CSPMとは「クラウドセキュリティ態勢管理」と呼ばれる、クラウドサービスの設定監視に特化したセキュリティソリューションで、以下の4つの機能が備わっています。

▼CSPMの主な機能
・設定を自動で監視・評価
・利用状況やリスクを可視化
・クラウドサービスの一元管理
・国際基準に基づいた、セキュリティチェック

CSPMが注目される背景には、クラウドサービスに起因するセキュリティ事故の増加があります。中でもクラウドサービスの「設定ミス」に起因するサイバー犯罪は年々増えており、不正アクセスや情報漏洩といった被害が多くの企業で発生しているのです。

CSPMを活用すれば、IaaS/PaaSの設定を自動で監視・評価。さらに複数のクラウドサービスのセキュリティ状況を一元管理できるので、セキュリティ事故の低減につながります。
また、クラウドのセキュリティを守るソリューションには、CSPMのほかにCASBやCWPPなどがあり、違いは以下の通りです。

CSPMとは？

CSPM（Cloud Security Posture Management）とは「クラウドセキュリティ態勢管理」と呼ばれる、クラウドサービスの構成や設定の問題点を検知・対策するためのセキュリティソリューションです。

IaaSやPaaSといったパブリッククラウドの設定を監視し、持続的に異常や問題がないかどうかを評価します。

パブリッククラウドとは、事業者が用意したサーバーを複数のユーザーが共同利用する運用方法のことで、Amazon社の「AWS」やMicrosoft社の「Microsoft Azure」、Google社の「Google Cloud Platform」などが特に有名です。

CSPMを使えば、API経由で自動的にクラウドサービスの設定不備を監視し、仮に設定ミスが見つかった場合、管理者へ速やかに通知を行います。発見された設定の問題点はコンソール上で可視化できるため、効率的に設定の問題に対して修正を行うことができます。

多くの企業・組織でクラウドサービスの導入が進む昨今、クラウド環境を狙った悪質なサイバー攻撃も増加しています。そのため、CSPMを活用してクラウドのセキュリティリスクを事前に検出し、適切な対策を取ることは、組織の情報資産を守る上でとても有効な手段と言えます。

CSPMで管理できる「クラウドサービス」の例

CSPMで管理できるクラウドサービスの例として、下記のようなものが挙げられます。

・Amazon Web Services（AWS）
・Microsoft Azure
・Google Cloud Platform（GCP）
・IBM Cloud
・Oracle Cloud

上記のような、クラウド事業者がサーバーやネットワーク機器を提供する「クラウドサービス（IaaS）」では、CSPMを活用しセキュリティ課題の監視を行うことができます。

ちなみに、Microsoft 365 やSalesforce といったソフトウェアサービスは、クラウドサービスの中でも「SaaS型」に該当します。SaaS のセキュリティ製品については、次項「CSPMとSSPMの違い」で説明します。

CSPMとSSPMの違い

CSPMとしばしば比較されるセキュリティソリューションに「SSPM」があります。

前述のようにCSPMはIaaS/PaaSの設定を評価しますが、SSPMはSaaSの設定を評価するという点で、違いがあります。

CSPMとSSPMの違いを、下記の表にまとめました。

上記のように、CSPMとSSPMの基本的な目的や機能は類似しています。

「評価対象がIaaS/PaaSか、SaaSかによって使い分ける」とイメージすれば理解しやすいでしょう。
 
 

関連ページ

SSPMとは？SaaS活用に必須なセキュリティの機能・メリットを解説、クラウド診断との違いとは？

なぜCSPMが今注目されているのか？

2020年代以降、CSPMの導入が大きく注目されるようになった背景として、「昨今のクラウドサービスの急速な普及」と「クラウドサービスに起因するセキュリティ事故の増加」が挙げられます。

IDCが2025年2月に公開した「国内パブリッククラウドサービス市場調予測」によれば、2024年の国内パブリッククラウドサービス市場は、前年比26.1％増の4兆1,423億円となりました。

また、同市場の2024年～2029年の年間平均成長率は16.3％で推移し、2029年の市場規模は2024年の約2.1倍の8兆8,164億円になると予測されています。

▼国内パブリッククラウドサービスの市場予測

出典：IDC｜国内パブリッククラウドサービス市場予測を発表（2025年2月20日）

クラウドサービスの普及は「業務効率化」「場所を問わない働き方の提供」「コスト低減」など、組織にとって大きなメリットをもたらします。しかし一方で、クラウドサービスの設定ミスを狙った犯罪も増加し、不正アクセスや情報漏洩といった被害が、多くの企業で発生していることも事実です。

