複数のクラウドやSaaSの利用が広がり、設定ミスや権限の付けすぎが情報漏えいにつながらないか、不安を感じていませんか。クラウドは使うほどに設定項目やアカウントが増え、どこにリスクが潜むかを人手だけで把握し続けるのは難しくなります。取引先や監査から、クラウド側のセキュリティ統制を示すよう求められる場面も増えています。
こうした課題に対しては、設定を自動で検査するツールを入れる方法と、規程づくりや監査の支援を外部に頼む方法があります。自社に合うのはどちらか、どの会社・製品を候補にすればよいかを、何を基準に見極めればよいのでしょうか。
本記事では、クラウドのセキュリティ設定と全社的な統制（ガバナンス）を整えるための12のサービス（製品・支援会社）を、設定を自動検査する製品型と、規程策定・監査までを担う構築支援型の2系統に分けて比較・解説します。両者の違いと選び分け、対応クラウドや対応規格といった選び方の観点を整理しました。自社の状況に合う候補を見つけるための材料としてご活用ください。
また、自社の状況に合わせて最適なサービスを最短で見つけられるよう、「30秒で終わる選定診断ツール」をご用意しています。ぜひこちらもご活用ください。
目次
一括ダウンロードする
クラウドセキュリティガバナンスとは／なぜ整備が必要か
ここからは、クラウドセキュリティガバナンスという言葉が指すものと、整備が必要とされる背景を整理します。
クラウドセキュリティガバナンスとは、自社が利用するクラウドサービスやSaaSについて、セキュリティ設定・アクセス権限・利用ルールを全社で統制し、継続的に点検・改善できる状態をつくる取り組みを指します。個々の設定を一度直すだけでなく、誰がどの基準で設定し、どう監査し、逸脱をどう是正するかという仕組みまで含む点が特徴です。
クラウド特有のリスクと統制が必要な理由
クラウドは、設定ひとつで公開範囲やアクセス権が大きく変わります。ストレージの公開設定の誤りや、退職者アカウントの放置、必要以上に強い権限の付与といった構成上の不備が、情報漏えいの入り口になりやすいのが実情です。
利用するクラウドやSaaSが増え、部門ごとに個別契約が広がると、設定の状態を人手だけで把握し続けるのは難しくなります。マルチクラウド環境では、サービスごとに設定画面も用語も異なるため、全体を同じ基準で点検する仕組みがないと、どこにリスクが残っているかが見えなくなります。だからこそ、設定・権限・利用ルールを統制として持つ必要があります。
責任共有モデル（クラウド事業者と自社の責任分界）
クラウドのセキュリティは、クラウド事業者と利用者が責任を分担する「責任共有モデル」で成り立っています。事業者はサービスを動かす基盤を守り、利用者は自社が設定・保存する範囲を守る、という分け方です。Amazon Web Services（AWS）は、この分界を次のように説明しています。
セキュリティとコンプライアンスは AWS とお客様の間における共有責任です。AWS には、AWS クラウドで提供されるすべてのサービスを実行するインフラストラクチャを保護する責任があります。お客様の責任は、選択した AWS クラウドのサービスに応じて異なります。この責任の相違は一般的にクラウドのセキュリティに対するクラウドにおけるセキュリティと呼ばれます。
出典：責任共有モデル｜アマゾン ウェブ サービス（AWS）
重要なのは、クラウドの形態（IaaS・PaaS・SaaS）が変わっても、利用者側に残り続ける責任がある点です。Microsoft Azureは、データ・アカウント・アクセス管理に加え、設定について次のように整理しています。
すべてのクラウド デプロイの種類について、データと ID を所有します。
出典：クラウドでの共同責任｜Microsoft Learn
同社が示す責任マトリックスでも、顧客データ・構成と設定・ID とユーザーは、オンプレミス・IaaS・PaaS・SaaSのいずれでも利用者（カスタマー）の責任とされています。
Google Cloudも同様に、基盤は事業者が守る一方、アクセス制御と保存するデータは利用者が常に担うと説明しています。3大クラウドに共通して、設定・権限・データの管理は利用者の領域に残ります。クラウドセキュリティガバナンスとは、この利用者側の責任を、個人の注意任せにせず仕組みとして果たすための取り組みだと言えます。
製品型（CSPM等のツール）と構築支援型（コンサル）の違いと選び分け
ここからは、クラウドのセキュリティ統制を整える手段を、設定を自動検査する製品型と、規程策定・監査までを担う構築支援型の2系統に分けて解説し、どちらを選ぶかの判断軸を示します。
「設定検査の自動化」だけでは統制は完成しない
クラウドの設定ミスを自動で見つけるツールは、統制の土台を支える重要な仕組みです。ただし、ツールが示すのは「どこが基準から外れているか」までで、どんな基準で設定すべきか、誰が是正するか、監査でどう示すかといったルールと運用は、別に整える必要があります。
