クラウドセキュリティ製品一覧｜守る対象別の種類（CASB・CSPM・EDR等）と代表製品・選び方

クラウドサービスの利用が社内の各部門に広がると、守るべき対象は社員が使うSaaS、自社で構築したIaaS/PaaS、端末、メール、ネットワークへと一気に増えます。ところが製品を調べ始めると、CASB・SASE・CSPM・EDRといった略語が次々に出てきて、どれが自社に必要なのか見当をつけにくいのが実情です。

クラウドセキュリティ製品は、ばらばらに並べると違いが掴みにくいものの、「何を守るための製品か」という守る対象の種類で整理すると一気に見通しが立ちます。SaaSの利用統制、どこからでも安全につなぐ基盤、クラウド基盤の設定ミス対策、端末・サーバの脅威検知、ネットワーク監視、クラウドメール対策——この6つの軸で捉えると、自社がいま埋めるべき穴がどこかが見えてきます。

本記事では、クラウドを守る製品を守る対象の種類ごとに一覧で整理し、各種類が何を守り・どんな企業に向き・代表的な製品は何かを一枚で確認できるようにまとめました。種類の交通整理に続けて、選び方・導入時の注意点・種類別の比較表・各製品の詳細まで、自社に合うタイプと製品を絞り込める構成にしています。

「自社はどの種類から手を付けるべきか」の当たりを早くつけたい場合は、記事中ほどの診断ツールで守りたい対象と運用体制を選ぶと、適した種類と製品の候補が表示されます。あわせてご活用ください。

本記事はクラウドを守る製品に絞って整理しています。端末・ネットワーク・ID・データ・監視運用まで含めた社内セキュリティ全体を見渡し、どのタイプから優先すべきか考えたい場合は、守る対象別にソリューションを比較した以下の記事もあわせてご覧ください。

クラウドセキュリティ製品とは｜なぜ「守る対象の種類」で整理するのか

クラウドセキュリティ製品とは、SaaS・IaaS・PaaSといったクラウドサービスの利用にともなう情報漏えいや不正アクセス、設定ミスなどのリスクから、自社のデータ・システム・利用者を守るための製品の総称です。守る対象が広いため一つの製品ですべてを賄うことは難しく、役割の異なる製品を組み合わせて使うのが一般的です。

製品名や略語を先に覚えようとすると違いが頭に入りにくいため、本記事では「その製品が何を守るためのものか」という守る対象で種類を分けて整理します。守る対象がはっきりすると、自社でいま手薄になっている領域に対応する種類が見つけやすくなり、過不足のない選定につながります。

クラウド利用で高まるセキュリティリスク

ここでは、クラウド利用の拡大にともなって高まる代表的なリスクを整理します。守る対象の種類を考える土台になります。

• 不正アクセスによる情報漏えい：認証情報の窃取やアクセス権限の不備により、社外からクラウド上のデータに侵入される
• クラウド設定のミス：公開範囲や権限設定の誤りで、本来は非公開のデータが外部から閲覧可能になる
• 従業員による意図しないデータ流出：許可されていないクラウドサービス（シャドーIT）の利用や、誤送信・持ち出しによる漏えい
• 端末・メール経由のマルウェア感染：標的型メールや不正サイトを起点に、端末やクラウド環境へ被害が広がる
• サービス停止・データ消失：障害や攻撃による可用性の低下、バックアップ不備によるデータの喪失

これらのリスクは、守る対象（利用するSaaS、自社で構築したクラウド基盤、端末、メール、ネットワーク）ごとに対策が分かれます。だからこそ、製品を守る対象の種類で捉えると必要な備えが整理しやすくなります。

責任共有モデル｜クラウド（SaaS/PaaS/IaaS）で自社が守るべき範囲

どの種類の製品が必要かを考える前提として、「クラウドのどこまでを自社が守るのか」を押さえておく必要があります。クラウドのセキュリティは、事業者と利用者が役割を分担して守る「責任共有モデル」という考え方が基本になります。総務省のガイドラインは、この考え方を次のように説明しています。

クラウドサービスの情報セキュリティを高めるためには、クラウドサービス事業者とクラウドサービス利用者が協力して、クラウドサービスに対する責任を共有する必要がある。この責任を共有するという考え方（責任共有モデルと呼ぶ）を多くのクラウドサービス事業者が採用している。

出典：総務省「クラウドサービス利用・提供における適切な設定のためのガイドライン」（令和4年10月）

重要なのは、自社が守るべき範囲が利用形態によって変わる点です。同ガイドラインは「クラウドサービス利用者の責任範囲は、SaaS、PaaS 及び IaaS の利用形態によって変化する」と明記しています。

おおまかには、SaaSでは利用者アカウントや業務データの設定が自社の責任、IaaSでは仮想環境上で動作するOSを含むすべてのソフトウェアの管理が自社の責任となり、利用形態がIaaSに近づくほど自社の守備範囲が広がります。

SaaS中心の利用なら利用状況の可視化やアカウントの統制が中心になり、自社でIaaS/PaaSを構築しているなら設定ミスや脆弱性への対策まで自社で担う必要があります。守る対象の種類で製品を見ると、この責任範囲の違いに合わせて必要な製品を選びやすくなります。

