AWSやMicrosoft Azure、業務SaaSの利用が全社に広がる一方で、「誰がどのクラウドをどんな設定で使っているのか」を情報システム部門が把握しきれない、という声が増えています。設定ミスや権限の与えすぎ、申請を通さないまま使われるサービス（シャドーIT）は、そのまま情報漏えいや監査での指摘につながりかねません。
こうしたクラウド環境のセキュリティ統制（ガバナンス）を自社だけで整えきるのは簡単ではありません。規程やガイドラインの策定から、設定の点検、是正、監査・認証への対応まで任せられる会社やサービスを探すとき、どのような観点で比較すればよいのでしょうか。
本記事では、クラウドセキュリティガバナンスを支援・提供する17のサービスを比較・解説します。ガバナンスの構築・運用を支援する会社と、クラウド設定を継続的に点検する製品（CSPM／CNAPP）という2つの依頼先の違い・選び方・費用相場・認証対応の見極め方を整理しました。自社の体制と課題に合う依頼先を判断するための材料としてご活用ください。
また、貴社の状況に合わせて最適なサービスを最短で見つけられるよう、「30秒で終わる選定診断ツール」をご用意しています。ぜひこちらもご活用ください。
目次
一括ダウンロードする
クラウドセキュリティガバナンスとは？
クラウドセキュリティガバナンスとは、自社が使うクラウドサービス全体に対して、セキュリティに関する方針とルールを定め、その通りに運用されている状態を継続的に保つ取り組みを指します。具体的には、クラウドの利用規程やガイドラインの策定、アクセス権限や設定の管理、定期的なリスク評価、法令・業界基準への準拠確認までが含まれます。
オンプレミスの時代は社内ネットワークの境界を守れば済みましたが、クラウドでは利用者側の設定ミスがそのまま情報漏えいの原因になります。クラウド事業者とのあいだで「どこまでを事業者が守り、どこからを利用者が守るか」が分かれる責任共有モデルのもと、利用者が担う範囲を統制しきれるかどうかが問われます。
クラウドのセキュリティ統制が求められる背景
ここからは、クラウド環境でセキュリティガバナンスが欠かせなくなった背景を整理します。多くの企業で、次のような状態が同時に起きています。
- 設定ミス：ストレージの公開設定やアクセス制御の誤りが、気づかないうちに情報を外部から見える状態にしてしまう
- 権限の与えすぎ：退職者や異動者のアカウント、不要になった強い権限が放置され、侵害時の被害を広げる
- シャドーIT：情報システム部門の承認を経ずに現場が契約・利用するSaaSが増え、全体像が見えなくなる
- 監査・コンプライアンス対応：取引先や親会社、認証取得の過程で、クラウドの統制状況を説明する責任が生じる
これらは一度点検して終わりではなく、クラウドの設定変更や新しいサービスの追加に合わせて継続的に見直す必要があります。人手だけで追い切れなくなった結果、支援会社やツールに頼る企業が増えているのが実情です。
ガバナンスを支える考え方とCSPMの位置づけ
クラウドセキュリティガバナンスは、方針を決め、ルールを現場に落とし、守られているかを点検し、ずれを是正する、という流れを繰り返して成り立ちます。方針とルールづくりは人による判断が要る一方、点検は対象が多く変化も速いため、自動化の仕組みが効いてきます。
この点検を担うのが、CSPM（Cloud Security Posture Management：クラウドの設定状態を継続的に管理する仕組み）と呼ばれる製品群です。クラウドの設定を自動で読み取り、公開設定の誤りや過剰な権限、基準から外れた状態を検出して是正を促します。
近年は、設定の点検に加えてワークロードや権限、開発段階のコードまで横断的に守るCNAPP（Cloud Native Application Protection Platform）として提供されることも増えています。ガバナンスの全体像のうち、CSPM／CNAPPは「継続的な点検と可視化」を受け持つ位置づけです。
CSPMが具体的に何を点検するのか、CWPPやSSPM、CASB、CNAPPといった似た仕組みとどう違うのかを整理して理解しておきたい方は、以下の記事もあわせてご覧ください。
依頼先は「支援する会社」と「継続点検する製品」の2タイプ
クラウドセキュリティガバナンスの依頼先は、大きく2つのタイプに分かれます。自社がどこでつまずいているかによって、向いているタイプが変わります。ここでは、それぞれが何をどこまで担うかを整理します。
ガバナンス構築・運用を支援する会社
1つ目は、人が伴走してガバナンスの構築・運用を支援する会社です。コンサルティング会社やシステムインテグレーター、セキュリティ専業会社などが提供しています。現状のアセスメント（評価）から始まり、クラウド利用規程やガイドラインの策定、リスクの洗い出し、是正の実行支援、監査や認証取得への対応まで、企業ごとの事情に合わせて手当てします。
「何から手をつければよいか分からない」「社内に専門人材がいない」「監査や親会社への説明責任を果たす必要がある」といった、判断や体制づくりから任せたい企業に向きます。大手コンサルティング会社やシステムインテグレーター、セキュリティ専業会社、クラウドの導入・運用を支援する会社などが、この領域を担っています。
支援する会社の中にも、規程策定から是正まで継続的に伴走する本格的な支援と、クラウド設定を一度点検して報告するスポット型の診断があります。関与の深さ・期間・費用が変わるため、どこまでを任せたいかを先に決めておくと候補を絞りやすくなります。
クラウド設定を継続点検する製品（CSPM／CNAPP）
2つ目は、クラウドの設定を自動で継続的に点検する製品です。AWS・Azure・Google Cloudなどの設定を読み取り、公開設定の誤りや過剰な権限、基準から外れた状態を検出し、どこを直すべきかを示します。導入後は設定変更のたびに点検が回るため、人手による定期チェックよりも抜け漏れを抑えられます。
「クラウドの数が多く手作業の点検が追いつかない」「設定の不備を早く見つけて直したい」「運用の仕組みとして定着させたい」という企業に向きます。CSPM単体の製品から、ワークロード保護や権限管理まで含むCNAPPまで、カバー範囲には幅があります。