つまり、クラウドのガバナンスは「設定の検出・可視化（製品型が担う領域）」と「規程・運用・監査の仕組み化（構築支援型が担う領域）」の両輪で成り立ちます。どちらか一方だけでは、検出はできても是正が回らない、あるいはルールはあっても実態を点検できない、という状態になりがちです。
ツールで設定・脅威を自動検査する（製品型）
製品型は、クラウドの設定状態を継続的に読み取り、基準から外れた構成を自動で検出・可視化するソフトウェアです。中心となるのがCSPM（クラウドセキュリティポスチャ管理）で、ストレージの公開設定や過剰な権限などの構成ミス、コンプライアンス基準からの逸脱を継続的にチェックします。
製品によっては、稼働中のワークロードを守るCWPP（クラウドワークロード保護）、SaaSの利用状況や設定を管理するCASB（キャスビー。クラウド利用の可視化・制御）やSSPM（SaaSセキュリティポスチャ管理）を組み合わせ、設定・権限・通信・脅威を横断して点検します。責任共有モデルで利用者が担う「設定・構成」の領域を、人手に頼らず継続的に検査できる点が導入の動機になります。
CSPM・CWPP・CASB・SSPM・CNAPP（クラウド全体を統合的に守る仕組み）といった用語は守る対象が重なって見えやすく、違いを押さえておかないと自社に必要な機能を見極めにくくなります。それぞれが何を守る仕組みで、どう使い分けるのかは以下の記事で整理しています。
CSPMとは？クラウドの設定ミスを防ぐ仕組みとCWPP・SSPM・CASB・CNAPPとの違いを解説
自社のシステムをAWSやMicrosoft Azure、Google Cloudといったパブリッククラウドに載せる企業が増えるなかで、「CSPMを導入したほうがよい」という言葉をベンダーの提案書や社内の議論で見かける機会が多くなりました。と…
規程策定・リスクアセスメント・監査まで統制を作る（構築支援型）
構築支援型は、クラウドのセキュリティ統制を外部の支援で整えるサービスです。現状のリスクを第三者の立場で評価するアセスメント、クラウド利用規程・ガイドラインの策定、国際規格への対応、監査の実施まで一貫して仕組み化を担うものと、設定の点検だけを専門家に委託するスポット型の診断とがあり、支援の射程は会社ごとに幅があります。
グループ会社ごとにルールが分かれている、マルチクラウドで統制の全体像を描けない、取引先や監査から規格対応を求められているといった課題では、ツールだけでは埋まらない部分を支援でカバーします。自社に知見が十分でない領域を、専門家の関与で補える点が特徴です。
外部に評価を頼む場合でも、評価済み情報を参照するもの、審査業務ごと委託するもの、自動でスコアを取得するもの、専門家が調査するものと、評価の入手方法によって進め方も費用も変わります。クラウドのリスク評価サービスを進め方のタイプ別に比較し、費用や選び方まで整理した記事もあわせてご覧ください。
どちらを選ぶか・併用のパターン
選び分けの目安は、自社に統制を設計・運用できる人材がいるか、マルチクラウドやSaaSの範囲がどれだけ広いか、規格対応が外部から求められているか、の3点です。クラウドの運用担当がいて、まず設定の不備を継続的に把握したい段階では、製品型から始めるのが現実的といえます。
一方、ルールづくりや規格対応の知見が社内に乏しい場合や、監査・取引先対応で統制を文書と運用で示す必要がある場合は、構築支援型が向いています。実務では、構築支援型でルールと運用体制を整えたうえで、日々の設定点検を製品型で自動化する併用も多く見られます。自社がどこまで内製し、どこを外部に頼るかを分けて考えると、候補を絞りやすくなります。
失敗しないクラウドセキュリティガバナンスサービスの選び方
ここからは、製品型・構築支援型のどちらを検討する場合でも共通して確認したい、5つの選び方の観点を整理します。
対応クラウド範囲は自社の利用環境と合っているか
最初に確認したいのが、自社が使うクラウドに対応しているかどうかです。AWS・Microsoft Azure・Google Cloudの主要3クラウドに加え、OracleやSaaSまで検査・支援の対象に含むかは製品・会社ごとに差があります。
特にマルチクラウドで運用している場合、対応範囲が一部のクラウドに限られると、残りが点検の死角になります。現在使っているクラウドと今後増える見込みのクラウドの両方をカバーできるかが、最初の基準となります。
設定の自動検査（CSPM）の有無と検査範囲はどこまでか
製品型を検討するうえでは、CSPMによる設定検査がどこまで及ぶかが重要です。構成ミスの検出だけか、権限の過剰付与（CIEM）、稼働中ワークロードの保護（CWPP）、SaaSの設定管理（SSPM）まで含むかで、カバーできるリスクの幅が変わります。
検査の深さに加え、検出した問題をどう優先度付けし、是正までどう導くかも確認したい点です。検出件数が多くても、対応すべき順序が示されなければ現場は動けません。自社で手が回る運用かどうかは、検査範囲と是正支援の両面から見極めることが重要です。