出典・参考資料（1件）

• 出典：クラウドサービス利用・提供における適切な設定のためのガイドライン｜総務省

クラウドを守る製品の種類｜守る対象・向く企業・代表製品で一望する

ここからは、クラウドを守る製品を守る対象別の6つの種類に分けて整理します。各種類について「何を守るか」「どんな企業・状況に向くか」「代表的な製品」をまとめているので、自社が優先すべき種類の当たりをつけてください。

まず6つの種類を一覧で示します。自社が守りたい対象に近い行から読み進めてください。

種類	何を守るか	向いている企業	代表的な製品
CASB/SWG系	社員が使うSaaSの利用・情報持ち出し	SaaSが全社に広がり利用実態を把握・統制したい企業	Netskope、Forcepoint ONE、Skyhigh Security
SASE/SSE/ZTNA系	社内外どこからでも安全な接続	リモート・多拠点でVPNや個別対策を統合したい企業	Cato SASE Cloud、Prisma Access、Zscaler、Cloudflare One
CSPM/CWPP/CNAPP系	クラウド基盤（IaaS/PaaS）の設定ミス・脆弱性	AWS・Azureなどを自社で使う企業（アプリ内製の有無を問わず）	Aikido Security、Wiz、Prisma Cloud、Microsoft Defender for Cloud、Aqua Security
EDR/XDR系	PC・サーバ（端末）の脅威検知と対処	標的型攻撃・ランサムウェア対策を強めたい企業	Trend Vision One、CrowdStrike Falcon、SentinelOne
NDR系	ネットワーク上の不審な通信	端末に対策を入れにくい機器が多い環境を守りたい企業	Network Blackbox、Darktrace、Vectra AI
メールセキュリティ系	クラウドメールのなりすまし・標的型・漏えい	Microsoft 365・Google Workspaceの標準機能だけでは不安な企業	FortiMail、Proofpoint Email Protection、Barracuda Email Protection

Webアプリケーション自体への攻撃を防ぐWAF（Web Application Firewall）は、守る対象が異なる別領域です。クラウドを守る製品とは目的が異なるため、本記事では取り上げていません。

社員のSaaS利用・情報持ち出しを統制する（CASB/SWG系）

社員が業務で使うクラウドサービスの利用状況を可視化し、情報の持ち出しや許可外サービス（シャドーIT）の利用を制御する種類です。CASB（キャスビー：Cloud Access Security Broker）はクラウド利用の可視化とアクセス制御を担い、SWG（Secure Web Gateway）はWebやクラウドへのアクセスをチェックしてマルウェアやリスクのあるサイトをブロックします。

SaaSの利用が全社に広がり「どの部署が何のクラウドを使っているか把握できていない」「機密データが外部サービスにアップロードされていないか不安」という企業に向きます。

ここで挙げた6種類の外側の隣接領域として、SaaS自体の設定（共有範囲・権限・外部連携アプリなど）が危険な状態になっていないかを継続的に点検するSSPM（SaaS Security Posture Management）があります。CASBと混同しやすいものの役割が異なるため、本記事の6種類には含めていません。

「社外に公開されたままのファイルがないか」「退職者のアカウントが残っていないか」まで踏み込んで確認したい場合は、CASB・CSPMとの違いと製品比較を解説した以下の記事が参考になります。

社内外どこからでも安全につなぐ（SASE/SSE/ZTNA系）

CASB/SWGの機能は、この種類のSASE/SSEに統合されていることが多く、1つの製品が両方を担う場合もあります。SaaSの利用統制が主な目的ならCASB/SWG系、拠点やリモートを含む接続基盤ごと見直したいならSASE/SSE/ZTNA系が出発点になります。

拠点・在宅・外出先など、どこからクラウドや社内システムにアクセスしても一貫したセキュリティを適用する種類です。SASE（サシー：Secure Access Service Edge）はネットワークとセキュリティをクラウド上で統合し、ZTNA（ゼロトラストネットワークアクセス）は「社内ネットワークだから信頼する」のではなく、接続のたびに本人確認と権限確認を行う考え方で守ります。

リモートワークや複数拠点が常態化し、VPNの性能や運用に限界を感じている企業、アクセス経路ごとにばらばらだった対策を統合したい企業に向きます。

クラウド基盤（IaaS/PaaS）の設定ミス・脆弱性を守る（CSPM/CWPP/CNAPP系）

AWS・Azure・Google Cloudなどに自社でシステムを構築している場合に、設定ミスや脆弱性を継続的に見つけて守る種類です。CSPM（Cloud Security Posture Management）はクラウドの設定状態を監査して危険な設定を検出し、CWPP（Cloud Workload Protection Platform）はサーバやコンテナなど稼働中のワークロードを保護します。

両者をまとめたCNAPP（Cloud Native Application Protection Platform）という形も広がっています。

アプリを自社開発していなくても、AWSやAzureなどのIaaS/PaaSを使っているなら、設定ミスの点検（CSPM）は必要になります。加えて、自社でアプリを開発・運用している、マルチクラウドで設定の抜け漏れが心配、開発段階から安全性を担保したいという企業ほど効果が大きい種類です。

端末・サーバの脅威を検知して止める（EDR/XDR系）

PCやサーバといった端末（エンドポイント）上の不審な挙動を検知し、攻撃を自動で止める種類です。

EDR（Endpoint Detection and Response）は端末の振る舞いを監視して侵入後の動きを捉え、XDR（Extended Detection and Response）は端末に加えてクラウドやメール、ネットワークなど複数の情報を横断して脅威を検知します。クラウド上のサーバやワークロードの保護に対応する製品も増えています。

