クラウドやSaaSの利用が業務の前提になるなかで、クラウド環境を守るための仕組みにもさまざまな種類が生まれています。なかでも、クラウドの設定を見張るCSPMと、データそのものを守るDSPMは、名前も「ポスチャ管理」という考え方も近く、「何がどう違うのか」「自社にはどちらが要るのか」が分かりにくいという声が多く聞かれます。
本記事では、CSPMとDSPMの違いを守る対象・対象範囲・機能の観点から整理し、自社がどちらを優先すべきかの判断軸、両方を使うときの組み合わせ方（CNAPPとの関係）、そしてDLPやCASBなど混同しやすい用語との線引きまで解説します。
読み終えたとき、「クラウドの設定が不安ならどちら」「機密データの所在が見えていないならどちら」といった自社の状況に当てはめた判断ができ、具体的なサービスの比較・検討に進める状態を目指します。
目次
一括ダウンロードする
CSPMとDSPMの違いを一言でいうと
CSPMとDSPMの違いは、守る対象が「クラウドの設定・構成（器）」なのか「データそのもの（中身）」なのかにあります。まずはそれぞれが何を見る仕組みなのかを押さえておきましょう。
CSPM＝クラウドの設定・構成の不備を見つける
CSPM（Cloud Security Posture Management、クラウドセキュリティ態勢管理）は、クラウド基盤の設定・構成が安全な状態になっているかを継続的に点検する仕組みです。公開範囲が広すぎるストレージ、過剰に開いたポート、暗号化の無効化といった設定ミス（ミスコンフィグレーション）やコンプライアンス違反を見つけ、是正につなげます。
Microsoftの公式ドキュメントも、CSPMを「クラウド資産やワークロードのセキュリティ状態を継続的に可視化し、設定ミスやセキュリティリスクを特定・低減するための推奨事項を提示するもの」と説明しています。見ているのはあくまでクラウドの「設定・構成」であり、その中にどんなデータが入っているかまでは対象にしません。
DSPM＝データの所在・分類・リスクを見つける
DSPM（Data Security Posture Management、データセキュリティ態勢管理）は、クラウドやSaaS、オンプレミスに散らばる機密データそのものに着目する仕組みです。「どこに」「どんな種類のデータが」「誰がアクセスできる状態で」存在するかを自動的に発見・分類し、リスクを評価します。
Microsoftの公式ドキュメントでは、DSPMの機能として、複数クラウドにまたがる機密データの自動検出、データの機密度・露出状況・流れの評価、情報漏えいにつながるリスクの継続的な洗い出しなどが挙げられています。CSPMが「器の設定」を見るのに対し、DSPMは「中身のデータ」を主役に据えている点が両者の大きな違いです。
CSPMとDSPMを6つの観点で比較
一言でいえば「設定を守るCSPM、データを守るDSPM」ですが、実際に検討するときは複数の観点で見比べると違いがはっきりします。以下は、CSPMとDSPMを6つの観点で比較した表です。
| 比較の観点 | 見る対象 | 典型的な指摘 | 主に守るリスク | 対象範囲 | データの発見・分類 | 代表的な使いどころ |
|---|---|---|---|---|---|---|
| CSPM | クラウドの設定・構成（器） | 公開範囲や権限など設定の不備・コンプライアンス違反 | 設定ミス起因の不正アクセス・侵入経路 | クラウド基盤（IaaS・PaaS）が中心 | 対象外 | マルチクラウドの設定を継続的に点検したい |
| DSPM | データそのもの（所在・中身） | どこに機密データがあり、誰がアクセスできるか | 機密データの漏えい・過剰アクセス | クラウド・SaaS・オンプレミスを横断してデータを追う | 中核機能（自動で発見・分類） | 機密データの所在が把握できていない |
※各概念の一般的な位置づけを整理したものです。実際の製品では機能範囲が重なる場合があります。
特に押さえておきたいのが「データの発見・分類」の行です。機密データがどこにあるかを自動的に見つけて分類するのはDSPMの中核機能で、CSPMにはこの機能がありません。両者が別物として並び立つのは、この役割の違いがあるためです。
同じ事故を、CSPMとDSPMはどう見るか
違いをより具体的に掴むために、同じ事故を2つの仕組みがどう捉えるかを見てみましょう。例えば、クラウドストレージのバケットが誤って一般公開されていたとします。