支援会社が製品の導入・運用を併せて支援するケースもあり、2つのタイプは排他的ではありません。どの製品・会社が各タイプに当たるかは、後述の比較表と個別紹介で紹介します。
自社に合う依頼先タイプがわかる選定診断
どちらのタイプが自社に合うか、どの製品・会社が課題に適するか迷う場合は、以下の選定診断をお試しください。優先したいリスクや社内の運用体制を選ぶと、適したタイプと候補が絞り込めます。
一括ダウンロードする
【比較表】クラウドセキュリティガバナンス支援会社・サービス比較
ここからは、クラウドセキュリティガバナンスの依頼先を客観的に比較・選定できるよう、支援する会社とCSPM／CNAPP製品を同じ表で横並びにして整理します。提供形態・主な対応範囲・対応クラウド・費用の目安を比較し、自社の課題に合う候補を絞り込む材料としてご活用ください。
| サービス名 | クラウドリスク評価（EY） | クラウドセキュリティ支援サービス（KPMG） | クラウドセキュリティ評価サービス（NRIセキュア） | クラウド設定評価サービス（NRIセキュア） | クラウドセキュリティ設定診断（ラック） | クラウドセキュリティ運用総合支援（クラスメソッド） | クラウドセキュリティ支援（NTT東日本） | クラウドセキュリティ評価サービス（セコムトラストシステムズ） | クラウドセキュリティ診断サービス（Sky） | Aikido Security | SentinelOne Singularity Cloud Security | Wiz | Prisma Cloud | Microsoft Defender for Cloud | Orca Security | Trend Vision One – Cloud Security | Aqua Security |
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| 提供形態 | 支援する会社（コンサル） | 支援する会社（コンサル） | 支援する会社（コンサル評価） | 支援する会社（ツール診断） | 支援する会社（設定診断） | 支援する会社（評価〜運用代行） | 支援する会社（導入・運用＋設定チェック） | 支援する会社（コンサル評価） | 支援する会社（設定診断） | 製品（SaaS／CSPM＋開発検査） | 製品（CNAPP） | 製品（CNAPP／エージェントレス） | 製品（CNAPP） | 製品（CNAPP） | 製品（CNAPP／エージェントレス） | 製品（CNAPP） | 製品（CNAPP） |
| 主な対応範囲 | リスク評価・態勢整備から規程・手続きの高度化、定常支援まで（4メニュー・金融機関向け） | 戦略策定・ガイドライン策定・評価からCASB／IDaaS導入まで（7メニュー） | 構成図の読み込みとヒアリングによる人手の評価・改善提案 | Prisma CloudのCSPMで600以上のルールを自動スキャン、約2週間でCIS項番付き報告 | 読み取り専用アカウントで設定を点検、10営業日程度でリスクレベル付き報告 | 現状評価・マルチアカウント設計・ガイドライン策定から製品導入・運用代行まで | クラウド導入・運用支援と、AWS環境の設定チェック（レポート・対策助言） | 文書査読とチェックリストに基づくヒアリングで、接続端末まで含めて評価（2か月程度） | AWS／Azureに加えSalesforceの権限・認証設定まで点検する診断 | 開発段階の検査（SAST・SCA）に、クラウド設定ミスを検出するCSPMを加えたオールインワン | 設定点検（CSPM）から実行時のワークロード保護、権限管理（CIEM）・データ／AIセキュリティまで | 設定不備・脆弱性・過剰な権限を検出し、攻撃経路の可視化と証跡の自動収集に対応 | 設定点検（CSPM）に、権限管理（CIEM）やデプロイ前のIaC点検を組み合わせて統制を点検 | 設定点検（CSPM・無料／有料の2階層）とワークロード保護（CWPP）、セキュアスコアで態勢を可視化 | SideScanningで設定ミス・脆弱性・過剰な権限・機密データ露出をまとめて検出 | Cloud Risk Managementが設定ミス検出とコンプライアンス監視を担い、攻撃経路分析・IaC点検にも対応 | コンテナ起点に設定点検（CSPM）・コード／イメージ検査・実行時保護（CWPP）を単一基盤で |
| 対応クラウド・環境 | 要お問い合わせ | 要お問い合わせ | AWS・Azure・Google Cloud・OCI | AWS・Azure・Google Cloud | AWS・Azure ほか | AWS中心 | AWS・Azure（設定チェックはAWS） | 要お問い合わせ（接続端末まで評価） | AWS・Azure・Salesforce | AWS ほか（クラウドアカウント接続） | 主要クラウド（詳細は要お問い合わせ） | 要お問い合わせ | AWS・Azure・Google Cloud ほか | Azure・AWS・Google Cloud・オンプレ（Azure Arc経由） | AWS・Azure・Google Cloud ほか（計6クラウド） | AWS・Azure・Google Cloud・Oracle Cloud・Alibaba Cloud | AWS・Azure・Google Cloud・Kubernetes ほか |
| 対応する認証・基準 | 要お問い合わせ | ISO/IEC 27017（評価のベース） | ISO/IEC 27017・CSA CCM（評価基準） | CIS Benchmarks（報告書に項番） NIST・GDPR・HIPAA参考のルール | CISベンチマーク（診断基準） | AWS Well-Architected・セキュリティ成熟度モデル（評価基準） | CIS AWS Foundations Benchmark・AWS基礎セキュリティのベストプラクティス（点検基準） | 要お問い合わせ | 要お問い合わせ | SOC 2 Type II・ISO/IEC 27001:2022・ISO 42001（開発元が取得） | 要お問い合わせ | ISO/IEC 27001・SOC 2 Type II・PCI DSS v4.0.1（提供元が取得） | 要お問い合わせ | 要お問い合わせ | 150以上のフレームワーク・CISベンチマークに対応（PCI DSS・SOC 2・HIPAA等） | 要お問い合わせ | FedRAMP・PCI DSS・SOC 2・HIPAA・NIST・CISベンチマークを継続評価 |
