CSPMとは何か？ なぜ必要とされるのか

　CSPM（Cloud Security Posture Management：クラウドセキュリティ態勢管理）とは、クラウドサービスのセキュリティの設定状況を可視化、定期的にチェックし、不適切な設定やコンプライアンス違反、脆弱性がないかをチェック、アドバイスしてくれるソリューションです。

　クラウドサービスは設定を誤ると、情報漏えいにつながったり、アクセス権のない第三者から情報を盗まれたりする危険性があります。クラウドの設定ミスが起きてしまう原因を藤氏は次のように指摘します。

「クラウドサービスの設定ミスの原因は、主に知識不足によるものです。ですが、設定担当者が勉強不足といった意味合いではありません。クラウドサービスは複雑なものが多く、新しいサービスが次々とリリースされるため、利用者が最新仕様を把握することが難しくなっています。また、クラウドサービス事業者の責任範囲は、利用者側のデータやPCのセキュリティまでカバーしていないため、注意が必要です」（藤氏）

　CSPMが求められる背景には、場所に捉われない働き方の増加も挙げられます。コロナ禍でのテレワークの広がりにより、社外でスマートフォン・タブレットやノートPCからクラウドを利用する人が増えています。

「クラウドサービスの利用が広がり、ゼロトラストなセキュリティが重要になってきているため、CSPMのニーズも高まっているのです」（藤氏）

　ゼロトラストとは、個別にデバイスやアプリの認証・制御を前提とするセキュリティの概念です。この概念自体は、コロナ禍のテレワーク普及以前からありましたが、昨今のクラウドシフトの加速により注目を集めています。

CSPMの主な機能

　CSPMは、API（Application Programming Interface）経由であらかじめ決めたチェックルールを用いて、利用者側のクラウドの設定状況を確認し、問題がないかを判断します。

「CSPMのメイン機能は、API経由でクラウド側の設定を自動的に確認し、グローバル標準に基づいて設定ミスや漏れがないか判断します。問題があった場合は、その場所を画面上に可視化し、不備・ミス発見と修正にかかる作業を効率化します」（藤氏）

　CSPMの主な機能は次のようなものがあります。

CSPMとCASB、CWPP、CNAPPとの違い

　クラウドのセキュリティを守るソリューションは、CSPMの他にもCASB（Cloud Access Security Broker、通称キャスビー）やCWPP（Cloud Workload Protection Platform：クラウドワークロード保護プラットフォーム）などが挙げられます。これらは、CSPMとどのような違いがあるのでしょうか。

「CASBはクラウドの入り口でアクセス管理と情報漏洩管理をするものです。CSPMはクラウドのインフラ設定をチェックします。アプリケーションの設定は対象外です。そこで、アプリケーションの開発保守工程を保護するのがCWPPです。また、CSPMとCWPPを融合したソリューションはCNAPP（Cloud Native Application Protection Platform、通称シーナップ）と呼ばれます」（藤氏）

　CNAPPとは、CSPMとCWPP、データ損失防止（DLP）、アプリケーション保護のソリューションを1つに組み合わせた、マカフィーが始めた新しいセキュリティサービスです。ですが、藤氏は日本でCWPPやCNAPPはまだ普及していないと述べます。

「アプリケーション開発をクラウド化する企業が増えてくると、CWPPやCNAPPの需要が高まってくるかもしれませんが、現在の日本企業はオンプレをクラウドへ移し替えた企業が多いのが実情です。そのため、クラウド移行時に正しくインフラ設定ができたかをチェックするCSPMのニーズが高くなっています。日本企業のアプリケーション開発がクラウドネイティブへ向かえば、今後、システム再構築のタイミングでCWPP、CNAPPのニーズも高まってくると思われます」（藤氏）

CSPMの市場規模と推移

　ITRの調査によるとCSPMの市場規模は、2020年度、前年度比約3倍の3億6,000万円に達しました。


「大部分の企業でクラウドシフトが進んでいるものの、まだ完了しているところは多くありません。このため、2021年度も同じく、3倍強のペースで成長するでしょう。その後も5～10年間は伸び続けると見ています。2025年度にかけてのCAGR（年平均成長率）予想は48.5％です。セキュリティ製品の成長率は、売上金額ベースで5％前後が一般的なので、この数字は驚異的です」（藤氏）

CSPMの主要プレイヤー

　下の表は、CSPMの主要プレイヤーを一覧にまとめたものです。顔ぶれを見ると、CSPM以外のセキュリティ領域で強みを持つ企業が多いことが分かります。その理由として、藤氏は次のように説明します。

