クラウドリスク評価サービス23選を比較｜評価の進め方5タイプの違いと費用・選び方を解説

事業部門から上がってくるSaaSの導入申請に、1件ずつセキュリティチェックシートを送って回収し、内容を読み込む。この運用が追いつかなくなっていませんか。申請の件数は増える一方で、回答の書きぶりは事業者ごとにばらばら、判断の根拠も担当者の経験に委ねられがちです。

この負担を減らす手段として、クラウドサービスのリスク評価を外部から得るという方法があります。ただし、評価済みの情報を参照するもの、審査業務そのものを載せ替えるもの、外部から自動でスコアを取るもの、専門家に調査してもらうものと、評価の入手方法はまったく異なります。自社の審査業務のどこを外に出したいのかが決まらないと、選択肢を絞り込めません。

本記事では、クラウドリスク評価サービス23サービスを比較・解説します。評価の進め方による5つのタイプの違いに加え、公式に開示されている料金の実額、評価に使われる物差し（ISO/IEC 27017・CSA CCM・CSA CAIQ・CIS Benchmarks）、既存の審査フローへの接続を整理しました。自社の審査運用に合うサービスを判断するための材料としてご活用ください。

また、貴社の状況に合わせて最適なサービスを最短で見つけられるよう、「30秒で終わる選定診断ツール」をご用意しています。ぜひこちらもご活用ください。

クラウドリスク評価サービスとは？

クラウドリスク評価サービスとは、クラウドサービスを利用する企業が、そのサービスにセキュリティ上のリスクがないかを判断するための評価を、外部から得られるようにするサービスの総称です。導入前の審査だけでなく、すでに利用しているサービスの棚卸しと再評価も対象になります。

評価の中身は、事業者の情報セキュリティ体制、データの保管場所と取り扱い、アクセス制御や暗号化の実装、インシデント発生時の対応体制、第三者認証の取得状況などです。自社で調べようとすれば、公開情報を読み込み、足りない部分を事業者に問い合わせる作業が発生します。その工程のどこかを外に出せるようにしたもの、と捉えると全体像がつかみやすくなります。

1件ずつのセキュリティチェックが追いつかなくなる理由

情報処理推進機構（IPA）が2022年12月に実施した、SaaSの選定・承認に従事した経験を持つ457人への調査では、情報収集・利用における課題として「情報収集・利用する情報が多すぎる」が39.2％、「情報収集・利用に対応する工数がかけられない」が38.5％で上位を占めました。

工数だけが問題ではありません。同じ調査では、利用者が公開情報から情報を集める割合は35〜55％である一方、事業者に問い合わせて情報を得る割合は10〜25％にとどまっていました。報告書はこの結果について、利用者が集めている情報は事業者が開示している情報の一部にとどまり、十分に入手できていないと分析しています。手をかけているのに網羅できていない、という状態です。

判断の拠りどころも定まっていません。同調査で契約前の選定時に参照しているものを尋ねたところ、最も多い回答は「他社の事例や、コンサルタントなどの情報を参考にしている」の37.9％で、「参照しているものはない」が31.5％、総務省の情報開示指針は21.2％でした。

事業者側からは、クラウドサービスの選定のために送られてくるチェックシートの中身が、境界防御型の体制などオンプレミスを前提とした項目ばかりで、クラウド固有のセキュリティ要件が含まれていない事例があったという声も挙がっています。

件数が増えるほど工数が足りなくなり、集めた情報は網羅性を欠き、評価の物差しも揃わない。この3つが重なると、審査は「やってはいるが判断の質が担保できない」状態に陥ります。

出典・参考資料（1件）

• 出典：クラウドサービス（SaaS）のサプライチェーンリスクマネジメント実態調査 調査報告書｜独立行政法人情報処理推進機構（https://www.ipa.go.jp/security/reports/economics/scrm/t6hhco000000hg8a-att/ResearchReport.pdf）

自前のチェックシート運用と外部サービスの役割分担

外部サービスを使うといっても、審査を丸ごと委ねるわけではありません。自社の審査業務は、おおむね次の工程に分かれます。評価項目を決める、対象事業者に照会する、回答を集める、回答の妥当性を判断する、結果を記録して社内で共有する、期間をおいて見直す、という流れです。

サービスによって肩代わりしてくれる工程は違います。評価項目を決めるところから結果の記録までを載せ替えるものもあれば、照会と回答収集を丸ごと省いて評価済みの結果だけを渡すものもあります。相手先に何も依頼せず、外部から観測できる情報だけでスコアを出すタイプもあります。

逆に、どのサービスを使っても自社に残る工程があります。自社の業務にとって何が許容できないリスクかを決めること、評価結果を踏まえて導入の可否を判断すること、そして判断の記録を残すことです。ここを外に出せると考えると、導入後に「思ったほど楽にならない」というずれが生じます。

この「自社に残る工程」をどう組み立てるかは、個人情報保護法のガイドラインが求める委託先の監督責任とも重なる部分です。

外部の評価サービスを使うと運用がどう変わるか

まず、審査のリードタイムが読めるようになります。事業者に照会して回答を待つ運用では、相手の都合で数週間単位のばらつきが出ます。評価済みの情報を参照する方式や、外部から観測してスコアを出す方式なら、相手の回答を待たずに一次的な判断ができます。逆に、照会そのものは残して業務の器だけを載せ替える方式では、この効果は限定的です。

次に、判断の根拠が揃います。共通の評価項目と採点方法で並べられるため、担当者が違っても結論がぶれにくくなり、社内の承認や監査で「なぜこの事業者を通したのか」を説明しやすくなります。自社で設問を設計する方式でも、評価と履歴が一箇所に集まることで同じ効果が得られます。

そして、止まっていた棚卸しを再開できます。すでに使っているサービスまで手が回らないという状態は、審査1件あたりの工数が下がると解消に向かいます。IPAも、この調査の結果を踏まえて次のように述べています。

利用者にとって、第三者機関が専門性をもって確認した結果を参考にすることは有効であると考えられる。基本的要件については認証・認定の有無により確認し、一定の保証がされている前提で、自社固有のセキュリティ要件や条件についてのみ問い合わせることで効率よく選定ができる。

クラウドサービス（SaaS）のサプライチェーンリスクマネジメント実態調査 調査結果のポイント｜独立行政法人情報処理推進機構（https://www.ipa.go.jp/security/reports/economics/scrm/cloud2022.html）

共通して確認できる部分は第三者の評価に委ね、自社固有の要件だけを個別に確認する。外部サービスの使いどころは、この線引きに集約されます。

評価したいのは「相手先の事業者」か「自社のクラウド環境」か

「クラウドのリスク評価」という言葉は、性質の違う目的に使われています。大きくは、相手先の事業者を評価したいのか、自社が構築したクラウド環境を点検したいのかで分かれます。ここを最初に決めておくと、以降で読むべきタイプが絞れます。

相手先の事業者を審査したい場合

他社が運営するSaaSを業務で使ってよいかを判断する目的です。評価の対象は自社の外にあり、相手の体制・実装・認証取得状況を確かめることになります。自社では中身を直接確認できないため、相手に照会するか、第三者が確認した結果を参照するか、外部から観測できる情報で推し量るかのいずれかを選びます。

この目的の中でも、導入を検討しているSaaSをサービス単位で審査したいのか、取引のある委託先・再委託先を会社単位で管理したいのかで、選ぶものが変わります。前者は評価済み情報を引いて確認するタイプ、後者は審査業務そのものを載せ替えるタイプや外部から自動でスコアを取るタイプが中心になります。

ただし、この2つは地続きです。SaaS事業者を委託先の一社として同じ台帳で管理する運用も成り立つため、審査業務そのものを載せ替えるタイプや外部から自動でスコアを取るタイプを、SaaSの導入審査に使うこともできます。比較表の「評価対象」列で、そのサービスがサービス単位と会社単位のどちらを想定しているかを確認してください。

いずれの場合も、次章のタイプのうち「評価済み情報を引いて確認する」「審査業務そのものを載せ替える」「外部から自動でスコアを取る」の3つが該当します。

自社のクラウドの使い方や環境を点検したい場合

AWSやMicrosoft Azure、Google Cloudの上に自社でシステムを構築しており、その設定に不備がないかを確かめたい、という目的です。評価の対象は自社が管理している環境で、公開範囲の設定、アクセス権限の付与、ログの取得状況といった、自社の運用で作り込んだ部分を見ます。

この目的は、相手先事業者の審査とは必要なサービスが別系統になります。設定そのものを機械的に検査したいなら「自社のクラウド設定を点検するタイプ」、クラウドの使い方や運用体制まで含めて見直したいなら「専門家に調査してもらうタイプ」が該当します。