CSPMは、この事象を「公開範囲の設定が不適切だ」という設定の問題として検知します。一方でDSPMは、「その公開されたバケットの中に、個人情報が何件入っているのか」というデータの中身と重大さの問題として捉えます。設定の不備を直すのがCSPM、漏れたら困るデータがそこにあると気づかせるのがDSPM、という役割分担です。
設定ミスは、他人事ではない規模で起きています。総務省が2022年に公表したガイドラインは、クラウドの設定不備が不正アクセスの主要な原因のひとつであると指摘し、対策としてCSPMのような監視ツールの利用を推奨しています。調査時点は2021年ですが、クラウド利用の拡大にともない、設定ミスによるリスクは現在も続く課題です。
独立行政法人情報処理推進機構（IPA）の「コンピュータウイルス・不正アクセスの届出状況 2021 年」によると、不正アクセスの原因別比率では、設定不備が全体のおよそ 17.7%で第 3 位となっており、設定の不備が無視できない水準であることを示しています。
出典：クラウドサービス利用・提供における適切な設定のためのガイドライン｜総務省
一方で、漏えいしたデータの中身が重要になる場面もあります。個人情報保護法では、一定の要件に当てはまる個人データの漏えいが起きた場合、個人情報保護委員会への報告と本人への通知が義務づけられています。要配慮個人情報が含まれる、あるいは本人の数が1,000人を超えるといった事態が対象で、まさに「公開されたバケットの中に何が、どれだけ入っていたか」が問われます。
出典・参考資料（1件）
近年は生成AIの業務利用も広がり、クラウド上に置かれる機密データの量と置き場所はますます増えています。設定を守るだけでなく、データそのものの所在を把握する必要性が高まっている背景には、こうした事情もあります。
自社はCSPMとDSPMのどちらを優先すべきか
CSPMとDSPMは補完関係にあり、最終的には両方が有効な場面が多いものの、限られた予算や人員のなかでは優先順位をつける必要があります。自社の主な課題がどちらにあるかで考えると判断しやすくなります。
クラウド基盤の設定管理が主な課題ならCSPM
複数のクラウドを使っていて設定が属人化している、公開範囲や権限の設定に抜け漏れがないか不安がある、という場合はCSPMから着手するのが現実的です。設定ミスは不正アクセスの入口になりやすく、まず器の状態を継続的に点検できる体制を整える効果が大きいためです。
機密データの所在が把握できていないならDSPM
個人情報や財務データなどの機密情報を扱っているが、それがクラウドやSaaSのどこに、どれだけ存在するかを把握できていない場合はDSPMが向いています。データの発見・分類はCSPMにはない機能のため、「何を守るべきか」のリスト自体が見えていない状態は、DSPMでしか解消できません。
クラウド活用が大規模なら両方を視野に
クラウドへの投資が大きく、扱うデータも機密性が高い企業では、設定とデータのどちらか一方では守りきれません。設定の不備を塞ぐCSPMと、守るべきデータを特定するDSPMを組み合わせ、器と中身の両面から態勢を整える形が基本になります。次の章で、その組み合わせ方を見ていきます。
両方を組み合わせるときの考え方（CNAPPでの統合）
CSPMとDSPMを別々に導入すると、管理画面やアラートが分散して運用が煩雑になりがちです。この課題に応えるのがCNAPP（Cloud Native Application Protection Platform、クラウドネイティブアプリケーション保護プラットフォーム）です。
CNAPPは、CSPM（設定の点検）、CWPP（ワークロードの保護）、CIEM（権限の管理）、DSPM（データの保護）といった複数の機能を1つの基盤に統合した製品カテゴリを指します。器・権限・ワークロード・データを横断して可視化できるため、設定の不備とデータのリスクを関連づけて優先順位をつけられる点が利点です。
注意したいのは、概念としては別物のCSPMとDSPMが、製品レベルでは統合が進んでいる点です。近年はCSPMやCNAPPの上位プランにDSPM相当の機能が含まれる例もあり、「CSPM製品を入れたら、DSPMは必ず別製品が必要」とは限りません。既存の製品でどこまでカバーできるかを確認したうえで、不足を補う形で検討すると無駄がありません。