検出した後に現場が動けるかどうかは、ツールを提供する側も課題として受け止めています。クラウドの設定検査（CSPM）を提供するあるサービスの担当者は、導入検討企業からよく聞く悩みを次のように話します。
規程策定・リスクアセスメント・監査の支援はあるか
ルールと運用体制を社内だけで整えるのが難しい場合は、構築支援型の支援範囲が重要になります。現状評価のアセスメント、クラウド利用規程やガイドラインの策定、監査の実施まで、どこまで一貫して任せられるかは会社ごとに異なります。
自社に不足している工程を補えるかが基準となり、支援の入り口（評価だけか、規程策定まで含むか）と、支援後に自走できる形まで引き渡してくれるかが見極めのポイントです。ツールの導入支援と組み合わせて提供する会社もあり、製品型との併用を見据えるなら、その接続性も確認しておきたいところです。
対応規格・第三者認証への対応はできるか
取引先や監査から規格対応を求められる場合、関連する規格・制度への対応可否を確認します。クラウド固有の指針として広く参照されるのがISO/IEC 27017です。その位置づけを、国内でクラウドセキュリティ認証を運営するJIPDEC（日本情報経済社会推進協会）は次のように説明しています。
ISO/IEC 27017 は、正式名称を「ISO/IEC 27002 に基づくクラウドサービスのための情報セキュリティ管理策の実践の規範」という。
認証基準ではなく実践の規範（ベストプラクティス）であり、〔中略〕ISO/IEC 27017 は、ISO/IEC 27002（ISO/IEC 27001 に対するベストプラクティス）規定の指針に、クラウドサービス固有の事項に関する指針を追加・補足する位置づけとなっている
出典：ISMS クラウドセキュリティ認証の概要｜一般財団法人日本情報経済社会推進協会（JIPDEC）
ISO/IEC 27017は、情報セキュリティマネジメントの認証規格であるISO/IEC 27001を土台に、クラウド固有の指針を上乗せする関係にあります。国内ではこれに基づくISMSクラウドセキュリティ認証として運用されており、クラウドを提供する側だけでなく利用する側にも関わる指針です。
このほか、政府調達向けのクラウドサービスを評価・登録するISMAP（政府情報システムのためのセキュリティ評価制度）や、クラウド事業者の統制を監査人が検証する米国発の報告フレームワークであるSOC 2も、取引先要件として挙がることがあります。自社に求められる規格を確認し、対応実績のある会社・製品を選ぶことが選定の起点となります。
出典・参考資料（2件）
サポート・運用代行の範囲とベンダーロックインの有無はどうか
導入後に自社だけで運用し続けられるか、運用を代行してもらえるかは、体制に直結する観点です。日本語でのサポート可否、検出結果への対応支援、運用そのものの委託可否が確認したい点となります。
あわせて、特定の製品や会社に縛られすぎないかも見ておきたいところです。他のツールやクラウドへ移行しにくい構成だと、将来の選択肢が狭まります。契約・データの持ち出しやすさや標準的な仕組みへの準拠も、乗り換えの余地を残すうえで判断材料となります。
しかし、自社がどのタイプに適しているか、といった判断が難しいケースも存在します。そのような場合でも貴社の状況に合わせて最適なサービスを最短で見つけられるように、「30秒で終わる選定診断ツール」を以下にご用意しています。ぜひこちらもご活用ください。
一括ダウンロードする
【比較表】クラウドセキュリティガバナンス関連サービスを比較
ここからは、自社の課題や要件に合わせて客観的に比較・選定できるよう、クラウドセキュリティガバナンス関連サービスを、設定を自動検査する製品型と、規程策定・監査までを担う構築支援型の2系統に分けてご紹介します。
【タイプ別比較表】製品型（CSPM等のツールで設定・脅威を自動検査）
| サービス名 | Aikido Security | Microsoft Defender for Cloud | Wiz | Prisma Cloud | Orca Security | Netskope |
|---|---|---|---|---|---|---|
| 対応クラウド | AWS 等（公式の対応クラウド一覧は非公開） | Azure・AWS・Google Cloud・オンプレ（Azure Arc経由） | AWS・Google Cloud・Azure・Oracle Cloud | AWS・Azure・Google Cloud・Oracle Cloud・Alibaba Cloud | AWS・Azure・Google Cloud・Oracle Cloud・Alibaba Cloud・コンテナ基盤（Kubernetes） | SaaS・主要クラウド（CSPM/SSPM） CCIで8.5万超のクラウドアプリを評価 |
| 設定の自動検査（CSPM） | ●クラウド設定ミス・過剰権限を継続検査 | ●無料のFoundational CSPMと有料のDefender CSPM | ●エージェントレス、2,800以上の設定ルール | ●CSPM・IaC検査・エージェントレススキャン | ●SideScanningでエージェントレス検査 | ●CSPM/SSPMで設定不備を可視化 |