両方の目的を持っている場合は、それぞれ別のサービスを組み合わせることになります。検討の初期に押さえておくと、社内調整がしやすくなります。

ここで切り分けた2つは、いずれもどちらもクラウドを対象とした評価です。システム開発の委託先や事務代行会社など、クラウド以外の取引先も同じ枠組みで評価・管理したい場合は、対象を絞らないツールから検討したほうが二重管理を避けられます。以下の記事で、委託先リスク管理のツールとセキュリティ格付・評価サービスの違い、それぞれの選び方を解説しています。

クラウドリスク評価サービスの5つのタイプ

ここからは、評価をどうやって手に入れるかという軸で、サービスを5つのタイプに分けて解説します。自社の審査業務のどの工程を外に出したいかが、そのままタイプの選択に対応します。

※上記は各タイプにおける一般的な傾向です。個別のサービスにおける実際の機能搭載の有無や提供形態については各社情報をご確認ください。

評価済み情報を引いて確認するタイプ

専門のチームがあらかじめ評価したクラウドサービスの情報が蓄積されており、導入を検討しているサービスを検索して結果を読むだけで済むタイプです。相手に照会する工程がまるごと不要になるため、データベースに収録済みのSaaSであれば、相手の回答を待たずに判断材料が揃います。

評価はサービス単位で行われ、共通の質問票に沿った結果が示されます。同じ物差しで並ぶため、複数のSaaSを比べたときに差がどこにあるのかが見えやすくなります。一方で、データベースに載っていないサービスは対象外になるため、業務特化型の新しいSaaSが多い企業では、カバー率を事前に確かめる必要があります。

このタイプには、クラウド利用の可視化と制御を主機能とする製品が、利用中サービスの安全性を独自基準で格付けするデータベースを併せ持っているものも含まれます。シャドーITの検出と評価を同時に進めたい場合の選択肢になります。

審査業務そのものを載せ替えるタイプ

チェックシートの設計、対象事業者への一括送付、リマインド、回答の回収、採点、履歴の管理までを、ひとつのプラットフォーム上で回すタイプです。ExcelとメールでやりとりしていたものをWebフォームに置き換える形で、いま回している審査フローの骨格は変えずに済みます。

自社の基準で審査を続けたい企業に向きます。既存のチェックシートをそのまま取り込めるもの、クラウド事業者向けの標準的な質問票をあらかじめ備えているもの、回答の内容を自動で分析して確認すべき項目を絞り込むものがあり、どこまで自社の運用を持ち込めるかは製品によって差があります。

回答を相手に書いてもらう前提は変わらないため、回答待ちの時間そのものは残ります。外部の評価データと連携して、自己申告の内容を裏づけられる製品もあります。

外部から自動でスコアを取るタイプ

相手先が公開しているドメインやIPアドレスの情報を外部から継続的にスキャンし、セキュリティの状態を点数や等級で示すタイプです。相手の協力を得る必要がないため、対象を登録した時点で評価が始まります。

評価対象が数百社から数千社にのぼる企業で効果が出ます。回答を待つ運用では現実的に手が回らない規模でも、全社を同じ尺度で並べ、点数の低いところから優先的に確認できます。継続的に観測するため、契約後に状態が悪化した場合も気づけます。

ただし、外から見える範囲の情報にもとづく評価です。社内の運用体制や、外部から観測できない内部統制の状況までは分かりません。相手に照会する方式と組み合わせて、外部スコアで一次選別をしてから詳しく聞く、という使い方をする企業もあります。

専門家に調査してもらうタイプ

コンサルタントが自社のクラウド利用状況と運用体制を調査し、リスクと改善策を報告書にまとめるタイプです。システム構成図の確認と担当者へのヒアリングを通じて、どこに考慮すべき点があるかを洗い出します。

個別のSaaSを1件ずつ審査するというより、クラウドの使い方そのものを点検して体制を立て直す用途に向きます。評価の知見が社内になく、何を基準に審査すればよいかから決めたい企業にとっては、審査項目を整備する足がかりにもなります。

費用は他のタイプより大きくなり、期間も月単位でかかります。継続的に回す仕組みではなく、節目で実施する調査という位置づけです。評価後の運用まで含めたメニューを持つ事業者もあります。

自社のクラウド設定を点検するタイプ

前章で切り分けた「自社が構築したクラウド環境」を対象とするタイプです。AWSやMicrosoft Azure、Google Cloudのアカウントに読み取り権限を渡し、公開範囲の設定、アクセス権限の付与状況、ログの設定などを網羅的に検査します。

クラウド環境の設定ミスは情報漏えいに直結しやすく、構成が複雑になるほど人の目では追いきれません。検査は基準に照らして機械的に行われるため、抜けが出にくいのが特徴です。

提供形態は、継続的に監視する製品として導入するものと、単発の診断として受けるものに分かれます。まず現状を把握したい段階ではスポットの診断から始め、是正後に継続監視へ移る進め方もとれます。

このタイプが行う設定の検査は、脆弱性診断の領域では「クラウドセキュリティ設定診断（CSPM）」と呼ばれます。Webアプリケーション診断やプラットフォーム診断では何が見られるのか、費用はどの程度かかるのかは、以下の記事で整理しています。

評価の物差し：ISO/IEC 27017・CSA CCM・CSA CAIQ・CIS Benchmarks

各サービスは「独自の基準で評価します」とだけ説明していることが多く、その中身は外からは見えません。国際的に整備された物差しがいくつかあり、どれを土台にしているかが分かれば、サービスの主張を鵜呑みにせずに比べられます。

ただし、すべてのサービスが基準名を公表しているわけではありません。本記事で比較したサービスでも、準拠する基準を公式に明示しているのは一部です。とくに審査業務そのものを載せ替えるタイプは、利用企業が自社の基準で設問を組む前提の製品が多く、特定の規格名を掲げていないものが目立ちます。

基準名が出ていないことが品質の低さを意味するわけではありませんが、社内で「何を根拠に通したのか」を説明する必要があるなら、確認しておく価値があります。

※各基準の位置づけは発行主体の公開情報にもとづく整理です。個別のサービスがどの基準に準拠しているかは各社情報をご確認ください。

ISO/IEC 27017

情報セキュリティ管理策の国際規格 ISO/IEC 27002 に、クラウドサービス固有の追加ガイダンスと追加の管理策を足したものです。ISO と IEC が共同で発行しており、2026年7月に第2版へ改訂されました。規格そのものは次のように位置づけを述べています。

This document provides guidance for information security controls, based on ISO/IEC 27002, applicable to the provision and use of cloud services.

[…] This document provides controls and guidance for cloud service customers (CSCs) and cloud service providers (CSPs).

ISO/IEC 27017:2026 Information security, cybersecurity and privacy protection – Information security controls based on ISO/IEC 27002 for cloud services｜IEC（https://webstore.iec.ch/en/publication/115400）

押さえておきたいのは、この規格が提供者だけでなく利用者側にも管理策を示している点です。事業者を審査する物差しであると同時に、自社の使い方を点検する物差しでもあります。

認証としては、ISO/IEC 27001 の認証取得を前提に追加で取得するアドオン規格として運用されます。日本語版は JIS Q 27017:2016 として発行されていますが、こちらが対応しているのは改訂前の版です。事業者が「JIS Q 27017 準拠」と示している場合と「ISO/IEC 27017 準拠」と示している場合で、参照している版が異なることがあります。

政府調達で使われる ISMAP（政府情報システムのためのセキュリティ評価制度）の管理基準も、この規格を基礎のひとつに据えています。

出典・参考資料（2件）

• 出典：JIS Q 27017:2016 情報技術―セキュリティ技術―JIS Q 27002に基づくクラウドサービスのための情報セキュリティ管理策の実践の規範｜一般財団法人日本規格協会（https://webdesk.jsa.or.jp/books/W11M0090/index/）
• 出典：政府情報システムのためのセキュリティ評価制度（ISMAP）の概要｜内閣サイバーセキュリティセンター・デジタル庁・総務省・経済産業省（https://www.ismap.go.jp/）

CSA CCM

Cloud Security Alliance が策定している、クラウドのセキュリティ管理策のフレームワークです。現行のバージョン4.1は、17のセキュリティ領域にわたる207の管理策で構成されています。2026年1月にリリースされ、データセンターセキュリティ、ログと監視、インシデント管理、サプライチェーン管理、脅威と脆弱性の管理といった領域に11の管理策が追加されました。

他の標準へのマッピングを持っている点が実務では効いてきます。ISO/IEC 27001 や ISO/IEC 27017 との対応関係が整理されているため、すでに情報セキュリティマネジメントシステム（ISMS）を運用している企業なら、自社の管理策とクラウド固有の要件を突き合わせやすくなります。ただし、v4世代で公開されたマッピングは、v4.1 の変更に合わせた更新作業が進められている段階です。