CSPM・DSPMと混同しやすい用語の違い
クラウドセキュリティの領域には、CSPM・DSPMと似た略語が数多くあります。混乱しやすいこれらの用語は、「何を見るか」と「何をするか」の2軸で並べると整理できます。
| 用語 | CSPM | DSPM | DLP | CASB | SSPM | CWPP | CIEM |
|---|---|---|---|---|---|---|---|
| 何を見るか | クラウド基盤の設定・構成 | データの所在・分類・リスク | データの取り扱い（持ち出し・共有） | SaaS・クラウドアプリの使われ方 | SaaSアプリの設定状態 | ワークロード（仮想マシン・コンテナ等） | クラウドの権限（エンタイトルメント） |
| 何をするか | 設定ミス・コンプライアンス違反を検出し是正を促す | 機密データを自動で発見・分類しリスクを評価する | 不適切な共有や流出を検知して止める | シャドーITの可視化と利用の統制を行う | アプリごとの設定不備を見つけ是正を促す | 実行時の保護・脆弱性への対応を行う | 過剰な権限を可視化し最小権限に近づける |
これらを束ねる上位のまとまりがCNAPPで、上の表の個別カテゴリを統合的に提供する位置づけになります（詳しくは前章を参照）。似ているのは、CSPMとSSPMが「設定」を、DSPMとDLPが「データ」を扱う点ですが、CSPMはクラウド基盤・SSPMはSaaSアプリ、DSPMは所在の可視化・DLPは移動時の流出防止、と守備範囲が分かれています。
出典・参考資料（3件）
このうちCSPMについては、設定ミスを防ぐ具体的な仕組みや、CWPP・SSPM・CASBなど近い用語との違いをさらに掘り下げた解説もあります。CSPMを単体で深く理解したい方は、以下の記事が参考になります。
CSPM・DSPMはどこから始めるか
ここからは、実際に着手するときの進め方を見ていきます。どちらを選ぶにしても、出発点になるのは「自社のクラウド環境に、何が・どこにあるか」を把握することです。
DSPMであれば、まず機密データの地図を作るところから始まります。利用中のクラウドやSaaSを接続し、どこにどんなデータが分類されて存在するかを可視化したうえで、リスクの高い場所から対応していきます。CSPMの場合は、対象のクラウドアカウントを接続すれば、設定の点検は比較的すぐに回り始めます。
いずれの場合も、一度にすべてを対象にしようとせず、リスクの高い領域から段階的に広げるのが現実的です。まずは最も守りたいクラウドアカウントや機密データの範囲を決め、そこで検知された問題への対応を定着させてから、対象を広げていきます。こうすると初期の運用負荷を抑えながら、効果を確かめつつ進められます。
一括ダウンロードする
クラウドの設定とデータを守るサービス
ここからは、CSPM・DSPM・CNAPPの機能を提供する代表的なサービスを紹介します。自社の課題が「設定」寄りか「データ」寄りか、あるいは両方かによって、適したサービスは変わります。設定の点検を含めて幅広く手当てしたいならCSPMを含むオールインワン型、機密データの発見・分類が主目的ならDSPM製品、器とデータを一元管理したいならCNAPP、という対応で見ると選びやすくなります。
| サービス名 | Aikido Security | Varonis Data Security Platform | Prisma Cloud | CrowdStrike Falcon Cloud Security |
|---|---|---|---|---|
| 主な役割 | オールインワン脆弱性診断 （CSPM・コード診断など） | DSPM （データセキュリティ） | CNAPP （CSPM＋ワークロード保護） | CNAPP （CSPM＋ワークロード保護） |
| 対象範囲 | コード・依存関係・ クラウド設定・コンテナ・ Webアプリ（DAST：動的診断） | ファイル共有・Microsoft 365・ SaaS・クラウド・ データベース上のデータ | コード（IaC・CI/CD）・ クラウド設定・ ワークロード・ランタイム | クラウド設定・ ワークロード・権限（CIEM）・ クラウド検知対応（CDR） |