標的型攻撃やランサムウェアに備えたい、侵入を前提に被害を最小化する仕組みを持ちたいという企業に向きます。

端末に加えてネットワーク・メール・クラウド・IDのログを横断して脅威を相関させるXDRは、「どのレイヤまで取り込めるか」「他社製品のログを扱えるか」で製品ごとに中身が大きく異なります。EDRとの違いや監視範囲・連携性を踏まえて製品を絞り込みたい場合は、以下の比較記事が参考になります。

ネットワークの不審な通信を見張る（NDR系）

社内外を流れる通信を監視し、不正な通信や潜伏した攻撃の兆候を見つける種類です。NDR（Network Detection and Response）はネットワーク上の通信を分析して異常を検知し、端末に対策を入れにくい機器が多い環境でも通信側から異常を捉えられます。

ファイアウォールやフィルタリングなど複数の防御機能を一台に統合するUTM（統合脅威管理）も近い領域ですが、本記事では通信の検知に重点を置くNDR製品を取り上げます。

端末対策だけでは見えない内部の横移動や不審通信も把握したい、ネットワーク全体を俯瞰して守りたいという企業に向きます。

クラウドメールを守る（メールセキュリティ系）

Microsoft 365やGoogle Workspaceなどクラウドメールを狙う、標的型攻撃メール・なりすまし・フィッシングから守る種類です。受信メールの検査に加え、添付ファイルの無害化、ビジネスメール詐欺（BEC）対策、送信時の誤送信・情報漏えい防止までを担う製品があります。

クラウドメールへ移行して標準機能だけでは不安、取引先を装ったメール詐欺を防ぎたいという企業に向きます。

クラウドメール対策を、受信ゲートウェイでのフィルタリング・サンドボックス・無害化・侵入後の検知といった手段ごとに「何をどこまで防げるのか」を突き合わせて選びたい場合は、以下の記事で26サービスをタイプ別に比較しています。

クラウドセキュリティ製品の選び方

守るべき種類の当たりがついたら、具体的な製品を比べる前に次の観点を確認しておくと、自社に合う製品を絞り込みやすくなります。

守りたい対象・解決したい課題を整理する

最初に、自社がいま守りたい対象（SaaSの利用統制なのか、自社構築のクラウド基盤なのか、端末やメールなのか）と、解決したい課題を具体的に書き出しましょう。

前述の責任共有モデルで整理した自社の守備範囲を起点にすると、優先度の高い対象が定まります。ここが曖昧なまま多機能な製品を選ぶと、使わない機能に費用を払い、肝心の穴が埋まらないという事態になりがちです。

対応するクラウドサービスの範囲を確認する

同じ種類の製品でも、対応するクラウドサービスの範囲は製品ごとに異なります。自社が使っているSaaSやIaaS（Microsoft 365、Google Workspace、AWS、Azureなど）に対応しているか、マルチクラウド環境を一元的に管理できるかを確認しましょう。

特にCASBやCSPMは、対応サービスの数と連携の深さが可視化・制御の精度に直結するため、カタログスペックだけでなく自社の利用環境に当てはめて見ることが重要です。

料金・ライセンス体系を確認する

クラウドセキュリティ製品は種類によって料金体系の考え方が大きく異なります。CASBやSWGなどはユーザー数単位、CSPM/CWPPは保護するクラウド資産やワークロードの量、メールセキュリティはメールボックス数が課金の基準になることが多く、単純な月額の比較では実際の費用感を掴みにくいのが実情です。

自社の利用規模（ユーザー数・資産数・拠点数）を前提に、何が課金対象かを確認し、将来の増加も見込んで試算することをおすすめします。

無料プランや無料枠を持つ製品、小規模から始められる製品もあります。専任の担当者が少なく、まず小さく試したい企業は、こうした製品で守る対象を絞って導入し、効果を見ながら範囲を広げる進め方も現実的です。候補は比較表や診断で確認できます。

認証・準拠を選定チェックにする（ISMAP／ISO/IEC 27017）

製品やサービスの信頼性を客観的に確かめる手がかりとして、第三者による評価・認証の有無があります。代表的なものに、政府調達向けの評価制度であるISMAP（イスマップ）と、クラウドの情報セキュリティに関する国際規格であるISO/IEC 27017があります。

ISMAP（政府情報システムのためのセキュリティ評価制度）は、政府がクラウドサービスを調達する際のセキュリティ水準を確保するための制度です。基本規程は制度の目的を次のように定めています。

本制度は、政府が求めるセキュリティ要求を満たしているクラウドサービスを予め評価・登録することにより、政府のクラウドサービス調達におけるセキュリティ水準の確保を図り、もってクラウドサービスの円滑な導入に資することを目的とする。

出典：ISMAP運営委員会「政府情報システムのためのセキュリティ評価制度（ISMAP）基本規程」

ISMAPはあくまで政府調達向けの制度ですが、「ISMAPクラウドサービスリスト」に登録されたサービスは、政府が求めるセキュリティ要求を満たしていることを第三者が確認したものです。民間企業が製品を選ぶ際も、登録の有無を信頼性の一つの目安として参考にできます。

ISO/IEC 27017（国内ではJIS Q 27017）は、クラウドサービスのための情報セキュリティ管理策をまとめた国際規格です。JIPDECの解説によれば、この規格は「ISO/IEC 27002 に基づくクラウドサービスのための情報セキュリティ管理策の実践の規範」であり、認証基準ではなく実践の規範（ベストプラクティス）と位置づけられています。