管理策を96に絞った CCM-Lite も公開されており、体制が小さい組織でも扱える規模から始められます。

出典・参考資料（4件）

• 出典：Cloud Controls Matrix and CAIQ v4.1｜Cloud Security Alliance（https://cloudsecurityalliance.org/artifacts/cloud-controls-matrix-v4-1）
• 出典：CCM v4.1 Transition Timeline｜Cloud Security Alliance（https://cloudsecurityalliance.org/blog/2026/02/19/ccm-v4-1-transition-timeline）
• 出典：CCM-Lite & CAIQ-Lite｜Cloud Security Alliance（https://cloudsecurityalliance.org/artifacts/ccm-lite-and-caiq-lite-v4）
• 出典：CSA’s New Cloud Controls Matrix v4 Adds New Log and Monitoring Domain and More Than 60 New Cloud Security Controls｜Cloud Security Alliance（https://cloudsecurityalliance.org/press-releases/2021/01/21/）

CSA CAIQ

CCM の管理策に対応する質問票です。事業者に Yes／No で答えてもらう形式で、クラウドサービスにどのような管理策が備わっているかを文書化します。CCM が「何を確認すべきか」を定めるのに対し、CAIQ は「どう尋ねるか」を用意したもの、という関係です。

現行のバージョン4.1は283問で構成されています。設問数を138問に絞った CAIQ-Lite もあり、短期間で判断したい場合やリスクの低いサービスを扱う場合に使われます。

審査業務を載せ替えるタイプのサービスの中には、この CAIQ を標準の質問票としてあらかじめ備えているものがあります。自社でゼロから質問票を設計しなくても、クラウド事業者向けに設計された設問をそのまま使える点が実務上の利点です。

事業者が回答した CAIQ は、CSA が運営する STAR レジストリで公開されることがあります。ここに登録があれば、照会する前に回答内容を確認できます。ただし CAIQ は認証ではなく自己申告の質問票であること、レジストリでは2027年12月まで旧バージョンでの提出も受け付けられるため、しばらくは旧版と新版の回答が混在しうることは、確認する側として知っておく必要があります。

出典・参考資料（5件）

• 出典：STAR Level 1: Security Questionnaire (CAIQ v4)｜Cloud Security Alliance（https://cloudsecurityalliance.org/artifacts/star-level-1-security-questionnaire-caiq-v4）
• 出典：Security, Trust, Assurance and Risk (STAR)｜Cloud Security Alliance（https://cloudsecurityalliance.org/star）
• 出典：What is CAIQ?｜Cloud Security Alliance（https://cloudsecurityalliance.org/blog/2021/09/01/what-is-caiq）
• 出典：CCM v4.1 Transition Timeline｜Cloud Security Alliance（https://cloudsecurityalliance.org/blog/2026/02/19/ccm-v4-1-transition-timeline）
• 出典：CCM-Lite & CAIQ-Lite｜Cloud Security Alliance（https://cloudsecurityalliance.org/artifacts/ccm-lite-and-caiq-lite-v4）

CIS Benchmarks

非営利団体の Center for Internet Security が公開している、システムを安全に設定するための構成ガイドラインです。世界中のセキュリティ専門家による合意形成のプロセスを経て作られており、PDFは無償で配布されています。

クラウド基盤向けには Foundations Benchmark が用意されています。AWS・Microsoft Azure・Google Cloud のほか、Oracle Cloud Infrastructure など6つの基盤が対象です。

少なくともアクセス管理、ログと監視、ネットワークについて、アカウント単位で具体的な設定内容が示されます。

推奨事項には適用レベルが設定されています。レベル1は速やかに実装でき、業務への影響が大きくない基本的な推奨で、レベル2はセキュリティを最優先する環境向けの多層防御です。レベル2は適切に実装しないと業務に支障が出る可能性があるとされており、自社の環境でどこまで適用するかは判断が必要です。

Foundations Benchmark はクラウド事業者の全サービスを網羅するものではなく、アカウントを設定するための出発点と位置づけられています。設定点検型のサービスがこのベンチマークを基準に採用している場合、検査の射程もこの範囲に沿うことになります。

出典・参考資料（2件）

• 出典：CIS Benchmarks® FAQ｜Center for Internet Security（https://www.cisecurity.org/cis-benchmarks/cis-benchmarks-faq）
• 出典：Foundational Cloud Security with CIS Benchmarks｜Center for Internet Security（https://www.cisecurity.org/insights/blog/foundational-cloud-security-with-cis-benchmarks）

タイプ別の費用構造と料金の目安

費用のかかり方はタイプによって違います。何に対して課金されるのかが分かると、自社の規模でどのタイプが現実的かを絞り込めます。

評価済み情報を引いて確認するタイプと、審査業務そのものを載せ替えるタイプは、年額または月額のサブスクリプションが中心です。参照できる件数やユーザー数、管理する対象の数でプランが分かれます。定額のプランを選べば、審査の件数が増えるほど1件あたりの費用は下がります。ただし、閲覧した評価情報の件数に応じた従量課金を選べるものもあり、その場合は件数がそのまま費用に効きます。

外部から自動でスコアを取るタイプは、監視する企業の数で課金される形が一般的です。自社が保有する資産の量や利用ユーザー数ではなく、何社を見るかで費用が決まるため、対象社数を最初に見積もっておく必要があります。

専門家に調査してもらうタイプは、案件ごとの個別見積もりです。評価対象となる環境の規模や複雑さ、マルチクラウドかどうかで金額が変わります。継続的に発生する費用ではなく、実施のたびにかかる費用として予算を組むことになります。

自社のクラウド設定を点検するタイプは、継続的に監視する製品として導入するか、単発の診断として受けるかで費用の考え方が変わります。本記事で紹介するものはいずれも料金を公開しておらず、対象アカウントの数や環境の規模をもとに見積もられます。

以下は、料金を公式に開示しているサービスの実額です。多くのサービスは料金を公開しておらず個別見積もりとなるため、開示されているものだけを並べています。

非公開のサービスから見積もりを取るときは、費用が何で決まるかがタイプごとに違うことを踏まえて、先に自社側の数字を用意しておくと金額が出るまでが早くなります。

評価済み情報を引いて確認するタイプなら年間の審査件数と閲覧するユーザー数、審査業務そのものを載せ替えるタイプなら管理対象の社数とチェックシートの本数、外部から自動でスコアを取るタイプなら監視したい企業数、設定を点検するタイプなら対象アカウント数と対応が必要なクラウド基盤です。

いきなり予算を確保するのが難しい場合に備えて、無料プランや試用期間を用意しているサービスもあります。まず小さく試して社内に効果を示したいときは、後述の各サービスの紹介で、無料枠やトライアルの有無をあわせて確認してください。

※2026年8月時点で公式に開示されている料金です。税の扱いは各社の公式表記に従っています。ここに掲載していないサービスは、料金を公開していない（個別見積もり）か、公式サイト上で確認できませんでした。

出典・参考資料（4件）

• 出典：Microsoft Defender の価格｜日本マイクロソフト（https://www.microsoft.com/ja-jp/security/microsoft-defender-pricing）
• 出典：マモリス 料金プラン｜株式会社トリックスタジオ（https://mamorisu.jp/）
• 出典：UpGuard Pricing｜UpGuard, Inc.（https://www.upguard.com/pricing）
• 出典：クラウドセキュリティ評価サービス 料金｜NRIセキュアテクノロジーズ（https://www.nri-secure.co.jp/service/consulting/cloud-security-assessment）

自社に合うクラウドリスク評価サービスの選び方

タイプが決まったら、同じタイプの中から具体的なサービスを絞り込む段階に入ります。ここでは、審査の実務を回す立場から確認しておきたい観点を整理します。

既存の審査フローのどこを外に出すかから逆算する

最初に決めるべきは、いま回している運用のどの工程を手放すかです。この判断を飛ばして機能一覧を比べ始めると、自社では使わない機能の充実度で選んでしまいます。

回答が集まらないことに困っているなら、照会そのものをなくす方向（評価済み情報を参照するか、外部スコアを取るか）が効きます。回答は集まるが読み込みに時間がかかっているなら、回答の分析を支援する機能を持つ、審査業務の載せ替え型が合います。そもそも何を聞けばよいか決まっていないなら、標準の質問票を備えた製品か、専門家に体制ごと見てもらう選択になります。

審査フローを全面的に作り替えるのか、いまの手順を保ったまま道具だけ替えるのかでも選択は変わります。社内規程に審査手順を明記している場合、規程の改定が必要になるかどうかは早い段階で確認しておくと、導入の遅れを避けられます。