| 費用の目安 | 要お問い合わせ | 要お問い合わせ | 基本料金500万円〜（税別） | 要お問い合わせ | 要お問い合わせ | 要お問い合わせ | 設定チェックはIAMユーザー20個で264,000円（税込）〜 運用は月額5,500円（税込）〜 | 要お問い合わせ | 要お問い合わせ | 月額5万円台〜（AndGo経由・年契約／10人まで） 無料プランあり | 要お問い合わせ | 要お問い合わせ | 要お問い合わせ（従量課金） | プラン別従量課金（30日間無料） 実額は要お問い合わせ | 要お問い合わせ（従量課金） | 要お問い合わせ（30日間無料トライアルあり） | 要お問い合わせ |
| こんな企業に向く | 金融機関で規程・態勢整備から任せたい企業 | 戦略から製品導入まで一貫して任せたい企業 | 人手の評価と国際規格準拠の説明材料がほしい企業 | まず設定の不備を短期で洗い出したい企業 | AWS／AzureをCIS基準で設定点検したい企業 | AWS中心に評価から運用代行まで任せたい企業 | IT担当が少なく小さく始めたい企業 | 接続端末まで含め人手で評価してほしい企業 | SaaS（Salesforce）含め権限・認証を点検したい企業 | 内製開発があり日本語支援で導入したい企業 | 設定点検から実行時保護まで1製品で回したい企業 | 攻撃経路の優先順位付けで可視化したい企業 | コードから実行時まで広く統制したい企業 | Azure中心にマルチクラウドを横断可視化したい企業 | エージェントレスで広く点検したい企業 | 日本語公式で設定点検・監視を使いたい企業 | コンテナ／クラウドネイティブ中心の企業 |
| 詳細情報 | 公式サイト | 公式サイト | 公式サイト | 公式サイト | 公式サイト | 公式サイト | 公式サイト | 公式サイト | 公式サイト | 公式資料を見る | サービス詳細を見る | 公式サイト | 公式サイト | 公式サイト | 公式サイト | 公式サイト | 公式サイト |
※2026年10月時点の各社公式情報・公開資料にもとづく目安です。「対応する認証・基準」は各社が評価基準とする、または取得・対応を公表している規格・制度で、対応範囲は各社の最新情報をご確認ください。「要お問い合わせ」は金額・対応が公開されていない項目です。
クラウドセキュリティガバナンス支援会社・サービスの個別紹介
ここからは、比較表で取り上げた各社・各製品を、タイプ別に個別に紹介します。支援範囲や対応クラウド、特徴を確認し、自社の課題に合うかを見極めてください。
クラウドのセキュリティ統制を支援する会社
まず、規程策定やアセスメント、是正・監査対応までを人が伴走して支援する会社を紹介します。
1. クラウドリスク評価（EYストラテジー・アンド・コンサルティング株式会社）
EYストラテジー・アンド・コンサルティング株式会社が、金融機関のクラウド利用に向けて提供するリスク評価・体制整備の支援サービスです。クラウドリスク管理の枠組みと運用状況、管理手続きやクラウドサービスの設定を対象に評価し、規程・手続きの高度化案や脆弱性評価の結果を示します。
支援は、現状を把握するクラウドリスク管理態勢評価・クラウドリスク技術評価から、規程や体制を整えるクラウドリスク管理高度化支援、運用を継続的に支えるクラウドリスク管理態勢定常支援まで、4つのメニューで構成されます。単発の評価にとどまらず、是正方針づくりから運用の定着までを一連で依頼できる点が特徴です。
準拠する基準や料金、所要期間は公開されていないため、詳細は問い合わせで確認する必要があります。
2. クラウドセキュリティ支援サービス（KPMGコンサルティング株式会社）
KPMGコンサルティング株式会社のサイバーセキュリティアドバイザリーが手がける、クラウド利用のセキュリティを方針づくりから製品導入まで支援するサービスです。ポリシーや遵法といったガバナンス面と、可用性やデータ保護といったオペレーション面の両方を検討の対象とします。
メニューは、クラウドセキュリティ戦略策定支援やクラウドサービス利用ガイドライン策定支援といった上流から、CASB導入支援・IDaaS導入支援といった製品導入まで7つが並びます。評価にあたるクラウドセキュリティ評価サービスは、ISO/IEC 27017をベースにした自社の評価フレームワークを用い、推奨改善策とロードマップをまとめます。
調査の進め方や料金、所要期間は公開されておらず、要お問い合わせとなります。
3. クラウドセキュリティ評価サービス（NRIセキュアテクノロジーズ株式会社）
NRIセキュアテクノロジーズ株式会社のコンサルタントが、依頼企業のクラウド環境のセキュリティ対策状況を評価し、改善策を提示するサービスです。AWS・Microsoft Azure・Google Cloud・Oracle Cloud Infrastructureに対応します。評価は、ツールの自動スキャンではなく、システム構成図や設計書の読み込みと担当者へのヒアリングをもとに行います。
評価の基準には、ISO/IEC 27017と、クラウドセキュリティ統制のフレームワークであるCSA CCM（Cloud Security Alliance Cloud Control Matrix）を用います。対象システムの把握、対策観点の抽出、現状評価、改善策の立案という流れで進み、改善策はクラウドサービス固有の機能や設定まで踏み込んで提案されます。
料金は個別見積もりで、基本料金は500万円〜（税別）と公表されています。評価対象の規模や複雑さに応じて変動します。
4. クラウド設定評価サービス（NRIセキュアテクノロジーズ株式会社）
依頼企業のクラウドアカウント全体をツールで自動スキャンし、設定の不備を洗い出すスポット診断サービスです。NRIセキュアテクノロジーズが提供し、パロアルトネットワークスのクラウドセキュリティプラットフォーム「Prisma Cloud」のCSPM（クラウドの設定状態を継続管理する機能）を用います。