| 対応クラウド・環境 | AWS・Azure・GCP ほか | AWS・Azure・Google Cloud オンプレミスのファイル共有も | AWS・Azure・GCP・ OCI・Alibaba Cloud | AWS・Azure・GCP・OCI |
| 提供形態 | SaaS （顧客環境内スキャンも選択可） | SaaS （クラウド・ハイブリッド・ オンプレ対応） | SaaS（Enterprise Edition）／ セルフホスト（Compute Edition） | SaaS （Falconプラットフォームの モジュール） |
| 料金 | 月額5万円台〜 （無料プランあり） | 要お問い合わせ | 要お問い合わせ （クレジット制） | 要お問い合わせ |
| 無料トライアル | ●無料プラン・トライアルあり | △無料リスク評価のみ | △一部機能で30日間 | ●15日間 |
| 日本語サポート | ●AndGoが日本語対応 | △日本法人あり | △日本法人・パートナー経由 | △日本法人・日本語ページ |
| 詳細情報 | 公式資料を見る | 公式サイト | 公式サイト | 公式サイト |
ここで取り上げたのはクラウドセキュリティに絞った代表例です。クラウド設定の診断（CSPM）を含め、Webアプリやネットワークまで広く対象とする脆弱性診断サービス全体を、診断方法・費用相場・選び方から比較したい場合は、以下の記事もあわせてご覧ください。
脆弱性診断サービスおすすめ比較｜診断方法・費用相場・選び方を解説【無料ツールあり】
Webサービスや社内システムの脆弱性診断を検討する際、「専門家による手動診断とツールによる自動診断のどちらが自社に必要なのか」「費用が数十万円から数百万円までと幅が広く、妥当な予算が読めない」といった壁に突き当たる担当者は少なくありません。…
※料金・提供内容は2026年11月時点の各社公開情報によります。最新の内容は各サービスの公式情報をご確認ください。
1. Aikido Security（株式会社AndGo）
ソースコード、依存ライブラリ、クラウド設定、コンテナ、稼働中のWebアプリまでを1つの管理画面で検査できる、開発会社・開発部門向けのオールインワン型の脆弱性診断SaaSです。製品開発元はベルギーのAikido Security BVで、日本では株式会社AndGoが販売・サポートの窓口を担っています。
CSPMの観点では、AWS・Azure・GCPなどのクラウド設定の不備を検査する機能を備えています。単機能のツールを個別に足していくとアラートが分散しがちですが、複数の診断を統合することで対応すべきアラートを絞り込める点が特徴です。検出した問題に対して修正案のプルリクエストを作成する機能もあり、見つけてから直すまでの流れを現場で回しやすくしています。
複数の診断を1つにまとめて扱う狙いについて、日本窓口の株式会社AndGoは、導入現場でよく聞く悩みとして次のように話しています。
当社がよくお聞きするのは、「アラートが多すぎて、何が重要か分からなくなって放置が始まる」という悩みです。Aikido Securityは、バラバラだったアラートを統一し、対応すべきアラートを絞れるようにします。結果として、消し込み工数を減少でき、セキュリティ運用を“手に負える状態”に寄せていけます。
無料で試せるプランが用意されており、日本語での一次対応や導入時の伴走をAndGoが担うため、海外製ツールの導入に不安がある企業でも検討しやすい選択肢です。継続的にコードとクラウド設定を検査したい、内製開発中心の企業、特にSaaSを提供するスタートアップと相性のよい選択肢です。
2. Varonis Data Security Platform（Varonis Systems, Inc.）
データセキュリティとアクセスガバナンスに特化したプラットフォームで、DSPMの代表的な製品のひとつです。ファイル共有やMicrosoft 365、SaaS、クラウド基盤、データベース上のデータについて、分類・アクセス権限の把握・活動の監視・権限の自動修正・異常検知までを行います。
機密データがどこにあり、誰がアクセスできるかをアクセスグラフで可視化し、過剰な権限や不要なアカウント、公開された共有リンクを自動で見つけて是正する機能を備えています。クラウドだけでなくオンプレミスのファイル共有にも同じ機能を適用できるため、データの所在が複数環境に散らばっている企業に向いています。