ベンダーが実際に取得・表示するのは、ISMS（ISO/IEC 27001）認証を前提に27017の実施手引を参照する「ISMSクラウドセキュリティ認証」であるため、製品資料では「ISO/IEC 27017に基づくISMSクラウドセキュリティ認証の有無」という観点で確認すると正確です。

出典・参考資料（2件）

• 出典：政府情報システムのためのセキュリティ評価制度（ISMAP）基本規程｜ISMAP運営委員会
• 出典：ISMSクラウドセキュリティ認証の概要｜一般財団法人日本情報経済社会推進協会（JIPDEC）

無料トライアル・PoCで使用感を確かめる

クラウドセキュリティ製品は、導入後の運用のしやすさや既存環境との相性が効果を左右します。

多くの製品は無料トライアルや概念実証（PoC：試験的な小規模導入）に対応しています。自社の環境で検知精度・誤検知の多さ・管理画面の使いやすさを確かめてから本格導入を判断すると、導入後のミスマッチを避けられます。

導入・運用でつまずかないための注意点

クラウドセキュリティ製品は、入れること自体が目的化すると、費用の割に守れていない、あるいは運用が回らないという事態に陥りがちです。導入前に次の4点を押さえておきましょう。

1つの種類だけで全部を守れると過信しない（カバレッジの線引き）

クラウドセキュリティ製品は種類ごとに守る対象が異なり、一つの製品ですべてのリスクを賄うことはできません。たとえばCASBでSaaS利用を統制しても、自社構築のIaaSの設定ミスはCSPMの領域、端末の脅威はEDRの領域です。自社の守る対象を棚卸しし、どの種類で何を守るのか、どこは守れていないのかを線引きしたうえで、優先度の高い穴から埋めていくことが大切です。

ユーザーの使い勝手を損なわない制御設計にする

アクセス制御やフィルタリングを厳しくしすぎると、業務に必要なサービスまでブロックされ、現場がかえって抜け道（私物端末や許可外サービス）を使うようになり、結果として統制が効かなくなります。最初は可視化や警告から始め、実態を見ながら段階的に制御を強めるなど、現場の業務を止めない設計を心がけることが、長く運用できる鍵になります。

既存のセキュリティ製品・クラウド基盤との連携を前提に選ぶ

すでに導入済みのEDRやメールセキュリティ、利用中のクラウド基盤と新しい製品が連携できるかは、運用負荷を大きく左右します。ログやアラートを一元的に扱えるか、既存のIDaaSやSIEMと連携できるかを確認しておくと、個別の管理画面を行き来する手間や、アラートの見落としを防げます。種類をまたいで製品が増えるほど、連携のしやすさが運用の現実性を決めます。

設定ミス・運用負荷を見込んで運用体制まで決める

クラウドの被害の多くは製品の不足ではなく設定ミスや運用の抜けから生じます。責任共有モデルが示すとおり、設定と運用は利用者側の責任範囲です。導入後に誰がアラートを確認し、誰が設定を見直すのかという運用体制まで決めておかないと、検知はしていたのに対応できなかったという事態になりかねません。専任者を置けない場合は、運用を代行するマネージドサービスの利用も選択肢に入れて検討しましょう。

【比較表】種類別に見るクラウドセキュリティ製品

ここまで整理した6つの種類ごとに、代表的な製品を守る対象・対応クラウド範囲・向いている企業などの観点で一覧にまとめました。自社が優先する種類を起点に、気になる製品の当たりをつけてください。各製品の詳細は比較表の下に続きます。

※本表は2026年11月時点の各社公式情報にもとづき作成しています。搭載機能・対応範囲・提供形態・料金は変更される場合があるため、最新の内容は各社の公式情報をご確認ください。

各クラウドセキュリティ製品の特徴

比較表で気になった製品について、守る対象の種類ごとに特徴と資料の入手先をまとめます。自社の課題に近い種類から読み進めてください。

社員のSaaS利用・情報持ち出しを統制する製品（CASB/SWG系）

1. Netskope（Netskope, Inc.）

Netskope, Inc. が提供する「Netskope One」は、CASB・SWG・ZTNAなどのSSE機能とSD-WANを1つの基盤に統合したクラウドサービスです。社員が使うSaaSの利用状況を可視化し、リスクに応じてアクセスを制御する用途が中心になります。

独自のクラウドサービス評価データベース「Cloud Confidence Index」を備え、8万5,000以上のクラウドアプリと1,800以上の生成AIツールを50以上のセキュリティ・コンプライアンス属性で格付けします。許可外サービス（シャドーIT）の検出にも対応します。

料金は公式に公開されておらず、国内では販売パートナー経由のユーザー数ベースの見積もりが基本です。ソフトバンクなどが運用を支援するマネージドサービスも提供しています。

2. Forcepoint ONE（Forcepoint LLC）

Forcepoint LLC の「Forcepoint ONE」は、CASB・SWG・ZTNA・DLP・クラウドファイアウォールを単一のサブスクリプションにまとめたSSEプラットフォームです。管理対象・非管理対象のクラウドアプリを横断して可視化と制御を行います。

クラウドアプリごとに規制要件や業界認証に基づきリスクを分類する機能を持ち、未承認クラウドの発見・ブロックに対応します。AWS・Azure・Google CloudやSalesforce・Office 365などのテナント設定を監査するCSPM／SSPMはアドオンとして追加できます。