「ゼロトラスト型セキュリティへの需要が増えてきたことによって、これまでファイアウォールやルーターなど境界型セキュリティを提供していたプレイヤーがCSPM市場などに流れ始めているからです」（藤氏）

CSPMの主要プレイヤーと製品・サービス
企業名	製品・サービス名
トレリックス	Trellix MVISION CNAPP（CSPM分）
クラウドストライク	CrowdStrike Falcon Horizon CSPM
ゼットスケーラー	Zscaler Cloud Protection
ソフォス	Sophos Central Cloud Optix
パロアルトネットワークス	Prisma Cloud（CSPM分）
マイクロソフト	Microsoft Defender for Cloud（CSPM分）

　表に挙げた6社の特徴をそれぞれ紹介します。

・トレリックス：『Trellix MVISION CNAPP』
　トレリックスは、セキュリティ大手のマカフィーの法人部門とファイア・アイの製品部門が統合し、2021年10月に設立された会社です。MVISIONシリーズはもともとマカフィーの製品でした。CSPM市場を開拓してきた老舗的存在のプレイヤーです。

「トレリックスは、CSPMとCWPPの両方を提供しています。また、両者を融合したCNAPPを生み出した企業でもあります」（藤氏）

・クラウドストライク：『CrowdStrike Falcon Horizon CSPM』
　需要が飽和状態に近づくエンドポイントセキュリティのEDR市場から横展開する形で、CSPMに参入したプレイヤーです。「CrowdStrike Falcon」シリーズは、EDRやCSPMだけでなく、クラウドネイティブなセキュリティソリューションを幅広く提供している点が特徴です。

・ゼットスケーラー：『Zscaler Cloud Protection』
　同社はゼロトラストを推進するソリューションを展開しています。もともとSWGに強みを持ち、クラウドセキュリティの豊富なラインアップをそろえる、いま注目されているプレイヤーです。

・ソフォス：『Sophos Central Cloud Optix』
　主に中小企業に多く利用されています。同社の製品は個々がコンパクトで扱いやすく、組み合わせて使いやすい点が評価されています。

・パロアルトネットワークス：『Prisma Cloud』
　もともとファイアウォール製品に強みをもつ企業です。境界型セキュリティ分野を主力としていましたが、社会的なゼロトラストの流れからクラウドセキュリティ分野にも力を入れるようになりました。

「Prism Cloudシリーズは、IDやコンテナ、ワークロードの保護などクラウドセキュリティの包括的なラインアップをそろえている点が特徴です。色々な製品とCSPMを組み合わせて、クラウド環境を保護することができます」（藤氏）

・マイクロソフト：『Microsoft Defender for Cloud』
　Microsoft Defender for Cloudは、Microsoft 365 の連携機能として提供されているCSPMです。戦略的にセキュリティソフトを強化している同社のMicrosoft 365は、特に日本市場で多く普及しています。

「国内市場においてMicrosoft 365は大きなシェアを獲得し、連携するDefender for Cloudも大きく伸びています」（藤氏）

CSPMの製品選定でチェックしたい3つのポイント

　CSPMの提供形態は、いつでも利用できる「製品」と、必要な時だけ利用する「サービス」の2つがあり、利用シーンに応じて選択することをおすすめします。

「前者は一般的なSaaS型モデルと同じく、契約期間内は無制限にチェック機能を利用できるものです。一方、後者は、クラウドへ移行した場合など、チェックが必要な時だけ利用するもので、『クラウドセキュリティ診断サービス』に分類されます。最終段階で設定ミスをチェックしたいだけなら、単発のサービス利用で十分です。もしも定期的にチェックする必要性が出てきたら、製品の導入を考えてみてください」（藤氏）

　数あるCSPMの中から自社に最適なものを選ぶために、藤氏は選定ポイントを3つ挙げます。

CSPMの今後

　日本のクラウドシフトは、まだまだこれからの段階にあります。今後、CSPMを含むクラウドセキュリティソリューションの必要性はますます高まることが予想されます。

「日本企業のクラウドシフトは、今後5年以上かけて進むでしょう。それは同時に、クラウドのセキュリティがますます必要になることを意味します。おそらく開発、アクセス、通信を含むクラウドセキュリティ周辺のツールは、CSPMをはじめ、CASB、CWPP、CNAPPまで、これからの時代に必須のものとなるでしょう」（藤氏）

　今回の内容は、ITRが発行する市場調査レポート『ITR Market View：エンドポイント／無害化／Web分離／CASB／CSPM／CWPP／SOAR市場2022』にて詳しく紹介しています。同レポートはCSPMのほか、CASB、CWPP、EDR（Endpoint Detection and Response）など全10分野についても分かる内容となっていますので、ぜひご活用ください。