カバーしている評価対象の範囲を確認する

評価済み情報を参照するタイプでは、自社が実際に審査するSaaSがデータベースに載っているかが決定的です。掲載件数の多さだけでなく、自社で申請の多い領域のサービスが含まれているかを、検討中のサービス名をいくつか挙げて確認しておくと確実です。載っていない場合の追加評価に対応しているか、その場合の期間と費用も、併せて確認しておきたい点です。

外部からスコアを取るタイプでは、評価できる企業のデータベースに対象が登録されているかが同じ意味を持ちます。海外拠点や規模の小さい事業者は、登録がないこともあります。

審査業務そのものを載せ替えるタイプでは、管理できる対象の広がりが判断材料になります。SaaS事業者と業務委託先を同じ台帳で扱えるか、再委託先まで階層をたどれるか、管理できる社数に上限があるかが、運用に乗るかどうかを分けます。

自社のクラウド設定を点検するタイプでは、対応するクラウド基盤が自社の環境と一致しているかが確認ポイントになります。AWS と Microsoft Azure には対応していても Google Cloud は対象外、といった差があります。

準拠する評価基準とレポートの粒度を確認する

前章で整理した基準のうち、どれを土台にしているかが確認ポイントになります。自社が ISMS を運用しているなら、ISO/IEC 27017 や CSA CCM との対応関係が示されているサービスのほうが、社内の管理策と突き合わせる手間が少なくて済みます。

レポートの粒度も実務に響きます。総合的な点数だけが出るのか、項目ごとの評価まで見られるのかで、事業者に追加で確認すべき点を特定できるかどうかが変わります。点数の根拠が開示されていない評価は、社内で疑問が出たときに説明できません。

自社固有の要件を評価項目に足せるかどうかも確認しておきたい点です。業種特有の規制に対応した確認項目が必要な場合、標準の質問票だけでは足りないことがあります。

評価結果を社内の承認・監査対応にそのまま使えるかを確認する

審査の成果物は、担当者が読んで終わりではありません。導入の可否を決める社内の承認資料に添付し、内部監査や外部監査で「この事業者をどう評価したのか」と問われたときの証跡になります。

そのため、評価結果を出力できる形式、承認履歴が残るかどうか、過去の評価と比べられるかどうかが確認事項になります。評価の実施日と対象バージョンが記録されていないと、監査で「いつ時点の評価か」を示せません。

委託先管理として監督官庁への報告が必要な業種では、報告に使える粒度で出力できるかが要件になります。既存の管理台帳や GRC の仕組みと連携できるかも、二重管理を避けるうえで確認しておきたい点です。

クラウドの審査結果だけでなく、内部統制やコンプライアンスの情報もまとめて管理したい場合は、GRC の側を先に整えるほうが台帳の分散を防げます。GRCツールにどんなタイプがあり、どこまでの範囲を1つのツールで担うべきかは、以下の記事で解説しています。

導入前に押さえておきたい注意点

ひとつは、評価の範囲外が残ることです。外部から観測するタイプは内部の運用体制を見られませんし、設定を点検するタイプは事業者側の体制を評価しません。どのタイプも守備範囲があり、それを超える部分は自社で確認するか、別の手段を併用することになります。

もうひとつは、自社側に残る運用工数です。審査業務そのものを載せ替えるタイプでは、質問票の設計、対象の登録、回答の督促といった作業は自社に残ります。導入すれば人手が要らなくなるわけではなく、作業の中身が変わると考えたほうが見積もりを誤りません。

再評価の扱いも確認が必要です。専門家による調査や単発の診断は、設定を見直した後にもう一度確認したい場合、あらためて申し込む形になることがあります。継続的に確認したいのであれば、その前提で費用を見積もっておく必要があります。

ここまでの観点で候補は絞れますが、自社がどのタイプに適しているか、といった判断が難しいケースも存在します。そのような場合でも貴社の状況に合わせて最適なサービスを最短で見つけられるように、「30秒で終わる選定診断ツール」を以下にご用意しています。ぜひこちらもご活用ください。

【比較表】クラウドリスク評価サービス23選

ここからは、自社の課題や要件に合わせた客観的な比較・選定ができるよう、主要なクラウドリスク評価サービス23サービスを5つのタイプ別に分類してご紹介します。

評価済み情報を引いて確認するタイプの比較表

※2026年8月時点で各社が公式に開示している情報にもとづく整理です。「公式に記載なし」は公式サイト上で確認できなかった項目であり、非対応を意味するものではありません。最新の内容は各社の公式情報をご確認ください。

審査業務そのものを載せ替えるタイプの比較表

※2026年8月時点で各社が公式に開示している情報にもとづく整理です。「公式に記載なし」は公式サイト上で確認できなかった項目であり、非対応を意味するものではありません。最新の内容は各社の公式情報をご確認ください。

外部から自動でスコアを取るタイプの比較表

※2026年8月時点で各社が公式に開示している情報にもとづく整理です。「公式に記載なし」は公式サイト上で確認できなかった項目であり、非対応を意味するものではありません。最新の内容は各社の公式情報をご確認ください。

専門家に調査してもらうタイプの比較表

※2026年8月時点で各社が公式に開示している情報にもとづく整理です。「公式に記載なし」は公式サイト上で確認できなかった項目であり、非対応を意味するものではありません。最新の内容は各社の公式情報をご確認ください。

自社のクラウド設定を点検するタイプの比較表

※2026年8月時点で各社が公式に開示している情報にもとづく整理です。「公式に記載なし」は公式サイト上で確認できなかった項目であり、非対応を意味するものではありません。最新の内容は各社の公式情報をご確認ください。

タイプ別のサービス紹介

ここからは、各サービスの提供元、評価の入手方法、カバーしている範囲、費用体系を個別に見ていきます。

評価済み情報を引いて確認するタイプのサービス

専門チームによる評価結果や、クラウドサービスの格付けデータベースを参照して判断できるサービスです。

1. Assured（株式会社アシュアード）

ビズリーチを運営する株式会社ビジョナルのグループ会社として、2022年に分社独立した株式会社アシュアードが提供しています。セキュリティ専門チームが約120項目の独自質問票でクラウドサービスを事前に評価し、その結果をレポートとして参照できるプラットフォームです。2026年4月末時点で1,800社以上が導入し、そのうち金融機関が220社以上を占めます。

累計2,609件のクラウドサービスを評価済みで（2025年12月時点の自社調査）、未収録のサービスは利用企業のリクエストに応じて追加評価されます。チェックシートの送付・回収・審査を自社で行う工程がなくなります。導入事例では、竹中工務店が評価工数の42%削減、ふくおかフィナンシャルグループがSaaS評価手続きの約80〜90%削減を公表しています。

評価基準にはNIST SP 800-53、ISO/IEC 27001、ISO/IEC 27017、総務省のクラウドサービス提供における情報セキュリティ対策ガイドライン等を参照しています。2026年7月には、金融庁関連ガイドラインを反映した金融版が加わりました。料金は非公開で、評価情報の閲覧に対する従量課金と定額課金から選ぶ形です。

2. Netskope（Netskope, Inc.）

クラウド利用の可視化と制御（CASB）を出発点に、通信の検査やアクセス制御を統合したプラットフォーム「Netskope One」を提供しています。クラウドサービスの評価データベースは、この基盤に含まれる機能の1つとして利用する形です。

評価データベースのCloud Confidence Index（CCI）は、85,000以上のクラウドアプリと1,800以上の生成AIツールを、50以上のセキュリティ・プライバシー・コンプライアンスの属性で格付けします。評価軸はCloud Security Alliance（CSA）のガイダンスを基にしたもので、各アプリには0〜100のスコアと5段階のレベルが付与されます。

シャドーITを含む利用中のクラウドサービスを検出し、格付けに応じて利用を制御するところまでを一続きで行えます。料金は公式に公開されておらず、個別見積もりとなります。

3. Microsoft Defender for Cloud Apps（Microsoft Corporation）

Microsoft Defender XDRを構成するSaaSセキュリティ製品で、クラウド利用の可視化と制御、SaaSの設定管理、脅威保護、アプリ間の保護の4領域からなります。クラウドサービスの評価もこの製品の一機能ですが、Microsoft 365 E5などのスイートに含まれるほか、単体ライセンスでも購入できると公式に明記されています。

クラウドアプリカタログには31,000を超えるアプリが登録され（製品ドキュメントの記載。公式の製品ページでは33,000超と表記）、90を超えるリスク要因でスコア付けされます。評価は全般・セキュリティ・コンプライアンス・法務の4カテゴリに分かれ、項目ごとの重要度は管理者が5段階で調整できます。

ネットワークのトラフィックログをこのカタログと照合することで、社内で使われているクラウドサービスとそのリスクを洗い出せます。

料金はバンドルでの提供が中心で、Microsoft Defenderスイートが1ユーザー月額1,799円（年払い、Microsoft 365 E3等が前提）、Microsoft 365 E5が同8,995円です。単体ライセンスの円建て価格は公式の価格表になく、個別見積もりになります。