対象はAWS・Microsoft Azure・Google Cloudの3クラウドで、600以上の検出ルールにもとづきネットワーク・アカウント・設定／管理機能の3区分を点検します。検出ルールはCIS BenchmarksやNISTなどの業界標準を参考にしており、報告書にはCIS Benchmarksの該当項番が記載されます。
報告書の提出まで約2週間で、提出後は3カ月間・12件までのQ&Aサポートが付きます。設定を見直した後の再評価は、あらためて申し込む形になります。料金は個別見積もりのため要お問い合わせです。
5. クラウドセキュリティ設定診断（株式会社ラック）
株式会社ラックが、顧客のクラウド環境に読み取り権限のみの診断用アカウントを発行してもらい、リモートで設定を点検するスポット診断サービスです。AWSやMicrosoft Azureなどの環境に対応し、本番環境への影響を抑えながら設定の不備を洗い出します。
診断は、米国の非営利団体CIS（Center for Internet Security）が策定するCISベンチマークを基準とします。検出した問題点にリスクレベルや推奨対策を添えた報告書を、診断後10営業日程度で提出します。
ラックはセキュリティ監視センターJSOCやサイバー救急センターを擁しており、診断で見つかった課題を監視・緊急対応につなげられます。料金は個別見積もりのため、詳細は問い合わせで確認します。
6. クラウドセキュリティ運用総合支援サービス（クラスメソッド株式会社）
クラスメソッド株式会社が、AWS環境のセキュリティを現状評価から設計・導入支援、運用代行まで一貫して提供するサービスです。単一アカウントから数百アカウント規模までを想定し、評価のみ・運用のみといった部分的な依頼にも対応します。
現状評価では、AWSセキュリティ成熟度モデルとWell-Architectedフレームワークで課題と優先度を整理します。あわせて、AWS OrganizationsやAWS Control Towerを用いたマルチアカウント基盤の設計・構築、ガイドライン策定、WizやTrend Vision Oneなどの製品導入・運用まで手がけます。
メニューごとの期間の目安は、現状評価が1ヶ月〜、マルチアカウント設計・導入が2ヶ月〜、ガイドライン策定支援が4ヶ月〜と示されています。対応はAWS環境が中心で、料金は支援範囲と対象アカウント数に応じた個別提案です。
7. クラウドセキュリティ支援（NTT東日本株式会社）
社内にIT担当者が少ない企業に向けて、NTT東日本株式会社がAWS・Microsoft Azureの導入・運用と、AWS環境のセキュリティ設定チェックを提供する支援サービスです。計画から構築、運用までを同じ窓口で相談できます。
クラウドセキュリティチェック for AWSでは、運用中のAWS環境の設定を第三者の視点で点検し、CIS AWS Foundations BenchmarkやAWS基礎セキュリティのベストプラクティスに沿って、レポートと対策を助言します。設定の修正は別途有償での対応です。
費用は公開されており、クラウドセキュリティチェック for AWSはIAMユーザー20個の場合で264,000円（税込）が例として示されています。導入・運用サービスは最低契約期間がなく、運用は月額5,500円（税込）のエントリープランから選べます。
8. クラウドセキュリティ評価サービス（セコムトラストシステムズ株式会社）
セコムトラストシステムズ株式会社が提供する、クラウド環境のセキュリティ対策状況を評価するコンサルティング型のサービスです。クラウドだけでなく、接続するクライアント端末の環境まで含めて評価範囲とする点を公式に掲げています。
評価は、ツールによる自動チェックではなく、関連文書の確認とチェックリストに基づくヒアリングという人手の調査で進め、結果をリスク評価報告書にまとめます。所要期間は2か月程度とされ、料金は公開されていないため要お問い合わせとなります。
9. クラウドセキュリティ診断サービス（Sky株式会社）
Sky株式会社が、顧客が利用するクラウド環境の設定を対象に行う診断サービスです。AWS・Microsoft Azureに加えてSalesforceを診断対象に含めており、コンサルタントやアナリストが設定を確認します。
AWSではIAMやロギング、ネットワークセキュリティポリシーなどを、AzureではSecurity Centerやストレージアカウント、仮想マシンの暗号化状況などを点検します。SalesforceではMFA・SSOといった認証設定や外部ユーザーのアクセス制限まで確認します。
Web・スマートフォンアプリ・IoTなどの診断と同じセキュリティ診断ソリューションの一部として、対象をまたいで依頼できます。料金は課題や要望に応じた個別提案制で、公開されていません。
クラウドの設定を継続的に点検する製品（CSPM／CNAPP）
次に、クラウドの設定を自動で継続点検する製品を紹介します。対応するクラウドや、設定点検以外にカバーする範囲（ワークロード保護・権限管理など）に違いがあります。
10. Aikido Security（株式会社AndGo）
Aikido Securityは、ソースコードの静的解析（SAST）や依存パッケージの脆弱性検査（SCA）、シークレット検出など、開発段階のセキュリティ検査を1つにまとめたSaaSです。開発元はベルギーのAikido Security BVで、日本では株式会社AndGoが正規代理店として、日本語の管理画面・ドキュメントや日本円での請求に対応して提供しています。
機能は「Code」「Cloud」「Attack」「Protect」の4区分で構成され、このうちCloud区分に、クラウドの設定ミスを検出するCSPMが含まれます。AWSなどのクラウドアカウントに接続し、外部から侵入されうる設定になっていないかを点検します。ただし製品の中心は開発者向けの検査にあり、クラウド設定の点検はその一部という位置づけです。
検出した脆弱性に対しては、修正コードのプルリクエストをAIが生成するAutoFixを備え、レビューを経てマージする流れで是正を進められます。無料で使えるDeveloperプラン（2ユーザーまで）があり、AndGo経由の有料プランは年間契約・利用者10人までで月額5万円台からと案内されています。