| ワークロード保護（CWPP） | △コンテナ/IaC検査・ランタイム保護（Zen） | ●サーバー/コンテナ/DB/ストレージ等をプラン別に保護 | ●Runtime Sensorでランタイム監視 | ●ランタイム（脅威検出・サーバーレス・ホスト保護） | ●CNAPPとしてビルド〜ランタイムを保護 | ×SASE/SSEが中心（CWPPは非該当） |
| 権限・SaaS設定（CIEM/CASB/SSPM） | △CSPMで過剰権限を検出 | △構成の可視化が中心（CIEM/SSPM専用機能の記載なし） | ●CIEMで過剰権限・MFA未設定・休眠IDを検出 | ●CIEMでクラウド権限を管理 | ●過剰権限・アイデンティティリスクを検出 | ●CASB・SSPMが中核（SaaS可視化・シャドーIT検出） |
| 対応規格 | ISO 27001・SOC 2・PCI・HIPAA・DORA等の管理策を点検 | 要お問い合わせ（セキュアスコアで態勢を評価） | 250以上の組み込みフレームワーク（CIS・PCI DSS等、CSPM） | CIS・PCI DSS・ISO 27001・NIST・SOC 2等を組み込み、カスタム規格も作成可 | 150以上のフレームワーク・CISベンチマーク（PCI-DSS・GDPR・HIPAA・SOC 2・CCPA等） | CSA基準でSaaSを評価（CCI）／HIPAA・PCI DSS等に対応 |
| 提供形態・日本語サポート | SaaS／日本はAndGoが代理店として日本語で導入・運用支援 | SaaS（Azureに組み込み）／日本語UI・ドキュメント対応、導入はパートナー経由 | SaaS（エージェントレス）／日本語サイトあり。日本語サポート窓口は要確認 | SaaS（Enterprise Edition）／国内はパロアルト及びパートナー経由。次バージョンCortex Cloudへ移行中（現行の販売名称は要確認） | SaaS（エージェントレス）／日本は代理店経由（日立ソリューションズ・NVC等） | SaaS（SASE/SSE）／日本法人あり、国内パートナー経由で日本語サポート |
| 料金 | 無料プランあり AndGo経由は月額5万円台〜（年間契約・10人まで） | 従量課金（最初の30日間無料） 実額は要お問い合わせ | 要お問い合わせ（公式料金ページに金額掲載なし） | クレジット制の従量課金 実額は要お問い合わせ | ワークロード数に応じた従量制（単一SKU） 実額は要お問い合わせ | ユーザー数×契約年数のサブスク 実額は要お問い合わせ |
| 詳細情報 | 公式資料を見る | 公式サイト | 公式サイト | 公式サイト | 公式サイト | 公式サイト |
【タイプ別比較表】構築支援型（規程策定・アセスメント・監査を支援）
| サービス名 | クラウドリスク評価（EY） | クラウドセキュリティ評価サービス（NRIセキュア） | クラウド設定評価サービス（NRIセキュア） | クラウドセキュリティ設定診断（ラック） | クラウドセキュリティ評価サービス（セコムトラスト） | クラウドセキュリティ診断サービス（Sky） |
|---|---|---|---|---|---|---|
| 支援範囲 | リスク評価＋規程・体制整備＋継続支援（態勢評価・技術評価・高度化支援・定常支援の4メニュー） | 専門家によるアセスメント＋改善策提示 | ツールによる設定診断＋報告（スポット診断） | 専門家による設定診断＋報告（スポット診断） | リスク評価＋対策提案（接続するクライアント端末環境も評価範囲） | 専門家による設定診断（セキュリティ診断ソリューションの一メニュー） |
| 対応クラウド | 公式に明示なし | AWS・Azure・Google Cloud・OCI | AWS・Azure・Google Cloud（OCIは対象外） | AWS・Microsoft Azure（GCPは明記なし） | 公式に明示なし | AWS・Microsoft Azure・Salesforce（GCPは記載なし） |
| 準拠・対応規格 | クラウドのガイドライン・ベストプラクティス（具体規格は明示なし） | ISO/IEC 27017・CSA CCM | CIS Benchmarks・GDPR・NIST・HIPAA等を参考（報告書にCIS項番） | CISベンチマーク | 公式に明示なし | 公式に明示なし |
| 評価手法・提供形態 | 金融機関向けコンサルティング（態勢・設定の評価） | コンサルタントによるヒアリング・構成図査読型（自動スキャンなし） | Prisma CloudのCSPMで自動スキャン（600以上の検出ルール） | 読み取り専用アカウント経由のリモート診断（各9項目） | 文書査読＋チェックリストに基づくヒアリング（自動スキャンなし） | コンサルタント・アナリストによる設定診断 |