Varonis Systemsは2026年10月に、Proofpointによる買収の最終契約を締結しています。クローズは2027年前半の見込みで、現時点では買収契約締結済み・未クローズの段階です。導入を検討する際は、契約・サポート体制の今後について提供元に確認しておくと安心です。
3. Prisma Cloud（Palo Alto Networks）
Palo Alto Networksが提供する、コード・インフラ・ランタイムの各領域にまたがるクラウドセキュリティプラットフォームで、CNAPPとして位置づけられています。CSPMによる設定の点検、ワークロード保護、IaC（コードによるインフラ定義）の検査などを組み合わせ、器からランタイムまでを横断的に守ります。
設定の点検とワークロードの保護を一体で扱えるため、マルチクラウドを運用していて設定とランタイムの両面を統合管理したい企業に適しています。稼働中のリソースを単位に課金するクレジット制を採用しており、利用量に応じて費用が変動します。
Palo Alto Networksは次期バージョンとして「Cortex Cloud」を発表しており、Prisma CloudのCNAPP機能をCortexプラットフォームへ統合する方針を示しています。新規に検討する際は、提供される製品名やプラン構成を提供元に確認することをおすすめします。
4. CrowdStrike Falcon Cloud Security（CrowdStrike, Inc.）
CrowdStrikeのFalconプラットフォーム上で提供されるクラウドセキュリティモジュールで、エージェントレスの設定監査（CSPM）とエージェント型のワークロード保護を同一基盤で統合したCNAPPです。AWS・Azure・GCP・OCI（Oracle Cloud Infrastructure）に対応します。
攻撃者の動向を追う脅威インテリジェンスと連動し、数ある指摘のなかから実際に狙われやすいリスクを優先順位づけする点が特徴です。クラウドとオンプレミスを横断した相関分析により、マルチクラウド環境で増えがちなアラートのノイズを抑える狙いがあります。
EDR（エンドポイントでの検知・対応）など同社の他モジュールと基盤を共有できるため、すでにCrowdStrikeを利用している企業は統合しやすい選択肢といえます。
15日間の無料トライアルが用意されており、日本語の公式ページも提供されています。まず自社環境で試してから判断したい場合にも検討しやすいサービスです。
まとめ
CSPMはクラウドの設定・構成を守る仕組み、DSPMはデータそのものの所在とリスクを守る仕組みで、見ている対象が根本から異なります。機密データを自動で発見・分類するのはDSPMにしかない機能で、だからこそ両者は補完関係にあります。
自社の主な課題がクラウド基盤の設定管理にあるならCSPM、機密データの所在把握にあるならDSPMから着手し、クラウド活用が大規模なら両方をCNAPPで統合する、という優先順位で考えると判断しやすくなります。まずは自社の課題がどちらに近いかを見極めたうえで、各サービスの機能や料金を具体的に比較してみてください。
一括ダウンロードする
よくある質問（FAQ）
Q. CSPMはデータの発見・分類もできますか？
A. CSPMはクラウドの設定・構成の点検に特化しており、機密データの発見・分類はできません。データがどこにあるかを自動で見つけて分類するのはDSPMの中核機能です。
そのため「何を守るべきか」というデータの棚卸し自体は、CSPMでは代替できず、DSPMが担います。設定を守るCSPMとデータを守るDSPMが補完関係にあるのは、この役割分担によるものです。
Q. DSPMとDLPは何が違いますか？
A. DSPMとDLPの違いは、DSPMがデータの「所在・分類・リスク」を可視化するのに対し、DLP（Data Loss Prevention）はデータの「持ち出し・共有」を監視して不適切な流出を止める点にあります。
DSPMは「どこに何の機密データがあるか」の地図を作る役割、DLPはそのデータが移動する場面で流出を防ぐ役割で、守る局面が分かれています。どちらも「データ」を扱う点で混同されやすいですが、目的は異なります。
Q. CSPMとSSPMの違いは何ですか？
A. CSPMとSSPMの違いは、CSPMがAWSやAzureなどクラウド基盤（IaaS・PaaS）の設定を点検するのに対し、SSPM（SaaS Security Posture Management）はSaaSアプリごとの設定状態を点検する点にあります。