どのような企業で導入が進みやすいのか。日本提供元である株式会社AndGoの原氏は、インタビューで導入が進みやすい組織像を次のように説明しています。
基本は、自社でサービスを提供していて、内製でアプリ開発をしている企業です。特にSaaSスタートアップはフィットしやすいです。一方で大企業でも、顧客向けのサービスを自社チームで作っている場合は同じ悩みを持つので、導入の効果が出やすいです。
もう一点、導入が進みやすいのは、CTOなど技術責任者がいて、開発の現場が主となってセキュリティ論点に対する意志決定ができる組織です。逆に、内部統制が強すぎて現場が動けない場合や、SOC外注に寄りすぎて開発環境の優先度が落ちている場合は、価値が出るまでに時間がかかることがあります。
11. SentinelOne Singularity Cloud Security（SentinelOne Japan株式会社）
クラウドの設定管理から実行中のワークロード保護までを1つの製品でカバーするのが、SentinelOne Singularity Cloud Security（米SentinelOne, Inc.）です。日本ではSentinelOne Japan株式会社が窓口を担います。CNAPPとして、設定・権限・脅威検知を横断的に扱うと説明されています。
クラウド設定の継続点検はCSPM（クラウドセキュリティ態勢管理）が担い、悪用されうるリスクを優先順位付けして、本番環境に到達する前の修正を促します。あわせて、コンテナや仮想マシンを実行時に保護するランタイム保護（CWPP）、権限管理（CIEM）、データセキュリティ（DSPM）、AIセキュリティ（AI-SPM）を同一製品として備えます。
クラウド・エンドポイント・アイデンティティの監視データを単一のデータ基盤で相関分析する点を特徴として掲げ、同社のSingularity Platformと基盤を共有します。対応クラウドは主要なクラウドプロバイダーとされ、料金は公開されていないため要お問い合わせです。
12. Wiz（Wiz, Inc.）
Wizは、クラウド環境にエージェントを導入せずに接続してリスクを可視化する、エージェントレス型のCNAPPです。Wiz, Inc.が開発し、日本では日本法人のWiz Cloud Japan株式会社と国内パートナーが販売・導入支援を担います。
導入企業のクラウドアカウントに接続し、仮想マシンやコンテナ、ストレージ、データベースなどをスキャンして、設定不備や脆弱性、過剰な権限といったリスクを検出します。検出結果はセキュリティグラフ上で関連づけ、攻撃経路につながる危険な組み合わせを抽出して、対応すべきリスクに優先順位を付けます。
製品は、コード段階のWiz Code、クラウドのリスク予防を担うWiz Cloud、実行時の保護と脅威検出を担うWiz Defendで構成されます。コンプライアンス対応に向けた証跡の自動収集にも対応します。料金は公開されておらず、要お問い合わせです。
13. Prisma Cloud（パロアルトネットワークス株式会社）
「Code to Cloud」を掲げるPrisma Cloud（パロアルトネットワークス株式会社）は、コードの記述から実行時までを対象範囲とします。開発段階のコード検査から、クラウド設定の点検、稼働中ワークロードの保護までを単一のプラットフォームで扱うCNAPPです。
クラウド設定の継続点検はCSPM（クラウドセキュリティ態勢管理）が担い、過剰な権限を検出するCIEM（クラウドインフラ権限管理）や、デプロイ前にテンプレートを点検するIaCセキュリティと組み合わせて設定統制を点検します。インフラ段階ではエージェントレスのワークロードスキャンやAPIの可視化にも対応します。
料金はクレジットを消費する従量計測で、保護対象のリソースごとにライセンスが必要になります。公開価格は示されておらず、要お問い合わせです。また、公式ページにはCNAPPがCortex CDRと組み合わさり「Cortex Cloud」になるとの記載があり、製品の位置づけは再編が進んでいます。
14. Microsoft Defender for Cloud（Microsoft Corporation）
Azureに標準で組み込めるのが、Microsoft Defender for Cloud（米Microsoft Corporation）です。クラウドセキュリティ態勢管理（CSPM）とクラウドワークロード保護（CWPP）を統合し、AzureのほかAWSやGoogle Cloud、Azure Arc経由のオンプレミス環境まで横断的に可視化・保護できます。
設定の点検を担うCSPMには、無料のFoundational CSPMと有料のDefender CSPMの2階層があり、クラウド資産のセキュリティ状態を継続的に可視化してセキュアスコアや推奨事項を示します。ワークロード保護は、サーバー・コンテナー・ストレージ・データベースなど、対象ごとのプランに分かれています。
検知した脅威はアラートと修復ガイダンスとして提示する、態勢管理・検知が中心で、Azureポータルから有効化して使います。最初の30日間は無料で、以降はプランごとの従量課金に移行します。実額は料金ページ上に表示されないため、Azure料金計算ツールや問い合わせで確認します。
15. Orca Security（Orca Security Ltd.）
Orca Securityは、Orca Security Ltd.が提供する「Orca Cloud Security Platform」と呼ばれるCNAPPです。独自のSideScanning技術により、ワークロードにエージェントを入れず、クラウドのAPI経由で導入企業自身のクラウド環境をスキャンします。
対応クラウドはAWS・Azure・Google Cloudなど6種類で、設定ミスや脆弱性、認証情報の漏えい、過剰な権限、機密データの露出などをまとめて検出します。150以上のコンプライアンスフレームワークとCISベンチマークへの自動マッピングに対応し、PCI DSSやSOC 2、HIPAAなどを含みます。