こういったクラウドサービスに起因するセキュリティ事故の発生を受け、CSPMへの注目が高まっています。

実際、ITコンサルティング企業の「ITR」が2022年に公開したデータによると、CSPMの市場規模は2025年まで右肩上がりで成長すると予測されています。

▼CSPM市場の市場規模推移予測

出典：ITR｜クラウドの設定ミスによる情報漏洩を防ぐCSPM市場の2021年度の売上金額は3倍強に拡大の見込み（2022年7月21日）

2020年度に約3億6,000万円だった市場規模は、2025年度に約26億円にまで拡大すると予測されており、およそ7倍の規模に該当します。

クラウドを活用する現場が増えている昨今、攻撃者はクラウド環境を狙ってサイバー攻撃を仕掛けるケースも多く、企業には自社の情報資産を守るための対策が求められます。クラウドサービスの設定不備を見直し対策することは、いまや多くの企業にとって必須の課題とも言えるでしょう。

CSPMの「機能」と「解決できる課題」

知っておきたい「CSPMの主な機能」として、下記のようなものがあります。

・監視により、設定ミスやインシデントを早期検知できる
・パブリッククラウドの利用状況やリスクを可視化できる
・複数のクラウドサービスを一元管理できる
・国際基準に基づいた、セキュリティチェックができる

それぞれご説明します。

監視により、設定ミスやインシデントを早期検知できる

CSPMのコアとなるのは、IaaS/PaaSの設定を自動で監視・評価する機能です。

クラウドサービスの設定に問題点がないかをAPI経由で自動的に評価します。アラート通知によって、セキュリティ管理者へ伝える機能をもつ製品もあります。

設定変更のアドバイスも提示されるため、インシデントが発生する前に、効率よく課題を改善することが可能です。

また、基本的な評価ルールはCSPMを導入した時点であらかじめ用意されていますが、自社の独自ルールがある場合は、内容をカスタマイズして運用することもできます。

パブリッククラウドの利用状況やリスクを可視化できる

CSPMでは管理画面から、設定不備やインシデントに繋がるアクションを、確認することができます。

不審なトラフィックやアクセスを可視化できるため、クラウドサービス経由でインシデントが発生する原因を洗い出し、事前に対策や注意喚起に応用することが可能です。

また、設定の問題点を視覚的に把握できるため、よりスムーズに対応を行えるといった効率化のメリットもあります。

複数のクラウドサービスを一元管理できる

CSPMを活用することで、複数のクラウドサービスのセキュリティ状況を、一元管理することも可能です。

複数のクラウドサービスを運用する場合、サービスごとに仕様が異なることもあり、セキュリティ管理は煩雑となります。ルールの改訂やアップデートのタイミングもクラウドサービスごとに異なるため、管理者にとって大きな負担となりかねません。

このときCSPMに用意されている基本的なルールを活用すれば、各クラウドサービスに基本的なセキュリティルールを反映した監視・評価を行えるため、少ない労力で安全性の高いセキュリティを維持できます。

国際基準に基づいた、セキュリティチェックができる

CSPMを導入することで、「国際基準にならったセキュリティ管理」が行えるようになります。セキュリティには国際的な規格があり「CIS ベンチマーク」「PCI DSS」などが該当します。

CISベンチマーク…セキュリティ設定をはじめ、情報システムを安全に構築・運用するための製品や手法を提供する、ベストプラクティス集

PCI DSS…クレジットカードにおける会員情報の保護を目的に取り決められた、国際的なセキュリティ基準

社内で人的に「国際基準を反映したセキュリティチェック」を行う場合、担当者の労力と前提となる高いセキュリティ知識がなければ、実行は困難です。

CSPMを導入すれば、あらかじめ国際基準に基づいたルール設定が可能なため、安全性の高いセキュリティチェックを効率的に行うことができます。セキュリティ知識の弱い担当者であっても、安全性の高い設定確認が行えるでしょう。

CSPMとCASB、CWPPの違い

クラウドのセキュリティを守るソリューションには、CSPMのほかにCASBやCWPPなどがあります。

CASB（Cloud Access Security Broker）とは、従業員によるクラウドサービスの利用を可視化・制御し、一括管理するソリューションです。

CSPMがクラウドサービスの設定を監視するのに対し、CASBはクラウドサービスへのアクセスを監視し、場合によってはブロックを行います。

また、もう一つのCWPP（Cloud Workload Protection Platform）は、クラウドワークロード（クラウド上の仮想マシン、サーバ、アプリケーション等）を保護するためのプラットフォームです。