| 所要期間 | 要お問い合わせ | 要お問い合わせ | 約2週間（提出後3か月・12件までQ&A） | 診断後10営業日程度で報告書 | 2か月程度 | 公式明示なし（要お問い合わせ） |
| 料金 | 要お問い合わせ | 基本料金500万円〜（税別）／個別見積もり | 個別見積もり（要お問い合わせ） | 個別見積もり（要お問い合わせ） | 要お問い合わせ | 個別提案制（要お問い合わせ） |
| 詳細情報 | 公式サイト | 公式サイト | 公式サイト | 公式サイト | 公式サイト | 公式サイト |
※上記は各タイプにおける一般的な機能の傾向です。個別のサービスにおける実際の機能搭載の有無や提供形態（標準・オプション等）については各社情報をご確認ください。
クラウドセキュリティガバナンス関連サービスの個別紹介
ここからは、比較表で取り上げた各サービスの特徴を、製品型・構築支援型の順に個別に紹介します。
製品型（CSPM等のツールで設定・脅威を自動検査）
1. Aikido Security（株式会社AndGo）
ベルギーのAikido Security BVが開発するセキュリティSaaSを、日本では株式会社AndGoが正規代理店として提供しています。依存関係の脆弱性検査（SCA）、静的解析、シークレット検出、クラウド設定の検査（CSPM）、コンテナイメージやIaCの検査などを1つのプラットフォームに集約しています。公式はCode・Cloud・Attack・Protectの4区分で機能を整理しています。
クラウドの設定ミスや過剰な権限はCSPM機能で継続的に点検でき、検出した脆弱性には修正内容のプルリクエストをAIが生成するAutoFixを備えます。生成された修正は人がレビューしてマージする流れで、本番環境へ自動で適用されるわけではありません。
日本市場ではAndGoが窓口となり、管理画面とドキュメントの日本語対応、導入から運用定着までの日本語での伴走支援、日本円での請求に対応します。料金はサブスクリプション型で、AndGo経由では年間契約・利用者10人までを対象に月額5万円台から案内されています。2ユーザーまで使える無料プランもあります。
2. Microsoft Defender for Cloud（Microsoft Corporation）
Microsoftが提供するクラウド保護サービスで、前身はAzure Security Center（2016年提供開始）、2021年に脅威保護機能を統合して現在の名称になりました。クラウドセキュリティ態勢管理（CSPM）とクラウドワークロード保護（CWPP）を一体で扱うCNAPPに位置づけられます。
監視対象はAzureに加え、コネクタ経由のAWS・Google Cloud、Azure Arcで接続したオンプレミスのサーバーまで広がります。設定診断を担うCSPMは無料のFoundational CSPMと有料のDefender CSPMの2階層で構成され、セキュアスコアによって改善の優先順位を示します。
仮想マシンやコンテナ、データベースなどはワークロード別のプランで個別に保護でき、検出した脅威はアラートと修復ガイダンスとして提示されます。通信経路に入って遮断する製品ではなく、構成と脅威の可視化が中心です。料金はプラン別の従量課金で、最初の30日間は無料、具体的な金額は要お問い合わせとなります。
3. Wiz（Wiz, Inc.）
米国ニューヨークに本社を置くWiz, Inc.が開発するクラウドセキュリティプラットフォームで、2026年3月にGoogleによる買収が完了し、Wizブランドを維持したままGoogle Cloudの傘下に入りました。公式はWiz Code（開発〜CI/CD）、Wiz Cloud（クラウドとAIのリスク防止）、Wiz Defend（ランタイム保護・脅威検知）の3領域で製品を説明しています。
設定検査では、エージェントを導入せずクラウド事業者のAPI経由で資産を読み取るエージェントレス方式を採り、2,800以上の設定ルールとIaCテンプレートの検査に対応します。検出した構成ミス・脆弱性・権限・機密データはSecurity Graph上で関連づけ、攻撃経路として優先順位をつけます。
権限管理（CIEM）では過剰な権限やMFA未設定、休眠ユーザーを洗い出し、最小権限ポリシーの自動生成まで行えます。対応クラウドはAWS・Google Cloud・Azure・Oracle Cloudです。料金は公式の料金ページに金額の記載がなく、Wiz One・Wiz Go・À la Carteというプラン名のみ公開されているため、要お問い合わせとなります。
4. Prisma Cloud（パロアルトネットワークス株式会社）
パロアルトネットワークスが提供する、設計段階からランタイムまでを対象とするCNAPPです。公式は「Code to Cloudプラットフォーム」と呼んでいます。機能はコーディング（IaCやCI/CDの検査）、インフラストラクチャ（CSPM・CIEM・エージェントレススキャン）、ランタイム（脅威検出・サーバーレス保護）の3区分で掲載されています。