4. Forcepoint ONE（Forcepoint LLC）

米Forcepoint LLCのSSEプラットフォームで、クラウド利用の可視化と制御に加え、アクセス制御や情報漏えい対策を単一のサブスクリプションに束ねています。クラウドサービスの評価も、このうちCASB機能の一部として提供されます。日本法人のフォースポイント・ジャパン株式会社があり、日本語のサイトとサポートに対応します。

評価はCloud Application Risk Scoringという機能で、各クラウドアプリの全体的なリスクを分類します。規制要件や業界認証に加え、自社独自の基準を評価軸として設定できます。評価済みサービスの件数は公表されていません。

シャドーITの検出とブロック、ログ解析による自動分類のダッシュボードも備えます。AWS・Azure・Google Cloudのテナント設定を検査するCSPMと、Salesforce・ServiceNow・Office 365を対象とするSSPMは、アドオンモジュールとして追加する形です。料金は非公開で、個別見積もりとなります。

審査業務そのものを載せ替えるタイプのサービス

チェックシートの送付から回収、評価、記録までをプラットフォーム上で回せるサービスです。

5. VendorTrustLink（株式会社アトミテック）

委託先や取引先に送るチェックシートの設計から、送付、回収、採点、履歴の管理までをクラウド上でまとめて回すツールです。株式会社アトミテックが2024年10月にβ版の提供を開始し、2025年4月1日に正式リリースしました。東証プライム上場企業を含む複数社での利用が公表されています。

設問は選択式や自由記述に加えて、画像や動画の提出を求める形式も指定でき、項目ごとに配点を設定できます。作成したシートは複数の委託先へ一括送付でき、未回答の相手には自動でリマインドが送られます。回答は委託先が専用アカウントからプラットフォーム上で入力し、過去の回答を参照しながら答える流れです。

回収後は自動採点され、レーダーチャートや経年比較の一覧で結果を確認できます。委託業務の重要度や個人情報の取扱区分による分類、契約期間・金額や再委託先の評価の登録にも対応します。判断の材料になるのは相手先が記入した回答で、外部から自動でスコアを取る機能や評価済みデータベースを参照する機能は公式サイトに記載がありません。

設計の土台として挙げられているのは、リスクマネジメントの国際指針 ISO 31000 です。CSA CAIQ のようなクラウド事業者向けの標準質問票に関する記載は見当たらず、自社の基準で設問を組み立てる前提の作りといえます。料金は非公開で、利用アカウント数と委託先数に応じた個別見積もりです。トライアル利用にも対応しています。

6. Conoris BP（株式会社Conoris Technologies）

株式会社Conoris Technologiesが展開する2つのサービスのうち、委託先・再委託先の企業を調べる側を担うのがConoris BPです。後述するConorisは自社が導入するクラウドサービスを審査する用途で、評価する相手が異なります。委託先へのセキュリティ調査と年次の定期点検を、Excelとメールのやりとりからプラットフォーム上に移すことを想定した作りです。

調査票は自由に設計できるWebフォーム形式で、入力の誤りをその場でチェックできます。委託先はプロジェクト別・会社別のツリー構造で管理でき、法人向けAPIで国内の企業データベースと連携して基本情報を自動取得します。日本自動車工業会の自動車産業サイバーセキュリティガイドラインに沿ったテンプレートは、2024年9月に追加されました。

2025年1月に加わったAIレビューアシスト機能は、回収した回答を分析してリスクのある項目を抜き出し、社内規程やISO/IEC 27001などの枠組みと照らし合わせます。年間300件超の外部委託申請を扱うパーソルテンプスタッフ株式会社の事例では、審査対応の時間が1件あたり平均3時間から平均1時間、最短20分に短縮したと公表されています（2025年3月26日発表）。

2年目以降の定期点検は一括で依頼・回収でき、年度ごとの回答の差分を追えます。料金は非公開で、管理する企業数に応じた見積もりです。AIレビューアシスト機能には基本料金に加えて審査数に応じた従量課金がかかり、無料トライアルも用意されています。

7. Secure SketCH（NRIセキュアテクノロジーズ株式会社）

Web上の設問に答えると、セキュリティ対策の状況が得点と偏差値で示され、約30業種の同業他社と比べられます。NRIセキュアテクノロジーズ株式会社が2018年から提供しているプラットフォームで、累計の利用企業は8,000社を超え、継続利用率は90%以上と公表されています。

用途は3系統に分かれます。自社を評価するSINGLE、グループ会社を評価するGROUPS、委託先を評価する3rd PARTYがあり、3rd PARTYはMONITOR・CHECK・ASSESS・COWORKの4段階です。SINGLEの設問は75問で、最短30分で回答できるとされています。

対応する基準は、NIST、CIS Controls、ISO/IEC 27001／27002、経済産業省のサプライチェーン強化に向けたセキュリティ対策評価制度など10種類相当です。

同制度の★3（83項目）と★4（157項目）に対応した標準テンプレートは2026年2月に追加されました。一方で、CSA CAIQ や ISO/IEC 27017 といったクラウド固有の基準への言及は、公式サイトでは確認できません。

SecurityScorecard社との連携により、相手先の回答を待たずに外部からの自動診断でリスクを可視化できます。2026年7月には、各部署がExcelなどで個別に持っていた委託先の企業・取引情報を集約する台帳管理機能が加わりました。料金は全プラン非公開で、SINGLE BASICには2週間の無料トライアルがあります。

8. AuditnQ（RenderingConsulting株式会社）

いま使っているExcelのチェックシートをそのまま取り込み、回答をシステム側で自動的に抽出してデータベース化する設計です。RenderingConsulting株式会社が提供する、委託先・再委託先の管理と定期監査を一元化するシステムで、同社は2023年3月の設立です。

既存の調査票を作り直さずに移行できるため、審査項目を組み替える必要がありません。初回の選定から半年・年次の定期監査までを同じ画面で管理し、複数企業・複数時期の回答を並べて比較できます。契約の集中度や地域リスクの可視化、グループ会社をまたいだ管理にも対応します。

2026年2月には、Netskope CCI との連携機能が加わりました。8万件を超えるクラウドサービスの評価データを画面上で取得でき、委託先の自己申告に外部の評価を突き合わせられます。料金は初期費用と月額利用料の組み合わせで、いずれも非開示です。運営会社はISMS（ISO/IEC 27001）を取得済みで、SOC 2 Type 2 は取得手続き中と公表しています。

9. Supplier Risk MT（SRMT）（株式会社GRCS）

委託元が点検フォームを作成し、委託先がWeb経由で回答を送る流れで運用します。東証グロース市場に上場する株式会社GRCSが提供しており、Salesforce AppCloud 上のOEMプロダクトとして稼働する点が構成上の特徴です。立入検査の結果の登録や、CSVでの一括登録にも対応します。

回答は全体を横断するグラフと個社ごとのレーダーチャートで分析でき、委託・再委託の関係はツリー表示、リスクの分布は散布図で確認できます。参照先として公式サイトが挙げているのはサイバーセキュリティ経営ガイドライン、個人情報保護法、金融庁の監督指針で、クラウド向けの標準質問票への言及はありません。2025年4月からはSecurityScorecardと連携し、外部評価のスコアを取り込めます。

金融・保険での採用が公表されており、日本生命保険相互会社では自動リマインドの導入で期日管理と進捗確認の作業負担が3割減ったとされています。株式会社FUNDINNOでは、委託先管理業務の負担が3分の1程度に減ったと公表されました。料金はユーザー数に応じたライセンス制の年間契約で金額は非開示、初期導入には1〜4か月程度を見込むとされています。

10. OneTrust Third-Party Risk Management（OneTrust, LLC）

取引先の登録から評価、契約後の継続的な監視、取引終了までを1つの台帳上で扱うモジュールです。米国 OneTrust, LLC の統合型ガバナンス・リスク・コンプライアンス基盤の一部として提供されています。取引先側が情報や証跡を直接入力できるポータルも備えます。

Cloud Security Alliance との提携により、CSA CAIQ と CSA CCM が標準の質問票として組み込まれています（2018年10月発表）。

Shared Assessments の SIG／SIG-Lite なども利用でき、現行の製品ページには50を超えるビルトインのフレームワークに対応すると記載されています。独自のアセスメントを組むことも、手持ちのフレームワークを取り込むこともできます。

外部のリスク情報との連携先には、Dow Jones や D&B Rating に加えて国内の帝国評点が含まれます。料金は管理ユーザー数と取引先台帳の規模にもとづく課金で、パッケージは Base と Suite の2種類、金額は公式に開示されていません。製品ページに日本語版はなく、国内では株式会社GRCSやPwC Japanグループなどのパートナー経由での導入・支援が中心です。