どちらも「設定」を見る仕組みですが、対象がクラウド基盤かSaaSアプリかで守備範囲が分かれます。SaaSの利用が多い企業では、CSPMに加えてSSPMの観点も検討対象になります。
Q. DSPMは生成AIのデータ対策にも役立ちますか？
A. DSPMは、生成AIの業務利用で増える機密データの所在把握にも役立ちます。
生成AIの活用が広がると、クラウド上に置かれる機密データの量と置き場所がますます増えます。DSPMは、どこにどんな機密データがあり誰がアクセスできるかを自動で可視化するため、AIに学習・参照させてよいデータの線引きや、意図しない露出の発見に活用できます。
Q. CSPMもDSPMも導入しないと、どんなリスクがありますか？
A. CSPM・DSPMをどちらも導入しない場合、設定ミス由来の不正アクセスと、機密データの漏えい・過剰アクセスの両方を見落とすリスクが高まります。
設定不備は不正アクセスの主要な原因のひとつで、実際にクラウドの設定ミスが事故の一因になっています。また、個人情報保護法では一定の要件に当てはまる個人データの漏えいで個人情報保護委員会への報告と本人通知が義務づけられており、「公開された領域に何がどれだけ入っていたか」を把握できていないと、こうした事態への対応も後手に回ります。
Q. CSPMはエージェントを入れずに使えますか？
A. CSPMの多くは、各サーバーにエージェントを入れずに、クラウドアカウントを接続するだけで設定を点検できるエージェントレス方式に対応しています。
対象のクラウドアカウントを接続すれば設定の点検は比較的すぐに回り始めるため、導入のハードルが低いのが特徴です。一方で、稼働中のワークロード（仮想マシンやコンテナ）を実行時に細かく保護する用途では、エージェント型の仕組み（CWPP）を併用する製品もあります。自社が設定の点検までを求めるのか、ワークロードの実行時保護まで求めるのかで、必要な方式が変わります。
Q. DSPMはクラウドだけでなくオンプレミスやSaaSのデータも対象にできますか？
A. DSPMは、クラウドだけでなくSaaSやオンプレミスに散らばるデータも横断して対象にできる仕組みです。
クラウド基盤（IaaS・PaaS）が中心のCSPMと異なり、DSPMはクラウド・SaaS・オンプレミスをまたいで「どこに」「どんな機密データが」「誰がアクセスできる状態で」あるかを追います。対応範囲は製品によって異なるため、自社がデータを置いている環境（特定のクラウド、Microsoft 365などのSaaS、社内のファイル共有など）をカバーできるかを、個別に確認することが大切です。
Q. CSPM・DSPMの費用相場はどのくらいですか？
A. CSPM・DSPMの費用は公開されていないことが多く、保護対象の規模に応じた「要お問い合わせ」の個別見積もりが中心です。
料金体系は製品によって幅があり、稼働中のリソース量に応じて費用が変動する利用量課金を採用するものもあります。一方で、無料で試せるプランや無料トライアルを用意している製品もあり、まず自社環境で試してから判断することも可能です。正確な金額は、保護したいクラウド・データの規模を伝えたうえで各提供元に見積もりを依頼するのが確実です。
Q. CSPMとCWPPは何が違いますか？
A. CSPMとCWPPの違いは、CSPMがクラウド基盤の「設定・構成」の不備を点検するのに対し、CWPP（Cloud Workload Protection Platform）は仮想マシンやコンテナといった「ワークロード」を実行時に保護する点にあります。
CSPMが「設定が安全な状態か」を見るのに対し、CWPPは「動いているシステムが攻撃や脆弱性にさらされていないか」を見ます。両者はCIEM（権限管理）やDSPM（データ保護）とともに、CNAPPとして1つの基盤に統合されることが多いカテゴリです。
クラウドセキュリティ・脆弱性診断サービスの資料を一括チェック
MCB FinTechカタログでは、CSPM・DSPMを含むクラウドセキュリティ・脆弱性診断サービスの最新資料を無料で一括請求できます。機能や対応範囲を見比べて、自社の課題に合うサービスを検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