公式ブログ（2025年3月）はPrisma Cloudの次バージョンとしてCortex Cloudを位置づけ、既存のPrisma CloudはCortex Cloudへアップグレードされると説明しています。単純な名称変更ではなく機能を統合した次バージョンへの移行で、従来のコア機能は引き続き利用できます。検討時には現行の販売名称と移行状況を公式で確認しておく必要があります。
対応クラウドはAWS・Azure・Google Cloud・Oracle Cloud Infrastructure・Alibaba Cloudの5種で、CIS・PCI DSS・ISO 27001・NIST・SOC 2など多数の組み込みコンプライアンス規格に加え、独自規格の作成にも対応します。料金は稼働中リソースを対象とするクレジット制で、実額は要お問い合わせとなります。
5. Orca Security（Orca Security Ltd.）
2019年設立、ロンドンに本社を置くOrca Security Ltd.が提供するCNAPP「Orca Cloud Security Platform」です。独自技術のSideScanningにより、ワークロードにエージェントを入れずクラウドのAPI経由で検査する点を特徴とし、公式は3ステップのオンボーディングで24時間以内に全体を可視化できるとしています。
検出対象は、設定ミスや脆弱性、マルウェア、認証情報の漏えい、過剰な権限、機密データの露出、生成AIアプリの利用（シャドーAI）など多岐にわたります。対応クラウドはAWS・Azure・Google Cloud・Kubernetes・Alibaba Cloud・Oracle Cloudの6種で、150以上のフレームワークとCISベンチマークへの自動マッピングに対応します。
課金は階層プランを設けない単一SKUで、クラウドワークロード数に応じた従量制をとり、実額は非公開のため要お問い合わせとなります。日本法人の設立は公式サイトで確認できず、国内では日立ソリューションズやネットワークバリューコンポネンツなど複数の販売代理店を通じて提供されています。
6. Netskope（Netskope Japan株式会社）
CASB（クラウド利用の可視化・制御）を出発点に、SWG・ZTNA・CSPM/SSPMなどを統合したSASE／SSE領域のプラットフォーム「Netskope One」です。提供元のNetskope, Inc.は2012年に米国で設立され、2025年9月にNASDAQへ上場しました。国内にはNetskope Japan株式会社があります。
備えているのが、独自のクラウドサービス評価データベース「Cloud Confidence Index（CCI）」です。85,000件以上のクラウドアプリと1,800以上の生成AIツールを、50以上のセキュリティ・プライバシー・コンプライアンス属性で評価し、0〜100のスコアと5段階のレベルに格付けします。自社で使われているSaaSの安全性を同じ基準で見渡せます。
CSPM/SSPMとしてクラウド・SaaSの設定不備を可視化し、未承認のクラウド利用を見つけるシャドーIT検出にも対応します。料金はユーザー数と契約年数に応じたサブスクリプションで、実額は要お問い合わせ。国内はソフトバンクやSCSKセキュリティなど複数のパートナー経由で導入・運用支援が提供されています。
構築支援型（規程策定・リスクアセスメント・監査を支援）
7. クラウドリスク評価（EYストラテジー・アンド・コンサルティング株式会社）
金融機関のクラウド利用を対象に、リスクの評価と、規程・体制の整備支援までを手がけるコンサルティングサービスです。EYストラテジー・アンド・コンサルティング株式会社が、監査・コンサルティングで培った知見を背景に提供しています。
サービスは、クラウドリスク管理態勢評価・クラウドリスク技術評価・クラウドリスク管理高度化支援・クラウドリスク管理態勢定常支援の4メニューで構成されます。態勢評価では管理の枠組みと運用状況をフレームワークで評価し、技術評価では管理手続きやクラウドサービスの設定を調査して脆弱性の有無を確認します。
成果物として、規程・手続きの高度化案と脆弱性評価結果が提示されます。評価だけでなく、高度化支援や態勢の定常支援まで含む構成のため、評価後の体制づくりや継続運用まで一貫して任せたい金融機関に向きます。料金は要お問い合わせです。
8. クラウドセキュリティ評価サービス（NRIセキュアテクノロジーズ株式会社）
自社が利用するクラウド環境のセキュリティ対策状況を、NRIセキュアテクノロジーズ株式会社のコンサルタントが評価し、改善策を提示するサービスです。対応するクラウドはAWS・Microsoft Azure・Google Cloud・Oracle Cloud Infrastructure（OCI）です。