11. Conoris（株式会社Conoris Technologies）

先に挙げたConoris BPと同じ株式会社Conoris Technologiesのサービスですが、Conorisが評価するのは自社が導入・検討するクラウドサービスの側です。委託先企業ではなく、SaaSやAIサービスの提供事業者に対する審査を対象とします。情報システム部門がクラウド利用の申請を受けて審査する流れを、そのままワークフロー化した作りです。

Cloud Security Alliance に2022年5月に加盟し、CCM・CAIQ・CAIQ-Lite の日本語版と英語版を標準テンプレートとして利用できます。申請フォームは自由に設計でき、設問ごとに点数を設定して回答を自動採点できます。条件に応じてワークフローの段階を飛ばす機能や、差し戻し時に差分を表示する機能も備えます。

表記の揺れを防ぐため、1,000種類以上のクラウドサービスのマスタデータを持ちます。2024年10月からは SaaSセキュアチェック Pro との連携が加わり、300以上のSaaSについては第三者による評価データを画面上で参照できます。回収した回答をAIが分析し、社内の審査基準やISO/IEC 27001などと照らし合わせる機能もあります。

鹿島建設株式会社の事例では、Excel運用で生じていた認識の食い違いによる再確認の往復が、条件分岐を使った質問フローの整備で減ったと報告されています（定量的な効果は非公開）。料金は非公開で、申請量・契約期間・サポート内容に応じた個別見積もりです。

12. マモリス（株式会社トリックスタジオ）

無料プランから使い始められる点が、料金を公開していない他のツールとの違いです。株式会社トリックスタジオが提供する、チェックシートの配布・回収・進捗管理に絞ったツールで、URLで送った先の回答者がブラウザ上に直接入力します。

進捗は未回収・回収済み・確認済みといったステータスで一覧管理でき、回収と内容確認を分けて追える点を特徴として挙げています。未回答者への自動リマインド、不備があった場合の差し戻し、履歴と証跡の保存、CSVでの回答者リスト取り込み、PDF出力、予約送信に対応します。

テンプレートも無料で公開しています。IPAの中小企業の情報セキュリティ対策ガイドライン（第4.0版）や、経済産業省のサイバーセキュリティ経営ガイドライン Ver3.0 といった公的資料を参考に、同社が独自に作成したものです。公的機関の認定を受けたテンプレートではない点は、社内で使う際に押さえておく必要があります。

料金は公式サイトに掲載されており、以下は2026年8月時点の金額です。無料プランはチェックシート1個・回答者10人まで、有料はスターターの月額5,500円（3個・50人）からで、スタンダードが月額22,000円（20個・200人）、プレミアムが月額55,000円（60個・500人）です。シートの追加は月額2,200円のオプションで対応します。

外部から自動でスコアを取るタイプのサービス

相手先の協力を待たずに、外部からの観測結果でセキュリティ状態を格付けするサービスです。

13. SecurityScorecard（SecurityScorecard, Inc.）

米国ニューヨークに本社を置くSecurityScorecard, Inc.のセキュリティレーティングサービスです。日本では2021年6月に日本法人のSecurityScorecard株式会社が設立され、画面とレポートは日本語化されています。販売は日本法人の直販に加えて、電通総研やマクニカなどの国内パートナー経由でも行われています。

対象企業のドメインを登録すれば評価が始まり、相手先の同意やシステム接続は必要ありません。スコアはDNS Health、IP Reputationなど10のカテゴリの観測結果をもとに、A〜Fの5段階と100点満点で算出されます。公式のTrustページでは、世界1,200万社以上を継続的に評価していると記載されています。

このA〜Fという段階が何を表しているのかについて、提供元のSecurityScorecard株式会社は自社の統計をもとに次のように述べています。

既存の審査フローとの接続では、上位プランでベンダー向けアンケートの作成・送付機能が使えるほか、Secure SketCHとの自動連携も用意されています。有償プランはCore・Premium・Eliteの3段階で、料金は同時に監視する組織数で決まり、利用ユーザー数は影響しません。

実額は非公開で個別見積もりですが、自社ドメインのスコアカードを閲覧できる無料プラン「Free Forever」があり、費用をかけずに自社の見え方を確認できます。

14. Bitsight（Bitsight Technologies, Inc.）

外部観測によるセキュリティレーティングを起点に、サードパーティリスク管理と脅威インテリジェンスを同じ基盤に載せたCyber Risk Intelligence Platformです。

運営はBitsight Technologies, Inc.で、日本法人はなく、国内はテリロジーや伊藤忠テクノソリューションズなど複数の代理店が販売しています。提供元の説明では、画面の主要部分と経営層向け・現場向けのレポートは日本語化されています。

公式ガイドには、評価対象企業の協力・インストール・アクセスを必要とせずに評価できると明記されています。約4,000万組織のプロファイルを保有しており、対象がそこに含まれていれば契約後すぐに評価を始められます。スコアは250〜900のレンジで、24のリスクベクトルを4つのカテゴリに整理した構成と重み付けが公開されています。

では、評価したい相手先がそのプロファイルに含まれていなかった場合はどうなるのでしょうか。提供元のBitsight Technologies, Inc.は次のように説明しています。

独自のスキャン基盤Gromaが公開IP資産をほぼ毎日観測し、検知の翌日にはスコアへ反映されます。質問票を使う運用も引き取れる設計で、ポータル上でサプライヤーに送付・回収して記録を残し、回答の裏づけを外部観測データで確認できます。

料金はモニタリング対象の企業数で決まり、1〜50社、51〜100社、101〜500社、無制限の4段階でスケールします。実額は非公開で、利用ユーザー数や自社の資産量は料金に影響しません。

15. UpGuard（UpGuard, Inc.）

日本市場では、SOMPOリスクマネジメント株式会社が2026年6月4日から取り扱いを始めました。提供元は米国とオーストラリアに拠点を置くUpGuard, Inc.で、国内では導入準備・導入支援・運用支援の3つのフェーズに分けた日本語の伴走支援を受けられます。数千から数万社にのぼるサプライヤーを一元管理したい企業を想定した位置づけが示されています。

評価は外部スキャンとアンケートの併用で、取引先の状況は依頼を出さなくても外部スキャンだけで把握を始められます。スコアは950点満点から、検出した項目の重大度と重みに応じて減点する方式で、OWASP、CVSS、ISO/IEC 27001、NIST CSFを土台にしていると公式に説明されています。

機能は取引先向けのVendor Riskと自社の外部公開資産向けのBreachSightに分かれ、継続監視の対象は数百万社と公式サイトに記載されています。

質問票の運用も引き継げ、30種類のテンプレートをもとに送付と回収を自動化し、提出された証拠資料はAIが解析します。料金は、グローバル価格でベンダー50社までのStandardが月額1,750米ドル（年額契約）、ベンダーの追加が1社あたり月額79米ドルと公開されています。上位のProfessional以降と、国内代理店経由の価格は非公開です。

16. Panorays（Panorays Ltd.）

取引先・委託先の評価に的を絞ったサードパーティリスク管理プラットフォームです。運営はイスラエル発のPanorays Ltd.で、日本ではSOMPOリスクマネジメント株式会社が2018年から総代理店として提供しています。MOTEXやユニアデックス、日立システムズなどが再販・運用支援に加わっており、UIとサポートは日本語に対応しています。

評価は、外部アタックサーフェス評価とAIを使ったアンケートを組み合わせる方式です。外部から観測できる部分は相手の協力なしに把握し、管理体制やコンプライアンスの状況はアンケートで補います。この2つに、ベンダーの事業・技術プロフィールから導く固有リスクと発注側のリスクポリシーを加えた4つの領域を統合し、Risk DNAと呼ぶ単一のスコアを算出します。

各領域の重み付けと、評価できる企業の総数は公開されていません。アンケートは自動で送付・回収され、回答と外部評価から修復タスクが生成されるため、指摘後のやり取りも同じ画面で進められます。料金は企業単位の課金で年契約の個別見積もりとなり、国内ではダイフク、カヤバ、京セラコミュニケーションシステム、鴻池運輸などの導入事例が公開されています。

専門家に調査してもらうタイプのサービス

コンサルタントが自社のクラウド利用状況と運用体制を調査し、報告書にまとめるサービスです。

17. クラウドセキュリティ評価サービス（NRIセキュアテクノロジーズ株式会社）

野村総合研究所グループのNRIセキュアテクノロジーズ株式会社が提供する、コンサルタントによる評価サービスです。システム構成図と設計書をもとに通信要件やインターネットとの接点を把握し、担当者へのインタビューとヒアリングシートで対策状況を確認します。