契約は501ユーザーからとされ（国内代理店・海外価格情報による）、料金は要問い合わせです。国内はNVCなどの販売パートナー経由での提供が中心です。

3. Skyhigh Security（Skyhigh Security LLC）

Skyhigh Security は、マカフィーのクラウドセキュリティ事業（旧McAfee MVISION Cloud）が2022年に独立して発足したベンダーで、SWG・CASB・ZTNA・DLPなどを束ねるSSEを展開しています。提供会社は Skyhigh Security LLC です。

CASBは未承認クラウドを検出する「Shadow IT」と、承認済みSaaSを監視・保護する「Sanctioned Apps」の2つで構成されます。4万以上のクラウドサービスを75の属性で評価するレジストリを持ち、SaaSの設定を監査する機能も内包します。

SSE製品はEssentials・Advanced・Completeの3段階のパッケージで提供され、料金はユーザー数×年単位のボリュームベースで要問い合わせです。

社内外どこからでも安全につなぐ製品（SASE/SSE/ZTNA系）

1. Cato SASE Cloud（Cato Networks）

Cato Networks が提供する「Cato SASE Cloud」は、SD-WAN・SWG・FWaaS・ZTNA・CASBを同社のクラウド基盤に統合したシングルベンダー型のSASEです。拠点・リモート・クラウドへのアクセスを単一のコンソールで管理します。

自社運用のグローバルなプライベートバックボーンを前提に設計され、公式資料ではPoP（接続拠点）を85以上〜100以上と記載しています（資料により数値が異なります）。

国内ではソフトバンクやSB Technologyが導入・運用を支援し、ソフトバンク経由では24時間365日の保守・障害対応や1か月のPoC環境が案内されています。料金は要問い合わせです。

2. Prisma Access（Palo Alto Networks, Inc.）

Prisma Access は、Palo Alto Networks, Inc. がクラウドで提供するセキュリティサービスで、ZTNA・SWG・FWaaS・CASB（SaaS Security）などを備えます。SD-WANを担う別製品のPrisma SD-WANと組み合わせると、SASEとして構成できます。

世界100以上のロケーションを持ち、国内は東京・大阪の2拠点に対応します。公式は稼働率SLAを99.999%と示しています（同社の表示値）。

ライセンスはSWG／ZTNA／Enterpriseの3エディションに分かれ、SD-WANは別ライセンスとなります。料金は公開されておらず要問い合わせです。

3. Zscaler（Zscaler, Inc.）

Zscaler, Inc. のプラットフォームは、Webゲートウェイの「ZIA」とVPN代替の「ZPA」の2系統を柱にしています。ユーザーとインターネット・社内アプリの間にクラウドの検査基盤を挟み、場所を問わずアクセスを制御します。

ZIAはURLフィルタリングや暗号化通信の検査、クラウドサンドボックスによるマルウェア対策などを備え、ZPAは最小権限で社内アプリへ直接つなぎ、アプリをインターネットに公開しない設計です。

料金はエディション別で公式には非公開です。国内ではNTTコミュニケーションズが「Zscaler MSSP」の認定を受けるなど、パートナー経由の運用支援があります。

4. Cloudflare One（Cloudflare, Inc.）

Cloudflare, Inc. の「Cloudflare One」は、ZTNA・SWG・RBI・CASB・メールセキュリティ・DLP・WANなどを単一のプラットフォームに束ねたSASEです。同社のグローバルネットワークを基盤に接続とセキュリティを提供します。

フル機能のSASEを300以上の都市で提供すると公式が記載し、無料プランからの検証に対応します。Enterprise向けはユーザー（シート）単位の課金で、管理対象デバイスの帯域幅課金はかからないとしています。

公式はIndeedがZTNAで1万3,000人以上を保護しVPNを全廃した事例などを掲載しています。料金の公開単価はなく、SASEパッケージは要問い合わせです。

クラウド基盤の設定ミス・脆弱性を守る製品（CSPM/CWPP/CNAPP系）

1. Aikido Security（Aikido Security BV）

Aikido Security は、ソースコード・依存ライブラリ・クラウド設定・コンテナ・稼働中のWebアプリを1つの画面で検査するSaaS型の脆弱性診断ツールです。開発元はベルギーのAikido Security BVで、国内では株式会社AndGoが販売窓口を務めます。

クラウド領域ではCSPM・IaCスキャン・コンテナイメージ検査・DSPM・クラウド攻撃経路の分析を備え、設定ミスや脆弱性を検知します。検知した問題の修正案をプルリクエストとして自動作成する機能や、無料のDeveloperプランも用意されています。

日本窓口の参考価格は年間契約・利用者10人までで月額5万円台から（Basic 3,780ドル/年、Pro 7,560ドル/年）とされ、日本円の請求書払いに対応します。内製でアプリ開発を行う企業やSaaSスタートアップに向く構成です。

複数の単機能ツールを使い分ける現場では、検知を1画面にまとめられるかどうかが運用の負担を左右します。日本窓口を務める株式会社AndGoは、脆弱性診断ツールを使う現場でよく聞く悩みとして、アラートの扱いにくさを挙げます。

2. Wiz（Wiz, Inc.）

Wiz, Inc. は、クラウドとAIのセキュリティを扱うCNAPPで、コード・クラウド・ランタイムを単一のセキュリティグラフに統合すると説明しています。2026年3月にGoogleによる買収が完了し、Wizブランドのまま提供が続いています。