料金は階層を設けない単一SKUで、保護するクラウドワークロード数に応じた従量課金ですが、実額は公開されていないため要お問い合わせです。日本国内では、複数の販売代理店やSIパートナー経由での提供が中心です。
16. Trend Vision One – Cloud Security（トレンドマイクロ株式会社）
Trend Vision One – Cloud Security（現行ページの表記はTrendAI Vision One Cloud Security）は、トレンドマイクロ株式会社が提供する、ハイブリッドクラウド環境を保護する製品です。単一のダッシュボードからリスクや攻撃経路を確認し、継続的なリスク監視や脆弱性評価、コンプライアンス対応のレポートを一元的に扱えます。
クラウド設定の継続点検は、ラインナップ内のCloud Risk Managementが担い、設定ミスの検出とコンプライアンス監視を行います。デプロイ前にIaCテンプレートを点検するスキャンや、エージェントを使わない脆弱性・マルウェアのスキャンにも対応します。攻撃経路の分析はAWS・Azure・Google Cloud・Oracle Cloud・Alibaba Cloudを対象とします。
ワークロード保護やコンテナ、コード、XDRなどの製品を同一ブランド内に束ねており、クラウド設定の点検と合わせて利用できます。料金は公開されておらず要お問い合わせですが、TrendAI Vision Oneの全機能を30日間無料で試せる案内があります。
17. Aqua Security（Aqua Security Software Ltd.）
Aqua Securityは、コンテナセキュリティを起点に、コードからクラウド、実行時までを単一のプラットフォームで扱うCNAPP「Aqua Cloud Security Platform」です。イスラエル発のクラウドネイティブセキュリティ専業ベンダーであるAqua Security Software Ltd.が開発しています。
クラウド設定の継続点検はPosture Managementに含まれるCSPMが担い、ワークロードの可視化と組み合わせて提供されます。あわせて、イメージやリポジトリの脆弱性・設定不備をスキャンするCode Security、稼働中ワークロードの挙動を監視するRuntime Security（CWPP）を備えます。
対応環境はAWS・Azure・Google Cloud・Kubernetes・OpenShiftなどで、パブリッククラウド以外の切り離し環境も対象とすると記載されています。FedRAMPやPCI DSS、SOC 2などのフレームワークを継続評価できます。料金は公開されておらず、要お問い合わせです。
クラウドセキュリティガバナンスの依頼先の選び方
ここからは、依頼先を選ぶときに確認したい観点を整理します。自社の課題の見極めから、タイプの選択、認証・監査対応の確認へと順に進めると、候補を絞り込みやすくなります。
自社の課題から優先的に潰すべきリスクを見極める
最初に見極めたいのは、自社のクラウド利用でどのリスクが最も差し迫っているかです。優先すべきリスクによって、必要な支援・機能が変わります。
設定ミスや公開範囲の誤りが不安なら、設定を継続点検する機能（CSPM）が中心になります。退職者のアカウントや過剰な権限が放置されているなら、権限の棚卸しと権限管理が軸になります。そもそも利用中のクラウドやSaaSの全体像がつかめていないなら、まず棚卸しとアセスメントから始められる支援会社が向きます。監査や認証取得が目前なら、その基準に沿った整備と証跡づくりを支援できる相手が候補です。
複数が当てはまる場合は、最も被害が大きくなりうるもの、または期限が近いものから優先順位を付けると整理しやすくなります。
「支援する会社に頼む」か「CSPM製品で回す」かの判断軸
優先するリスクが見えたら、次の分かれ目は、人に任せる（支援会社）か、ツールで回す（CSPM／CNAPP製品）かです。判断の軸は、社内に運用できる人材と体制があるかどうかにあります。
方針や規程がまだ定まっておらず、何を基準に整えるかの判断から任せたい場合は、支援する会社が向きます。アセスメントで現状を可視化し、自社の事情に合わせて規程・体制づくりまで伴走してもらえるためです。一方、方針や運用担当はすでにあり、点検の抜け漏れや工数を減らしたい段階なら、CSPM／CNAPP製品を導入して運用に組み込むほうが費用を抑えやすくなります。
両方が必要になることも珍しくありません。製品を入れても、検出された問題をどう直し、どう運用に定着させるかは人の判断が要るためです。その場合は、製品の導入・運用支援まで一社で引き受けられる会社を選ぶか、製品ベンダーと支援会社を組み合わせる形を検討します。自社だけで運用を回し切れるかを、導入前に正直に見積もることが大切です。
認証・監査対応（ISMAP・ISO/IEC 27017・SOC 2・個人情報保護法）を見据えて見極める
監査や取引先・親会社への説明が必要な企業では、依頼先が認証・監査の枠組みにどう対応できるかも見極めたい観点です。代表的な制度・規格の性格を押さえておくと、過不足のない要求につながります。
ISMAP（政府情報システムのためのセキュリティ評価制度）は、政府が求めるセキュリティ要求を満たしたクラウドサービスをあらかじめ評価・登録する制度です。制度の基本規程では、その目的を次のように定めています。
本制度は、政府が求めるセキュリティ要求を満たしているクラウドサービスを予め評価・登録することにより、政府のクラウドサービス調達におけるセキュリティ水準の確保を図り、もってクラウドサービスの円滑な導入に資することを目的とする。
出典：政府情報システムのためのセキュリティ評価制度（ISMAP）基本規程（1.2 本制度の目的）｜ISMAP運営委員会
ISMAPは会社が取得する認証ではなく、クラウドサービス側が評価・登録される制度である点に注意します。読者の立場では「導入を検討する製品がISMAPに登録されているか」「支援会社がISMAP登録サービスの選定や対応を支援できるか」という見極め軸になります。