評価の観点は、ISO/IEC 27017とCSA CCMに基づいて抽出されます。対応するクラウドはAWS・Microsoft Azure・Google Cloud・Oracle Cloud Infrastructureで、改善策はそれぞれの固有機能まで踏み込んで提示されます。

料金は個別見積もりですが、基本料金500万円〜（税別）が公式に開示されています。金額は評価対象となる環境の規模や複雑さによって変動します。構成図の管理が追いついていないマルチクラウド環境でも、詳細な設定値を取得して全体像を把握したうえで評価すると案内されています。

18. クラウドセキュリティ評価サービス（セコムトラストシステムズ株式会社）

先に紹介したNRIセキュアテクノロジーズのサービスと名称は同じですが、こちらはセコムグループのセコムトラストシステムズ株式会社が提供しています。関連文書の確認と、チェックリストに基づくヒアリングによって、クラウドの運用に潜むリスクを洗い出します。

評価の範囲には、クラウド環境そのものに加えて、そこへ接続するクライアント端末の環境も含まれます。成果物はリスク評価報告書で、所要期間は2か月程度と公式に示されています。

一方で、準拠する基準の名称は公式ページに示されていません。料金も非公開のため、評価の物差しと費用はいずれも問い合わせで確認することになります。

19. クラウドリスク評価（EYストラテジー・アンド・コンサルティング株式会社）

金融機関がクラウドサービスを安全に利用するためのリスク評価と、リスク管理に向けた組織規程・体制整備の支援を掲げるコンサルティングサービスです。提供元はEYストラテジー・アンド・コンサルティング株式会社です。

メニューは4つに分かれています。クラウドリスク管理態勢評価、クラウドリスク技術評価、クラウドリスク管理高度化支援、クラウドリスク管理態勢定常支援という構成で、評価だけでなく、その後の高度化と定常的な支援までメニュー化されている点が特徴です。

態勢評価では、クラウドリスク管理の枠組みと運用状況をフレームワークを用いて評価します。技術評価では、管理手続きとクラウドサービスの設定を調査し、脆弱性の有無を確認します。成果物として挙げられているのは、規程・手続きの高度化案と脆弱性評価結果です。所要期間と料金の記載は公式ページになく、問い合わせでの確認が必要です。

自社のクラウド設定を点検するタイプのサービス

ここからの4サービスは、評価の対象が他の4タイプと異なります。相手先の事業者ではなく、自社が構築・管理しているクラウド環境の設定を検査します。

20. クラウド設定評価サービス（NRIセキュアテクノロジーズ株式会社）

NRIセキュアテクノロジーズ株式会社が、先に紹介したクラウドセキュリティ評価サービスとは別に提供している、ツールによる自動診断です。パロアルトネットワークスのクラウドセキュリティ基盤Prisma CloudのCSPM機能を使い、自社のクラウドアカウントをスキャンします。

対応するのはAWS・Microsoft Azure・Google Cloudの3つで、コンサルタントが調査する同社のもう一方のサービスと異なり、Oracle Cloud Infrastructureは対象外です。検出ルールは600以上あり、CISやGDPR、NIST、HIPAAなどの業界標準を参考に実装されています。報告書にはCIS Benchmarksの関連項番が記載されます。

設定評価の開始から報告書の提出までは約2週間で、提出後は3か月間・12件までのQ&Aサポートが付きます。評価範囲はアカウント全体で、AWSはアカウント、Azureはサブスクリプション、Google Cloudはプロジェクトの単位となり、一部のリソースだけに絞ることはできません。料金は個別見積もりです。

21. Shisho Cloud（GMO Flatt Security株式会社）

GMO Flatt Security株式会社が開発する、CSPM（クラウドセキュリティ設定診断）を中核としたSaaSです。自社のAWSとGoogle Cloudのアカウント、そしてソースコード管理のGitHubを連携させ、設定や構成ファイルを継続的に検査します。Microsoft Azureへの対応は公式サイトでは示されていません。

準拠基準はCIS Benchmarksです。公式ドキュメントには、AWS向けのFoundations Benchmark v3.0.0とGoogle Cloud向けのFoundation Benchmark v1.3.0に対応した評価項目が公開されています。IAMのルートユーザー管理やパスワードポリシー、S3の暗号化、CloudTrailの監査ログ設定などが、チェック内容ごとに文書化されています。

検査の内容はPolicy as Codeとして定義でき、いつ・何を・どのように検査するかを自社側で決められます。検出結果はSlackへリアルタイムで通知され、対応状況やリスク判定はサービス上に記録して管理します。クラウドの設定だけでなく、GitHub上の依存関係や構成ファイルも検査の対象です。

22. クラウドセキュリティ設定診断（株式会社ラック）

株式会社ラックのセキュリティ診断メニューのうち、クラウド環境の設定を対象としたスポット診断です。顧客のクラウド上に読み取り権限だけを持つ診断用アカウントを作成してもらい、リモートで設定内容を確認します。

診断の基準はCISベンチマークです。項目はAWSがIAM・S3・ロギング・ネットワーク・データ保護など、Microsoft AzureがIAM・Defender・ストレージ・仮想マシンなど、それぞれ9項目に分かれています。Google Cloudへの対応は公式ページに記載がありません。

報告書は診断から10営業日程度で提出され、総合評価、検出された問題点、対策の解説、統計情報が含まれます。費用は依頼内容と環境に応じた個別見積もりです。

23. クラウドセキュリティ診断サービス（Sky株式会社）

AWSとMicrosoft Azureに加えて、Salesforceの設定も診断の対象に含むサービスです。Sky株式会社がセキュリティ診断ソリューションとして展開するメニューのひとつで、コンサルタントとアナリストが診断を担当します。

AWSでは、IAMのアカウント権限とパスワードポリシー、インシデント関連ログの取得状況、特権ユーザーの操作監視、ネットワークセキュリティポリシーを確認します。AzureではSecurity Centerやストレージアカウント、SQLサービスの脅威検知、仮想マシンの暗号化と更新状況が対象です。

Salesforceでは、外部ユーザーのアクセス制限、多要素認証とSSOによる認証設定、証明書と鍵の管理を診断します。Google Cloudへの対応と準拠基準、所要期間は公式ページに記載がなく、料金は課題や要望を聞いたうえでの個別提案となります。

評価の実施から運用までの流れ

サービスを絞り込めたら、実際にどう進み、その後どう回していくのかを見ておきます。社内のスケジュールを引くうえでの目安になります。

申し込みから報告書を受け取るまでの流れと所要期間

評価済み情報を引いて確認するタイプと外部から自動でスコアを取るタイプは、契約後すぐに使い始められます。対象がすでにデータベースに登録されていれば、評価開始までの待ち時間はほとんどありません。導入時に必要なのは、対象の登録と社内での閲覧権限の設定程度です。

審査業務そのものを載せ替えるタイプは、質問票の設計と対象事業者の登録に立ち上げ期間が必要です。既存のチェックシートを取り込める製品なら、この期間を短縮できます。運用に入った後は、送付から回答回収までの時間が相手側の事情に左右される点は変わりません。

専門家に調査してもらうタイプは、ヒアリングと文書の査読を含むため、月単位で見ておく必要があります。公式に期間を示している事業者では、クラウド全般の評価で2か月程度としている例があります。設定を点検するタイプでは、ツールによる診断のため短く、報告書の受領まで2週間程度と示している例があります。

いずれの場合も、報告を受け取ってから社内で是正の方針を決め、対応を実施する時間が別に必要です。報告書の受領日を締切として計画すると、対応が間に合わなくなります。

評価を一度きりにしないための再評価と棚卸し

評価結果は時間とともに実態から離れていきます。事業者側が仕様やデータの保管場所を変更することもあれば、自社の使い方が広がって、当初は想定していなかったデータを預けるようになることもあります。

再評価が必要になる場面は、いくつかに整理できます。契約の更新時期を迎えたとき、事業者側で大きな仕様変更や組織再編があったとき、そのサービスで扱うデータの機密度が上がったとき、そして事業者側でインシデントが公表されたときです。これらを起点として決めておくと、担当者の気づきに頼らずに済みます。

継続のしやすさはタイプによって差があります。外部から自動でスコアを取るタイプは、契約している間ずっと観測が続くため、状態の悪化に自動で気づけます。評価済み情報を引いて確認するタイプも、評価が更新されれば最新の内容を参照できます。一方、専門家による調査や単発の診断は、次に実施するまでの間は前回時点の情報のまま据え置かれます。

すでに使っているサービスの棚卸しは、導入前の審査と同じ手順を全件に適用しようとすると、いつまでも終わりません。扱っているデータの機密度と利用部門の広がりで優先順位をつけ、上位から順に評価していくほうが現実的です。外部スコアや評価済みの情報を使えば、一次的な絞り込みを短時間で済ませられます。