クラウド事業者のAPIに接続してエージェントを入れずに数分でインベントリを構築し、設定ミス・権限・データ・ワークロードの脆弱性をグラフで関連づけて優先順位を付けます。稼働中ワークロードのランタイム保護にはeBPFベースのセンサーを用います。

AWS・Azure・Google Cloud・Oracle Cloudなどに対応し、料金は公式の見積もり制です。公式はFortune 100企業の65%超が利用すると示しています（自社発表値）。

3. Prisma Cloud（Palo Alto Networks, Inc.）

Prisma Cloud は Palo Alto Networks, Inc. のクラウドセキュリティプラットフォームで、コード・インフラ・ランタイムの各領域にまたがってクラウドを保護します。CSPM・CWPP・CIEM・IaC検査などをモジュールとして備えます。

SaaS型のEnterprise Editionと、エアギャップ環境にも対応するセルフホスト型のCompute Editionを選べます。AWS・Azure・Google Cloud・Oracle Cloud・Alibaba Cloudの5クラウドに対応します。

料金はクレジット制（100クレジット単位、1〜3年契約）で具体額は非公開です。公式は次バージョンとしてCortex Cloudを発表しており、既存契約はこちらへ移行するとしています。

4. Microsoft Defender for Cloud（Microsoft Corporation）

Microsoft Defender for Cloud は、Microsoft CorporationがAzure上で提供するCNAPPで、クラウドセキュリティ態勢管理（CSPM）とワークロード保護（CWPP）を統合します。Azure・AWS・Google Cloud・オンプレミス（Azure Arc経由）を横断して可視化できます。

CSPMは無料の「Foundational CSPM」と、攻撃パス分析やエージェントレスの脆弱性スキャンを含む有料の「Defender CSPM」の2階層に分かれます。ワークロード側はサーバー・コンテナー・ストレージなどのプラン単位で有効化します。

Azureポータルから追加のアプライアンスなしで有効化でき、料金はプラン別の従量課金で、最初の30日間は無料です。

5. Aqua Security（Aqua Security Software Ltd.）

Aqua Security（提供はAqua Security Software Ltd.）は、コンテナ・Kubernetes・サーバーレス・クラウドを対象にしたCNAPPです。オープンソースのコンテナ／IaCスキャナ「Trivy」の開発元でもあります。

イメージの脆弱性スキャンから設定の検査（CSPM）、稼働中ワークロードのランタイム保護までを1つのプラットフォームで扱います。実行中コンテナを元イメージと比較し、元になかった実行ファイルをブロックするDrift Preventionを備えます。

課金単位はコードリポジトリ数やワークロード数で、具体的な料金は公式に非公開（要問い合わせ）です。無料のTrivyから商用プラットフォームへ段階的に移行できる構成です。

端末・サーバの脅威を検知して止める製品（EDR/XDR系）

1. Trend Vision One（トレンドマイクロ株式会社）

トレンドマイクロ株式会社の「Trend Vision One」は、エンドポイント・サーバー・クラウド・メール・ネットワークなど複数のレイヤーを1つに束ねた統合セキュリティプラットフォームです。各レイヤーのデータを相関分析するXDR（拡張検知・対応）を中核とします。

端末やサーバーの脅威検知に加え、自社が利用するクラウド環境の設定を監視するクラウドセキュリティ（CSPM）やリスク管理機能も同じ基盤で扱えます。SaaS型で提供され、全機能を30日間試せる無料体験が案内されています。

料金はクレジットベースの単一ライセンス「TrendAI Flex」に一本化され、購入したクレジットを利用状況に応じて毎月引き落とす方式です。具体額は要問い合わせです。

2. CrowdStrike Falcon（CrowdStrike, Inc.）

CrowdStrike, Inc. の「CrowdStrike Falcon」は、次世代アンチウイルス・EDR・脅威ハンティング・ID保護などを単一の軽量エージェントで提供するクラウドネイティブなエンドポイント保護プラットフォームです。

機械学習と攻撃の兆候（IOA）を組み合わせ、既知・未知のマルウェアやファイルレス攻撃を実行前に止める設計です。クラウドワークロード保護のモジュールも持ち、エンドポイントから侵入後の対応までを段階的に拡張できます。

プランはFalcon Go・Pro・Enterprise・Completeに分かれ、グローバルの公式価格はFalcon Goが1デバイス年額59.99ドルからです。日本円建ての価格は公開されておらず、国内は代理店経由の見積もりが基本です。

3. SentinelOne（SentinelOne, Inc.）

SentinelOne, Inc. の「Singularity Platform」は、次世代アンチウイルス・EDR・XDR・クラウドワークロード保護を単一の軽量エージェントと統合コンソールで提供します。エージェント側のAIが脅威を自律的に検知し、リアルタイムで隔離・停止します。

個々のイベントを時系列・因果関係で自動的に相関づける特許技術「Storyline」や、ランサムウェア被害時にOSの再構築なしでファイルを復旧する1クリックのロールバックを備えます。クラウド領域ではCNAPP（Singularity Cloud Security）も提供します。

エンドポイント保護はCore・Control・Complete・Commercialのパッケージに分かれ、料金は公式サイトでは非開示です。国内は代理店経由の見積もりが基本です。