評価は、ツールによる自動スキャンではなく、システム構成図・設計書の読み込みと、担当者へのインタビュー・ヒアリングシートを通じて進めます。対象システムの把握、想定脅威と対策観点の抽出、現状のヒアリング、改善策の立案という4段階で、クラウド固有の機能まで踏み込んだ提案を行います。評価基準にはISO/IEC 27017とCSA CCMを用います。
料金は個別見積もりで、基本料金は500万円〜（税別）。評価対象となる環境の規模や複雑さ（マルチクラウドかどうかなど）によって変動します。構成図の管理が追いついていない複雑な環境でも、設定値を取得して全体像を把握したうえで評価する点が示されています。
9. クラウド設定評価サービス（NRIセキュアテクノロジーズ株式会社）
同じNRIセキュアテクノロジーズ株式会社のサービスですが、こちらはツールによる自動診断型です。パロアルトネットワークスのクラウドセキュリティプラットフォーム「Prisma Cloud」のCSPM機能を使い、AWS・Microsoft Azure・Google Cloudの設定をスキャンします。
診断は600以上の検出ルールに基づき、ネットワークセキュリティ・アカウントセキュリティ・設定/管理機能の3区分でアカウント全体を機械的にチェックします。検出ルールはCIS Benchmarks・GDPR・NIST・HIPAAなどを参考にしており、報告書にはCIS Benchmarksの該当項番が記載されます。対応はAWS・Azure・Google Cloudの3クラウドで、OCIは含みません。
設定評価の開始から報告書提出まで約2週間、提出後は3か月間・12件までのQ&Aサポートが付きます。スポット診断のため、定期的な再評価には再度の申し込みが必要です。料金は個別見積もりで、要お問い合わせとなります。
10. クラウドセキュリティ設定診断（株式会社ラック）
顧客のクラウド環境に読み取り権限のみの診断用アカウントを発行してもらい、株式会社ラックの専門家がリモートで設定を確認する診断サービスです。本番環境への影響を抑えながら、設定の不備を洗い出せる方式をとっています。
対応クラウドはAWSとMicrosoft Azureで、それぞれIAM・ネットワーク・ストレージなど9項目のカテゴリを診断します。評価の基準には、米国の非営利団体が策定するCISベンチマークを用います。GCPへの対応は公式ページに記載がありません。
診断後は10営業日程度で、総合評価・検出された問題点・対策解説・統計情報を含む報告書が提出されます。同社はセキュリティ監視センターJSOCを擁しており、診断で見つかった問題を監視や緊急対応につなげられる体制を持ちます。料金は個別見積もりで、要お問い合わせです。
11. クラウドセキュリティ評価サービス（セコムトラストシステムズ株式会社）
セコムグループのセコムトラストシステムズ株式会社が提供する、クラウド環境のセキュリティ対策状況を評価するコンサルティングサービスです。クラウドだけでなく、そこに接続するクライアント端末の環境まで評価範囲に含める点を公式ページで明記しています。
評価は、関連文書の確認と、チェックリストに基づくヒアリングによって進めます。ツールによる自動スキャンではなく、人手による調査プロセスを明示している点が特徴です。クラウド運用に潜むリスクを洗い出し、対策を提案します。
成果物はリスク評価報告書で、所要期間は2か月程度とされています。準拠する外部基準の具体名や料金は公式ページに記載がないため、要お問い合わせです。
12. クラウドセキュリティ診断サービス（Sky株式会社）
SKYSEA Client Viewなどを手がけるSky株式会社が、セキュリティ診断ソリューションの一つとして提供するクラウド設定の診断サービスです。コンサルタント・アナリストが、顧客の利用するクラウド環境の設定を診断します。
対応するのはAWS・Microsoft Azureに加えてSalesforceで、IaaSだけでなくSaaSの権限・認証設定まで診断項目に含みます。SalesforceではMFA・SSOなどの認証設定や外部ユーザーのアクセス制限、証明書・鍵管理を確認します。GCPへの対応は公式ページに記載がありません。
Web・スマートフォンアプリ・IoTなどの診断メニューと同じブランドで提供されており、対象資産をまたいで依頼できます。準拠基準・所要期間は公式ページに明示がなく、料金は個別提案制で要お問い合わせです。
まとめ
クラウドのセキュリティ統制は、設定の検出・可視化を担う製品型と、規程策定・運用・監査の仕組み化を担う構築支援型の両輪で整います。責任共有モデルが示すとおり、設定・権限・データの管理は利用者の責任に残り続けるため、ここを個人の注意任せにせず仕組みとして持てるかが要点です。
製品型から始めるか、構築支援型で体制を整えるか、両者を併用するかは、本記事の選び方の観点と比較表で、対応クラウド・検査範囲・支援範囲・対応規格・サポート体制を照らし合わせれば絞り込めます。判断に迷う場合は選定診断も活用し、気になるサービスは資料請求や相談で、自社の要件に合うかを具体的にすり合わせてください。
一括ダウンロードする
よくある質問（FAQ）