まとめ

クラウドリスク評価サービスを選ぶ出発点は、評価したいのが導入先のSaaS事業者なのか、自社が構築したクラウド環境なのかを決めることです。ここが決まれば、検討すべきタイプは大きく絞られます。

相手先の審査が目的で、一般に使われているSaaSの申請が中心なら、評価済み情報を引いて確認するタイプが最短です。自社の基準で審査を続けたいなら、審査業務そのものを載せ替えるタイプが合います。

対象が数百社を超えて回答待ちが滞留しているなら、外部から自動でスコアを取るタイプが効きます。何を基準に審査すべきかから決めたいなら、専門家に調査してもらうタイプで体制ごと見直す選択があります。自社のクラウド環境の設定が対象なら、設定を点検するタイプが別系統の選択肢になります。

MCB FinTechカタログでは、掲載しているクラウドリスク評価サービスの資料をまとめて請求できます。

どのタイプでも、自社にとって許容できないリスクを決めることと、評価結果をもとに導入の可否を判断することは自社に残ります。外部サービスは、その判断に必要な材料を揃える時間を短くするための手段です。上記の比較表と診断ツールを使って、自社の審査運用に合うサービスを見つけてください。

よくある質問（FAQ）

Q. クラウドリスク評価サービスとは何ですか？

A. クラウドリスク評価サービスとは、クラウドサービスにセキュリティ上のリスクがないかを判断するための評価を、利用企業が外部から得られるようにするサービスの総称です。

評価の中身は、事業者の情報セキュリティ体制、データの保管場所と取り扱い、アクセス制御や暗号化の実装、インシデント発生時の対応体制、第三者認証の取得状況などです。導入前の審査だけでなく、すでに利用しているサービスの棚卸しと再評価にも使われます。

評価をどうやって手に入れるかによって、評価済みの情報を引いて確認するもの、審査業務そのものをプラットフォームに載せ替えるもの、外部から自動でスコアを取るもの、専門家に調査してもらうもの、自社が構築したクラウド環境の設定を点検するものに分かれます。

Q. クラウドリスク評価サービスを導入すれば、セキュリティチェックシートの運用はなくなりますか？

A. クラウドリスク評価サービスを導入しても、チェックシートの送付と回収が不要になるかはタイプによって分かれ、どのタイプを選んでも「自社にとって許容できないリスクを決めること」と「評価結果をもとに可否を判断し記録を残すこと」は自社に残ります。

評価済み情報を引いて確認するタイプと外部から自動でスコアを取るタイプは、相手に照会して回答を待つ工程そのものがなくなります。一方、審査業務を載せ替えるタイプは、やりとりの手段がExcelやメールからWebフォームに変わるだけで、相手に回答してもらう前提は残ります。

質問票の設計、対象の登録、回答の督促といった作業も自社側に残るため、人手が要らなくなるというより、作業の中身が変わると捉えたほうが導入後のずれが生じにくくなります。

Q. クラウドリスク評価サービスの費用はどのくらいかかりますか？

A. クラウドリスク評価サービスの費用は、タイプによって課金の単位が異なり、継続利用のサブスクリプション型と、実施のたびにかかる個別見積もり型に大きく分かれます。

評価済み情報を引いて確認するタイプと審査業務を載せ替えるタイプは、年額または月額のサブスクリプションが中心で、参照できる件数やユーザー数、管理する対象の数でプランが分かれます。外部から自動でスコアを取るタイプは、監視する企業の数で課金される形が一般的です。

専門家に調査してもらうタイプは案件ごとの個別見積もりで、対象環境の規模や複雑さで金額が変わります。公式に料金を開示している例では、基本料金500万円〜（税別）としている事業者があります。自社のクラウド設定を点検するタイプは、継続的に監視する製品も単発の診断も、本記事で扱った範囲では料金が公開されておらず、対象アカウント数や環境の規模にもとづく個別見積もりです。

Q. 無料で参照できる公開情報だけで、クラウドサービスのリスク評価はできますか？

A. クラウドサービスのリスク評価は、公開情報だけでも一次的な確認まではできますが、その多くは事業者の自己申告や設定の基準であり、第三者が検証した評価の代わりにはなりません。

Cloud Security Alliance が運営する STAR レジストリは誰でも参照でき、事業者が提出した CAIQ の回答を確認できます。ただし Level 1 は事業者による自己評価で、第三者の認証や保証が付くのは Level 2 です。

自社のクラウド環境の設定については、Center for Internet Security の CIS Benchmarks が PDF で無償配布されており、自分で点検する物差しとして使えます。政府調達向けの ISMAP クラウドサービスリストも公表されており、登録の有無を確認できます。これらで基礎的な部分を押さえ、埋まらない部分を外部サービスや個別の照会で補う組み立てが現実的です。

Q. ISO/IEC 27001やISO/IEC 27017の認証を取得している事業者なら、クラウドリスク評価は不要ですか？

A. 認証の取得はクラウドリスク評価の出発点として有効ですが、自社固有のセキュリティ要件を満たしているかどうかは、認証の有無だけでは判断できません。

ISO/IEC 27017 はクラウドサービスの提供と利用に適用する情報セキュリティ管理策を示す規格で、情報処理推進機構（IPA）の実態調査報告書は、認証を取得する際に ISO/IEC 27001 の認証取得が前提となるアドオン規格であると説明しています。

同報告書は調査結果のポイントとして、基本的要件は認証・認定の有無により確認し、一定の保証がされている前提で自社固有のセキュリティ要件や条件についてのみ問い合わせることで効率よく選定ができる、とも述べています。

事業者が「ISO/IEC 27017 準拠」と示している場合、認証を取得しているのか、基準として参照しているだけなのかで意味が異なります。どちらなのかは審査の段階で確認しておくと、社内での説明がしやすくなります。

Q. 自社のクラウド設定を点検するタイプは、どのクラウド基盤に対応していますか？

A. 自社のクラウド設定を点検するタイプは、AWS・Microsoft Azure・Google Cloud を対象とするものが中心で、どの基盤に対応するかはサービスによって異なります。

検査の物差しとして使われる CIS Foundations Benchmark は、この3つに加えて Oracle Cloud Infrastructure、IBM Cloud、Alibaba Cloud を対象としています。

評価の範囲はクラウドのアカウント単位で定義されるのが基本で、Center for Internet Security 自身も Foundations Benchmark について、クラウド事業者の全サービスを網羅するものではなく、アカウントを設定するための出発点であると述べています。

自社が使っている基盤が対象に含まれるか、複数のアカウントを持っている場合にどこまでを1回の評価範囲とするかは、申し込み前に確認しておくと見積もりのずれを避けられます。

Q. クラウドリスク評価は一度実施すれば終わりですか？

A. クラウドリスク評価は一度で終わるものではなく、契約の更新時期、事業者側の大きな仕様変更や組織再編、扱うデータの機密度が上がったとき、事業者側でインシデントが公表されたときを起点に、再評価する前提で設計します。

継続のしやすさはタイプによって差があります。外部から自動でスコアを取るタイプは契約している間ずっと観測が続き、評価済み情報を引いて確認するタイプも評価が更新されれば最新の内容を参照できます。一方、専門家による調査や単発の診断は、次に実施するまでの間は前回時点の情報のままです。設定を見直した後にもう一度確認したい場合、あらためて申し込みが必要になるとしている事業者もあります。

継続的に状態を管理したい場合は、単発の診断で現状を把握してから継続監視の製品や運用支援サービスへ移る進め方がとれます。初回の費用だけで比較すると2回目以降の負担を見落とすため、再評価まで含めて見積もっておくと判断を誤りません。

Q. クラウド環境の構成が複雑で自社でも全体像を把握できていない状態でも、評価を依頼できますか？

A. 構成を把握できていない状態でもクラウドリスク評価は依頼でき、マルチクラウドなどで構成が複雑な場合も、設定値の取得とヒアリングで環境の全体像を把握したうえで評価する進め方が示されています。

専門家に調査してもらうタイプでは、システム構成図の確認と担当者へのヒアリングを通じて、クラウド上のシステムとの連携箇所を可視化し、セキュリティ上の考慮点を洗い出す流れが一般的です。自社のクラウド設定を点検するタイプであれば、アカウントに読み取り権限を渡せば機械的に検査されるため、事前の棚卸しがなくても現状を洗い出せます。

ただし、評価対象となる環境の規模や複雑さは見積もり金額に反映されます。アカウント数やクラウド基盤の数が多い環境では費用が上がる点は、予算を組む段階で見込んでおく必要があります。

クラウドリスク評価サービスの料金・機能を一括チェック

MCB FinTechカタログでは、クラウドリスク評価サービスの最新資料をまとめてダウンロードいただけます。評価の入手方法や対応範囲、料金体系を各社の資料で確認し、自社の審査運用に合うサービスの比較検討にお役立てください。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。