ネットワークの不審な通信を見張る製品（NDR系）

1. Network Blackbox（株式会社クワッドマイナージャパン）

株式会社クワッドマイナージャパンが提供する「Network Blackbox」は、ネットワークを流れる全パケットを収集・保存して脅威を検知・分析するNDR（Network Detection and Response）製品です。ミラーリング方式で導入するため、監視対象の機器に手を入れずに通信を取り込めます。

シグネチャによる既知攻撃の検知に加え、ユーザー行為の記録に基づく異常検知（BAD）や、通信内容を復元するコンテンツ分析を併用します。保存したパケットを後から検索し、通信の宛先や時系列、転送されたファイルを遡って調べるフォレンジックに対応します。

EDRを入れにくい機器や制御系（OT）を含むネットワーク側の監視に使え、Syslog・REST APIでEDRやSIEMと連携します。料金は要問い合わせです。

2. Darktrace（Darktrace Limited）

Darktrace は、自己学習型のAIを中核とする英Darktrace Limitedのサイバーセキュリティ製品です。組織ごとの「正常な挙動」をAIが学習し、そこからの逸脱で既知・未知の脅威を検知します。

ネットワーク挙動を分析するDarktrace/NETWORKがNDRの中核で、異常を自動で調査するCyber AI Analystや、デバイス隔離などをリアルタイムで行うAutonomous Responseを組み合わせます。ネットワークを起点に、メール・クラウド・OT・アイデンティティ・エンドポイントまで横断してカバーします。

料金は監視対象デバイス数に応じた個別見積もりで、公式には非公開です。国内では240社超が採用していると発表されています。

3. Vectra AI（Vectra AI, Inc.）

Vectra AI, Inc. の「Vectra AI Platform」は、ネットワークトラフィックの挙動をAIで分析するNDRです。検知エンジン「Attack Signal Intelligence」が膨大なアラートから、いま侵害が起きている箇所へ絞り込むことを狙います。

150以上のAIモデルで攻撃者の振る舞いを捉え、ネットワーク・アイデンティティ・クラウド・Microsoft 365・IoT／OTを横断して相関分析します。CrowdStrikeやMicrosoft DefenderなどのEDR、Splunk等のSIEMと連携できます。

料金は公式・代理店とも非公開で、国内はマクニカ株式会社が販売・運用支援・トライアルの窓口を務めます。

クラウドメールを守る製品（メールセキュリティ系）

1. FortiMail（Fortinet, Inc.）

Fortinet, Inc. の「FortiMail」は、スパム・なりすまし・ビジネスメール詐欺（BEC）・ランサムウェアなど、メールを起点とする脅威を検知・遮断するメールセキュリティ製品です。Microsoft 365やGoogle Workspaceにはゲートウェイ型とAPI連携型の両方で統合できます。

受信メールを「既知／疑わしい／未知／BEC」の4段階に分類し、FortiSandboxと連携した添付ファイルの動的解析や、添付・HTML・URLの無害化、クリック時のURL再検査に対応します。SPF/DKIM/DMARCによる送信ドメイン認証も備えます。

アプライアンス・仮想マシン・クラウドから導入形態を選べ、料金はメールボックス単位やユーザー単位などの課金軸のみ公開で、具体額は代理店経由の見積もりとなります。

2. Proofpoint Email Protection（Proofpoint, Inc.）

Proofpoint, Inc. は、メールを起点に「人」を狙う攻撃への対策を手がける米国企業で、標的型攻撃メール対策としてEmail Protection（現在はCore Email Protectionとも呼称）を中心とする製品群を提供します。受信メールをゲートウェイまたはAPI連携で検査します。

AI・機械学習や行動分析を用いてフィッシング・BEC・なりすましを検知し、添付ファイルやURLをサンドボックスで動的解析します（Targeted Attack Protection）。DMARCの導入を支援するEmail Fraud Defenseや、配信後に悪性メールを自動回収する機能も製品群として分離提供しています。

国内では日本プルーフポイント株式会社が統括し、NRIセキュア・日立ソリューションズなどの代理店経由での提供が中心です。料金は公式非公開で要問い合わせです。

3. Barracuda Email Protection（Barracuda Networks, Inc.）

Barracuda Networks, Inc. の「Barracuda Email Protection」は、メール配信経路上で検査するゲートウェイ型と、受信箱に届いた後にAPIでAI分析する配信後防御の、2つのアプローチを組み合わせたメールセキュリティ製品群です。

ゲートウェイ型はスパム・ウイルス・フィッシングを多段階で検査し、API連携型のImpersonation Protectionは過去のメール履歴から通信パターンを学習してBECやなりすまし、アカウント乗っ取りを検知します。配信後に悪性と判明したメールを自動削除する機能も備えます。

統合管理基盤BarracudaONEでゲートウェイ・API双方の保護状況を一元管理できます。プランはAdvanced・Premium・Premium Plusの3段階で、無料トライアルがあり料金は要問い合わせです。

まとめ

クラウドセキュリティ製品は数も略語も多く一見複雑ですが、「何を守るための製品か」という守る対象の種類で捉えると、自社に必要なものが見えてきます。

SaaSの利用統制、どこからでも安全につなぐ基盤、クラウド基盤の設定ミス対策、端末・サーバの脅威検知、ネットワーク監視、クラウドメール対策——クラウドを守る製品は、この6つの軸で整理できます。