ISO/IEC 27017は、クラウドサービスの提供者と利用者の双方に向けて、情報セキュリティ管理策の実践を示した国際規格です（ISO/IEC 27002を補完するクラウド向けの実践規範）。クラウド固有の管理策に沿って運用を整えたいとき、依頼先がこの規格に基づく管理策に対応できるかが参考になります。
ISO/IEC 27017に基づく管理策は、情報セキュリティマネジメントの認証であるISO/IEC 27001の取得と併せて語られることが多く、単独の認証かどうかは各社の説明で確認するのが確実です。
SOC 2は、サービスを受託する事業者（クラウド事業者など）の統制を、公認会計士が検証して報告する枠組みです。対象領域はセキュリティ・可用性・処理の完全性・機密保持・プライバシーの5つの観点で、委託先であるクラウドの統制状況を第三者の検証を通じて確認したいときに手がかりになります。
候補がクラウド事業者であれば、SOC 2報告書を提示できるかを確認すると、統制状況を客観的に把握できます。
加えて、クラウド上で個人データを扱う場合は、個人情報の保護に関する法律（個人情報保護法）との関係も論点になります。個人情報保護委員会は、クラウド利用が委託先の監督対象となる第三者提供・委託に当たるかの判断基準を次のように示しています。
クラウドサービスの利用が、本人の同意が必要な第三者提供（法第27条第１項）又は委託（法第27条第５項第１号）に該当するかどうかは、保存している電子データに個人データが含まれているかどうかではなく、クラウドサービスを提供する事業者において個人データを取り扱うこととなっているのかどうかが判断の基準となります。
出典：「個人情報の保護に関する法律についてのガイドライン」に関するQ&A（Q7-53）｜個人情報保護委員会
クラウド事業者が個人データを取り扱わない契約・アクセス制御になっている場合は委託先の監督義務は生じませんが、その場合でも利用する企業自身には安全管理措置を講じる義務が残ります。依頼先が、こうしたクラウド利用時のコンプライアンス論点を踏まえて設定・運用を支援できるかも確認しておくとよいでしょう。
各制度・規格への個別の対応状況（登録・認証の有無や対応範囲）はサービスごとに異なります。下の比較表の「対応する認証・基準」欄で候補を横並びに確認し、詳細は各社の公式情報で確かめてください。
出典・参考資料（4件）
クラウドセキュリティガバナンス支援の費用・期間の相場
ここからは、依頼先タイプごとの費用と期間の考え方を、公開されている具体額とあわせて整理します。クラウドセキュリティガバナンスの支援・製品は多くが個別見積もりで金額を非公開としていますが、一部の会社・製品は目安を公開しています。費用が決まる仕組みと公開例の両方を押さえると相場観がつかめます。
支援する会社に頼む場合は、プロジェクト単位の費用が基本です。アセスメントだけをスポットで依頼する、規程策定や是正の実行支援まで含めて継続的に依頼する、といった範囲の広さで金額が変わります。対象とするクラウドの数や拠点・契約の規模、求める成果物の量によっても増減するため、まず現状を伝えて見積もりを取り、対応範囲と金額の対応関係を確認する流れになります。
期間も、現状把握中心の短期から、規程整備・是正まで含む数か月規模まで幅があります。公開例では、設定診断のようなスポット型で約2週間〜10営業日程度、評価範囲の広いものでは2か月程度と示されています。
金額の公開例としては、本格的な評価・支援で基本料金500万円〜（税別）、クラウド設定チェックでIAMユーザー20個あたり264,000円（税込）、運用のエントリープランで月額5,500円（税込）からといった水準が公開されています。どの会社・製品がいくらかは、比較表の「費用の目安」欄で確認できます。
CSPM／CNAPP製品を導入する場合は、月額または年額のサブスクリプションが基本です。保護対象のクラウドアカウント数やワークロードの量などに応じて費用が決まる従量型が多く、対象が増えるほど費用も上がります。多くの製品が金額を公表しておらず「要お問い合わせ」としているため、自社の対象規模を伝えて見積もりを取ります。
無料トライアルを用意している製品もあり、導入前に自社環境での検出内容と運用負荷を確かめられる場合があります。公開例では、2ユーザーまでの無料プランや、有料プランを月額5万円台から提供する製品があります。
ほかにも、最初の30日間を無料とし以降は従量課金とする製品や、全機能を30日間試せる製品があります。こうした無料枠やトライアルは、課金前に対象規模あたりの費用感をつかむ手がかりになります。どの製品が該当するかは比較表・個別紹介で確認できます。
費用を比べるときは、提示された金額に何が含まれるか（点検だけか、是正の実行支援まで含むか）まで合わせて確認することが大切です。安く見える見積もりでも対応範囲が狭ければ、別途人手や追加費用が必要になることがあります。
まとめ
クラウドセキュリティガバナンスの依頼先は、規程策定やアセスメントから是正・監査対応まで人が伴走する「支援する会社」と、クラウド設定を自動で継続点検する「CSPM／CNAPP製品」の2タイプに大きく分かれます。方針や体制づくりから任せたいなら支援会社、点検の抜け漏れや工数を減らしたいなら製品が向き、両方を組み合わせる選択も現実的です。
選ぶときは、自社で最も差し迫ったリスクを見極め、人に任せるかツールで回すかを判断し、必要な認証・監査対応に合うかを確認する順で進めると、候補を絞り込みやすくなります。費用は個別見積もりが中心のため、対応範囲まで含めて比較することが欠かせません。まずは気になるサービスの資料を取り寄せ、自社の課題に合うかを具体的に確かめてみてください。
一括ダウンロードする
よくある質問（FAQ）
Q. クラウドセキュリティガバナンスとは何ですか？
A. クラウドセキュリティガバナンスとは、自社が利用するクラウド全体にセキュリティの方針・ルールを定め、その運用を継続的に保つ取り組みです。利用規程やガイドラインの整備、権限・設定の管理、定期的なリスク評価、法令・業界基準への準拠確認などが、その中身にあたります。
クラウドでは利用者側の設定ミスがそのまま情報漏えいの原因になるため、利用者が担う範囲を統制しきれるかどうかが問われます。
Q. CSPM・CNAPPとは何ですか？
