、提供会社に問い合わせたい点です。自社のセキュリティ規程で認められる方法かは、情報システム部門に確認し、手順書の記載どおりに権限を付与します。

試用で確かめたい検知結果と画面の見やすさ

無料の試用やデモがある場合は、実際の環境に接続して検知結果を確認しましょう。自社が把握している不備を拾えているか、重要でない警告がどの程度出るかを見ておきます。検知結果が既存の点検の記録と食い違わないかも比べると、精度の目安です。

画面の分かりやすさも確認項目です。担当者が日常的に使うことを想定し、検索や絞り込みの操作感、対応状況の管理のしやすさを試してみてください。複数人で同時に使う場合の権限の分け方も、試用の際に確認できます。

CSPMや関連機能を備えた製品

不備検知の機能に加えて、対応するクラウドの範囲や通知の方法まで比べると、製品の違いが見えやすくなります。CSPMを中心に、関連機能も含めて検討できる製品を紹介します。

クラウドセキュリティに関するよくある質問

クラウドセキュリティの機能について、導入前に寄せられやすい質問と回答をまとめました。選定の際の参考にしてください。

■Q1：CSPMでは具体的に何を検知できますか？

A：ストレージの公開設定、通信を許可する範囲、暗号化の有無、管理者アカウントの認証設定などが代表的です。検知できる項目は製品ごとに異なるため、自社で重視する項目が含まれているか確認しましょう。

■Q2：CSPMがあれば、ほかのクラウドセキュリティ機能は不要ですか？

A：CSPMが見るのは設定の状態です。サーバーの中のマルウェアや、社員が使うSaaSの管理は、CWPPやCASBなど別の機能が担います。自社の課題に応じて組み合わせを検討してください。

■Q3：AWSやAzureの標準機能だけで代用できますか？

A：各クラウドにも、設定を点検する機能が用意されています。複数のクラウドをまたいで一つの画面で管理したい場合や、独自のルールで点検したい場合は、専用の製品が選択肢です。

■Q4：導入前に何を準備すればよいですか？

A：点検の対象となるクラウドとアカウントの一覧、接続に必要な権限、担当者の体制を整理しておくとスムーズです。無料の試用で、自社の環境での検知結果を確かめることもおすすめします。

まとめ

クラウド設定の不備を検知するCSPMは、クラウドセキュリティの機能の中でも設定ミス対策の中心です。CWPPやCASBとは守る対象が異なるため、課題にあわせて組み合わせを考えましょう。比較では、点検ルール、重要度の判定、通知や報告書の出力を確認します。まずは資料請求で複数製品の機能を並べてみてください。