自社の守る対象を棚卸しし、責任共有モデルでいう自社の守備範囲に照らして、手薄な領域から優先的に埋めていくのが堅実な進め方です。

製品を選ぶ際は、対応するクラウドサービスの範囲・料金体系・ISMAPやISO/IEC 27017などの認証を確認し、無料トライアルやPoCで自社環境との相性を確かめることをおすすめします。自社に合う種類と製品の候補が見えたら、各社の資料を取り寄せて機能や料金を具体的に比べてみてください。

よくある質問（FAQ）

Q. クラウドセキュリティ製品とは何ですか？

A. クラウドセキュリティ製品とは、SaaS・IaaS・PaaSなどのクラウド利用にともなう情報漏えい・不正アクセス・設定ミスといったリスクから、自社のデータ・システム・利用者を守るための製品の総称です。守る対象が広いため一つの製品ですべてを賄うことは難しく、CASBやCSPM、EDRなど役割の異なる製品を、守りたい対象に合わせて組み合わせて使うのが一般的です。

Q. クラウドセキュリティ製品にはどんな種類がありますか？

A. クラウドセキュリティ製品は、守る対象別に大きく6つの種類に整理できます。

具体的には、SaaS利用の統制（CASB/SWG）、どこからでも安全につなぐ基盤（SASE/SSE/ZTNA）、クラウド基盤の設定・脆弱性対策（CSPM/CWPP/CNAPP）、端末・サーバの脅威検知（EDR/XDR）、ネットワーク監視（NDR）、クラウドメール対策の6種類です。

略語の意味から覚えるより、自社が何を守りたいかを起点に種類を選ぶと、過不足のない選定につながります。

Q. CASBとCSPM・CWPPはどう違いますか？

A. CASBは社員が使うSaaSの利用状況を可視化・制御して情報の持ち出しやシャドーITを防ぐ製品、CSPM・CWPPは自社がAWSやAzureなどに構築したクラウド基盤の設定ミスや脆弱性を守る製品で、守る対象が異なります。人のクラウド利用を統制したいならCASB、自社で構築・運用するIaaS/PaaSを守りたいならCSPM/CWPPというように、守りたい対象で使い分けます。

両者は代替関係ではなく、必要に応じて併用する製品です。

Q. クラウドを使っていればセキュリティは事業者任せでよいのですか？

A. クラウドのセキュリティは事業者と利用者が役割を分担する「責任共有モデル」が基本であり、事業者任せにはできません。総務省のガイドラインは利用者の責任範囲がSaaS・PaaS・IaaSの利用形態によって変化すると示しており、SaaSでも利用者アカウントや業務データの設定は自社の責任、IaaSではOSを含むソフトウェアの管理まで自社の責任です。

クラウド事業者が守るのは基盤側までで、使い方・設定・アクセス管理は利用者が自ら守る必要があります。

Q. クラウドセキュリティ製品は何から導入すべきですか？

A. まず自社の守りたい対象と課題を棚卸しし、いちばん手薄でリスクの大きい領域から導入するのが基本です。SaaSが全社に広がっているのに利用実態を把握できていないならCASB、自社でクラウド基盤を構築しているなら設定ミスを防ぐCSPMというように、穴の大きいところから優先します。一つの種類ですべてを守ることはできないため、責任共有モデルで自社の守備範囲を確認したうえで優先順位をつけてください。

Q. ISMAPやISO/IEC 27017などの認証は選定でどう見ればよいですか？

A. ISMAPとISO/IEC 27017は、いずれも製品の信頼性を客観的に確かめる選定の手がかりになります。

ISMAPは政府がクラウドサービス調達のセキュリティ水準を確保するための評価・登録制度で、ISMAPクラウドサービスリストへの登録は、第三者がセキュリティ要求を満たすと確認した証として民間企業でも信頼性の目安になります。

ISO/IEC 27017（国内はJIS Q 27017）は認証基準そのものではなく実践の規範（ベストプラクティス）で、ベンダーが取得・表示するのは「ISO/IEC 27017に基づくISMSクラウドセキュリティ認証」です。

製品資料では「ISMAP登録の有無」「ISMSクラウドセキュリティ認証の有無」という観点で確認すると正確です。

Q. クラウドセキュリティ製品は無料で始められますか？

A. 一部に無料プランを持つ製品があり、多くの製品は無料トライアルやPoC（試験的な小規模導入）で導入前に使用感を確かめられます。一部の製品は無料から始められる枠を用意しているため、小さく試してから対象を広げられます。

ただし本格導入時の料金は利用規模（ユーザー数・クラウド資産数・メールボックス数など）で変わり、要問い合わせの製品も多いため、無料枠やトライアルで検知精度や管理画面の使い勝手を確かめてから判断することをおすすめします。

Q. 専任のセキュリティ担当がいなくても運用できますか？

A. 専任担当がいなくても、導入・運用のしやすさを重視した製品を選び、必要に応じて運用を代行するマネージドサービスを併用すれば運用できます。クラウドの被害の多くは製品の不足ではなく設定ミスや運用の抜けから生じるため、導入後に誰がアラートを確認し、誰が設定を見直すのかという運用体制まで決めておくことが重要です。

自社だけでの運用が難しい場合は、監視・対応を任せられるマネージドサービスの利用も選択肢に入れて検討してください。

クラウドセキュリティ製品の料金・資料を一括チェック

MCB FinTechカタログでは、CASB・SASE・CSPM・EDR/XDR・NDR・クラウドメールなど、クラウドを守る各種類の製品の最新資料を無料で一括請求できます。守る対象や料金体系を横断で比べて、自社に合う製品を効率的に選べます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。