A. CSPM（Cloud Security Posture Management）とは、クラウドの設定を自動で読み取り、公開設定の誤りや過剰な権限、基準から外れた状態を継続的に検出して是正を促す仕組みです。
これに加えて、ワークロード保護・権限管理・開発段階のコード検査までを横断的にカバーする製品はCNAPP（Cloud Native Application Protection Platform）と呼ばれます。クラウドセキュリティガバナンス全体のうち、CSPM／CNAPPは「継続的な点検と可視化」を受け持つ部分にあたります。
Q. クラウドセキュリティガバナンスは支援する会社と製品のどちらに頼むべきですか？
A. クラウドセキュリティガバナンスの依頼先は、方針や規程づくりから任せたいなら支援する会社、点検の抜け漏れや工数を減らしたいならCSPM／CNAPP製品が向きます。判断の分かれ目は、社内に運用できる人材と体制があるかどうかです。方針や運用担当がすでにある段階なら製品を導入して運用に組み込むほうが費用を抑えやすく、何を基準に整えるかの判断から任せたい場合は支援会社が適します。
製品を入れても検出された問題の是正と運用定着には人の判断が要るため、両方を組み合わせる選択も珍しくありません。
Q. クラウドセキュリティガバナンス支援の費用の目安はどのくらいですか？
A. クラウドセキュリティガバナンスの費用は、支援する会社はプロジェクト単位、CSPM／CNAPP製品は月額・年額のサブスクリプションが基本で、多くが個別見積もりです。公開例としては、本格的な評価・支援で基本料金500万円〜（税別）、クラウド設定チェックでIAMユーザー20個あたり264,000円（税込）といった水準があります。
多くの会社・製品が対応範囲や対象規模に応じた個別見積もりのため金額を公表しておらず、「要お問い合わせ」となるのが実情です。費用を比べるときは、提示額に点検だけが含まれるのか是正の実行支援まで含むのかまで確認することが大切です。
Q. クラウドセキュリティガバナンスの診断・支援にはどのくらいの期間がかかりますか？
A. クラウドセキュリティガバナンスの所要期間は、設定診断のようなスポット型で2週間〜10営業日程度、規程整備や是正まで含む支援では数か月規模が目安です。公開例では、設定評価で報告書提出まで約2週間、評価範囲の広いもので2か月程度、現状評価で1か月〜といった幅が示されています。
CSPM／CNAPP製品はクラウドアカウントに接続すれば点検が始まりますが、検出結果を運用に定着させるまでの期間は別途見込む必要があります。
Q. クラウドセキュリティガバナンスの製品は無料トライアルで試せますか？
A. 一部のCSPM／CNAPP製品は無料プランや無料トライアルを用意しており、導入前に自社環境での検出内容と運用負荷を確かめられます。2ユーザーまでの無料プランや、30日間の無料トライアルを提供する製品があり、どの製品が該当するかは比較表・個別紹介で確認できます。
一方、支援する会社のアセスメントは個別の契約が前提のため、まずは問い合わせや資料請求で支援範囲と費用を確認する流れになります。
Q. クラウドセキュリティガバナンスは中小企業でも依頼できますか？
A. 中小企業でも依頼でき、社内にIT担当者が少ない企業向けに導入・運用から支援する会社や、小規模から始められる製品があります。最低契約期間のない月額5,500円（税込）のエントリープランや、無料プランから始められる製品も公開例にあります。
評価や運用の一部だけを切り出して依頼できる会社もあるため、自社の体制と予算に合わせて対象範囲を絞り込むと、無理のない形で始められます。
Q. クラウドセキュリティガバナンスは自社で内製できますか？
A. クラウドセキュリティガバナンスは、方針と運用担当が社内にあればCSPM／CNAPP製品を導入して内製で回せますが、判断や体制づくりから必要な場合は外部の支援会社に頼るのが現実的です。製品を導入しても、検出された問題をどう直し、どう運用に定着させるかは人の判断が要ります。内製化を目指す場合は、運用の立ち上げを伴走しつつ社内移管まで支援する会社を選ぶと、将来的に自走しやすくなります。
自社だけで運用を回し切れるかを導入前に正直に見積もることが大切です。
Q. 依頼先がISMAP・ISO/IEC 27017・SOC 2に対応しているかはどう確認すればよいですか？
A. これらは、ISMAPは製品が評価・登録される制度、ISO/IEC 27017はクラウド向けの情報セキュリティ管理策を示した国際規格、SOC 2は第三者が事業者の統制を検証する報告の枠組みで、それぞれ見る対象が異なります。ISMAPは会社が取得する認証ではないため「導入する製品が登録されているか」「支援会社が登録サービスの選定・対応を支援できるか」を見ます。
ISO/IEC 27017はISO/IEC 27001の取得と併せて語られることが多く、SOC 2は委託先であるクラウドの統制状況を確認する手がかりになります。個別の対応状況はサービスごとに異なるため、比較表と各社の公式情報で確認してください。
Q. クラウドセキュリティガバナンスはAWS・Azure・Google CloudやSaaSに対応していますか？
A. 多くの支援会社・製品がAWS・Microsoft Azure・Google Cloudの主要クラウドに対応し、一部はSalesforceなどのSaaSや、Kubernetes・オンプレミス環境まで対象とします。SaaSを診断対象に含むものや、パブリッククラウド以外の切り離し環境まで対象とするものもあります。
一方で、特定のクラウド（たとえばAWS）を中心とするサービスもあります。対応するクラウドやSaaSの範囲はサービスごとに差があるため、自社が使っている環境をカバーできるかを比較表で確認してください。
クラウドセキュリティガバナンス支援サービスの資料を一括チェック
MCB FinTechカタログでは、クラウドのセキュリティ統制を支援する会社やCSPM/CNAPP製品の最新資料を無料で一括請求できます。支援範囲・対応クラウド・費用を比べて、自社の課題に合う依頼先を効率的に検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