Q. CSPM（クラウドセキュリティポスチャ管理）とは何ですか？
A. CSPMとは、クラウドの設定状態を継続的に読み取り、基準から外れた構成ミスや過剰な権限を自動で検出・可視化する製品機能です。ストレージの公開設定の誤りや退職者アカウントの放置、必要以上に強い権限といった構成上の不備や、コンプライアンス基準からの逸脱を人手に頼らず点検できます。
製品型のクラウドセキュリティガバナンスサービスの中心となる機能で、製品によってはワークロード保護（CWPP）やSaaSの設定管理（SSPM・CASB）と組み合わせて提供されます。
Q. クラウドセキュリティガバナンスサービスは製品型と構築支援型のどちらを選ぶべきですか？
A. クラウドセキュリティガバナンスサービスは、統制を自社で設計・運用できる人材がいて、まず設定の不備を継続的に把握したい段階なら製品型、ルールづくりや規格対応・監査対応の知見が社内に乏しい場合は構築支援型が向きます。判断の目安は、統制を運用できる人材の有無、マルチクラウドやSaaSの利用範囲の広さ、取引先や監査から規格対応を求められているかの3点です。
実務では、構築支援型でルールと運用体制を整えたうえで、日々の設定点検を製品型で自動化する併用も多く見られます。
Q. 製品型のツールを導入すれば、クラウドセキュリティガバナンスは完成しますか？
A. ツールの導入だけでは完成しません。設定の検出・可視化はツールで自動化できますが、どんな基準で設定するか、誰がいつ是正するか、監査でどう示すかというルールと運用は別に整える必要があります。
クラウドのガバナンスは「設定の検出・可視化（製品型が担う領域）」と「規程・運用・監査の仕組み化（構築支援型が担う領域）」の両輪で成り立つため、ツールの検出結果を是正・運用に結びつける体制まで含めて設計することが求められます。
Q. クラウドセキュリティガバナンスサービスの費用の目安はどのくらいですか？
A. 費用は提供形態によって大きく異なり、製品型は利用者数やクラウドリソース量に応じたサブスクリプション、構築支援型は評価範囲や環境規模に応じた個別見積もりが中心です。製品型には月額数万円規模から始められるものがある一方、構築支援型のアセスメントは対象環境の規模や複雑さによって数百万円規模になる例もあります。
多くは要問い合わせで、自社の対応クラウド数や支援してほしい範囲を伝えたうえで見積もりを取り、複数社を比較することをおすすめします。
Q. クラウドセキュリティガバナンスサービスの導入はどのような流れで進みますか？
A. 製品型はクラウドのAPI連携やアカウント登録で設定検査を始め、構築支援型は現状のアセスメント、規程・ガイドラインの策定、監査という段階を踏んで進みます。製品型はエージェントレスで短期間に可視化できるものもあります。構築支援型のうちツール診断型は報告書提出まで数週間程度、態勢評価やコンサルティング型は数か月規模になる例もあり、所要期間はサービスや対象範囲によって幅があります。
導入前に、どの工程をどこまで任せられるか、評価後に自走できる形まで引き渡してもらえるかを確認しておくと進めやすくなります。
Q. ISO/IEC 27017やISMAPへの対応は必須ですか？
A. ISO/IEC 27017やISMAPへの対応は、すべての企業に課される法的義務ではなく、取引先や監査からの要求に応じて必要になる位置づけです。ISO/IEC 27017は認証基準ではなくクラウド固有の実践の規範（ベストプラクティス）で、情報セキュリティマネジメントの認証規格であるISO/IEC 27001を土台に補足する関係にあります。
ISMAPは政府調達向けのクラウドサービスを評価・登録する制度で、米国発の報告フレームワークであるSOC 2とともに取引先要件として挙がることがあります。自社に求められる規格を確認し、その対応実績がある会社・製品を選ぶことが選定の起点になります。
Q. シャドーIT・シャドーAIの統制もクラウドセキュリティガバナンスに含まれますか？
A. 含まれます。未承認のクラウド利用（シャドーIT）や無断の生成AI利用（シャドーAI）の可視化・制御も、クラウドセキュリティガバナンスの対象です。製品型では、CASBやSSPMを備えるツールが未承認のクラウド・SaaS利用を検出し、製品によっては生成AIアプリの利用まで洗い出せます。
構築支援型では、クラウドやSaaS、生成AIの利用ルールを規程・ガイドラインとして定め、運用で守らせる面を担います。可視化（ツール）と利用ルールの整備（支援）を組み合わせることで、把握しきれていない利用を統制の範囲に取り込めます。
クラウドセキュリティガバナンス関連サービスの料金・資料を一括チェック
MCB FinTechカタログでは、クラウドの設定検査ツールやセキュリティ統制の構築支援サービスの最新資料を無料で一括請求できます。対応クラウドや支援範囲を比べながら、自社に合う候補を効率的に探せます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