CSPMがクラウド環境全体の設定の保護を目的としているのに対し、CWPPはクラウド内のワークロードの保護を目的にしています。

同じくクラウド環境の設定状況をチェックする「クラウド診断」というサービスも

CSPMとしばしば比較されるのが、クラウドサービスの設定評価を、セキュリティの専門家の手でおこなう「クラウド診断」というサービスです。

クラウド診断とは、クラウドサービスの利用状況やセキュリティ状態を専門家が手動でチェック・分析し、改善策や最適化策を提案するサービスです。ここでは、CSPMとクラウド診断の違いを詳しく解説します。

CSPMとクラウド診断の違い

CSPMとクラウド診断の最も大きな違いは「専門家が手動で診断を行うか」「製品が自動で診断を行うか」となります。

単発でベンダーへ依頼する「クラウド診断」に対し、一度導入すれば半永久的に設定の検知を行える点で、「持続性」の面ではCSPMが秀でていると言えます。

ただし、最新の診断項目でチェックできる点や、各種クラウドサービスの仕様変更に対応できるといった「柔軟性」の面では、人的に行われるクラウド診断が適していると言えます。

CSPMの大きな問題点として、内包されているルールの更新がベンダー任せとなるため、日々更新されるクラウドサービスの仕様変更への追随が遅れてしまうという点があります。

例えば、CISベンチマークは年に1～２回リリースされますが、それまでの更新情報を元に、検討された結果がリリースされます。ベンダーはCISベンチマークがリリースされてから、内包されるルールの変更を行うため、クラウドサービスの仕様変更に対するCSPMチェック項目の対応が、1年半程度遅れるケースもあります。

また、CSPMの運用にはある程度の運用知識と経験が必要となりますが、専門家へ全面的に調査を任せられるクラウド診断では、それらの知識や経験を問わず利用できる、といったメリットもあります。

自社の環境や目的に応じて、より適したクラウドセキュリティサービスの利用を検討すると良いでしょう。

CSPMと併用したい、LANSCOPE プロフェッショナルサービスの「クラウド診断」

クラウドセキュリティ対策を万全にするためには、クラウド診断やCSPMを活用することが効果的です。ただし、自社でリソースが十分になくCSPMの運用が困難なケースもあるかもしれません。

LANSCOPE プロフェッショナルサービスでは、主要なIaaS・SaaSサービスで実施可能な「クラウドセキュリティ診断」を提供しています。

クラウドセキュリティ診断では、クラウドサービスとセキュリティ双方の知識が豊富な当社の「クラウドセキュリティのエキスパート」が、ご利用中のクラウドサービスにて「アクセス権限」「ログインの認証方法」など、インシデントの根源となりうる設定項目の調査と洗い出しを実施。

選定したクラウド環境の不備や脆弱性について、最適な対処方法をお伝えします。

また、常に各クラウドサービスの専門家が、CISベンチマークやJPCERT・IPAなどの発信する情報を常時収集し、診断ルールへ反映するため、いつでも最新のセキュリティルールに則った診断サービスを提供します。

対応可能なクラウドサービスは多岐にわたるため、幅広いお客様に「クラウドに関する情報漏洩防止」に、お力添えすることが可能です。

▼主要なサービス一覧
Microsoft 365 セキュリティ診断
Google Workspace セキュリティ診断
Salesforce セキュリティ診断
Amazon Web Services（AWS）セキュリティ診断
Microsoft Azure セキュリティ診断
Google Cloud Platfor （GCP）セキュリティ診断
Zoom セキュリティ診断
Box セキュリティ診断
Slack セキュリティ診断

サービスの詳細は、以下のページよりご確認ください。

関連ページ

幅広いクラウドの設定改善が可能！クラウドセキュリティ診断とは？│LANSCOPE プロフェッショナルサービス

まとめ

本記事では、CSPMの機能や注目を集めている理由、市場規模などを解説しました。

クラウドサービスのセキュリティ対策は、今や企業・組織において避けられない課題と言えます。ぜひ、本記事で紹介したCSPMやクラウド診断も参考に、安心して業務に臨めるクラウド環境の構築に取り組んでいただければと思います。