自社で使うクラウドが部署ごとに広がり、設定ミスや退職者アカウントの放置、権限の付けっぱなしに不安を感じていませんか。上司や取引先から「クラウドのセキュリティはきちんと点検しているのか」と問われ、何をどう確認すればよいか調べ始めた方も多いはずです。
クラウドの利用はすでに当たり前になっており、総務省の情報通信白書によると、国内のパブリッククラウドサービス市場は2024年に4兆1,423億円（前年比26.1％増）まで拡大しています。
一方で、利用者が自分で設定する項目が多いクラウドでは、設定の不備が情報漏洩につながる例が後を絶ちません。総務省のガイドラインは、情報処理推進機構（IPA）の調査をもとに、2021年の不正アクセスの原因別比率で設定不備が全体のおよそ17.7％を占め、第3位になっていたと示しています。
クラウドセキュリティ監査は、こうした「設定・運用が事故を起こしにくい状態か」を点検して改善につなげるための取り組みです。
本記事では、クラウドセキュリティ監査とは何かという定義から、自社でまず確認したい点検項目のチェックリスト、監査の進め方、内部点検と外部の第三者監査の使い分けまでを整理します。あわせて、ISMS・SOC 2・CSマーク・CSPMといった制度・規格・ツールの違いも解説します。費用の目安や、自社だけで回らないときに頼れるサービスも取り上げますので、自社の点検に着手するための材料としてご活用ください。
出典・参考資料（2件）
目次
一括ダウンロードする
クラウドセキュリティ監査とは？まず押さえる定義
クラウドセキュリティ監査とは、自社が使っているクラウドの設定や運用が、情報漏洩などの事故を起こしにくい状態になっているかを点検し、問題があれば改善につなげる取り組みを指します。クラウドは利用者側が公開範囲やアクセス権限など多くの項目を自分で設定するため、その設定や運用が妥当かを定期的に確かめる必要があります。
「監査」という言葉は、自社内で行う点検から、第三者が制度に基づいて評価・認証する仕組みまで、幅広い意味で使われます。たとえばクラウドサービスの提供事業者を対象とする制度として、クラウド情報セキュリティ監査制度があり、JASAクラウドセキュリティ推進協議会は次のように説明しています。
クラウド情報セキュリティ監査とは、標準的なサービスを多数の顧客に提供するクラウドサービスの特性を踏まえて、事業者が行うべき情報セキュリティマネジメントの基本的な要件（基本言明要件）を定め、事業者がそのとおりに実施しているかを基準に基づき評価し、安全性が確保されていることを顧客に明確にする仕組みです。
出典：クラウド情報セキュリティ監査制度｜JASAクラウドセキュリティ推進協議会
これはクラウドサービスを提供する事業者側を評価・認証する制度の説明です。本記事で扱うのは、こうした制度の話に加えて、クラウドを「利用する」企業が自社の設定・運用を点検する取り組みです。まずは自社で何を点検すればよいのかを、次のチェックリストで具体的に見ていきます。
クラウドセキュリティ監査で点検する項目チェックリスト
ここからは、自社のクラウドで「これとこれを見ればよい」と分かるよう、点検項目を4つの領域に分けて挙げます。総務省の「クラウドの設定ミス対策ガイドブック」は、特に重要な項目として「ユーザアカウントの管理」「アクセス管理」「情報公開のルール」の3点を挙げており、以下のチェックリストもこの観点を軸に整理しています。
確認する場所は、AWSやAzureなどのIaaSでは各クラウドの管理コンソール、Microsoft 365やSalesforceなどのSaaSでは各サービスの管理者設定画面が中心で、同じ項目でも見る場所は異なります。項目ごとに「望ましい状態」を思い浮かべながら、自社の設定がそうなっているかを照らし合わせてみてください。
認証・アクセス管理
誰がどこまで操作できるかを管理する領域です。退職者や異動者のアカウントが残っていると、現役時代の権限で機密情報にアクセスされる恐れがあるため、ここは特に重点的に確認します。
- 管理者アカウントの棚卸し：管理者権限を持つアカウントが誰で、何人いるかを把握できているか
- 退職者・異動者アカウントの削除：退職・異動の際に、アカウントの削除や権限の引き継ぎが漏れなく行われているか
- 多要素認証（MFA）の適用：重要なアカウントに多要素認証が設定され、全員に適用されているか
- 最小権限の原則：各ユーザーに業務上必要な範囲だけの権限を与え、管理者権限を不必要に配っていないか
総務省のガイドブックも、退職者対応について次のように注意を促しています。
退職者が出たときには、その人が持っていたアカウントを削除したり、権限を他の人に引き継いだりという作業が発生します。……これを忘れると、退職者が現役時代の権限を使って機密情報にアクセスすることが可能となってしまいます。
出典：クラウドの設定ミス対策ガイドブック（2024年4月）｜総務省
データ保護
データが意図せず外部から見える状態になっていないか、万が一漏れても被害を抑えられるかを見ていきます。情報公開の初期設定が「非公開」だったのに、開発中に「公開」へ変えたまま戻し忘れる、といった例が実際に報告されています。
- 外部公開設定の確認：ストレージやファイル共有の公開範囲が「非公開」を原則とし、意図せず外部から閲覧できる状態になっていないか
- 暗号化：重要な情報について、保管時・通信時の暗号化が設定されているか
- バックアップ：データのバックアップが取得され、復元できる状態にあるか
暗号化は設定ミスそのものを防ぐ対策ではなく、万一漏洩が起きたときの備えである点に注意が必要です。総務省のガイドブックも「暗号化は設定ミスを減らす対策ではなく、設定ミスによる情報漏洩が起きたときのための対策です」と位置づけを明確にしています。
出典・参考資料（1件）
ネットワーク
外部と内部の境界や、通信経路の設定が点検の対象です。公開すべきでない管理画面やサーバーが、インターネットから直接たどり着ける状態になっていないかを点検します。
- 公開範囲の分離：外部に公開する部分と社内限定の部分が分離され、内部向けの資源が外部に露出していないか
- 不要なポート・サービスの停止：使っていない通信口やサービスが開いたままになっていないか
- アクセス元の制限：管理用の接続について、接続元のIPアドレスや経路を必要な範囲に絞っているか
ログ・運用
記録を残し、点検を続けられる体制になっているかを確かめます。設定ミスは担当者・手順・組織の体制など複数の原因から生まれるため、ツールの設定だけでなく運用のルールも点検の対象になります。
- ログの取得・保管：操作やアクセスの記録が取得され、必要な期間保管されているか
- 監視と検知：不審な操作や設定変更に気づける仕組みがあるか
- シャドーITの把握：情報システム部門が把握していないクラウドサービスが、現場で勝手に使われていないか
- 運用ルールと手順書：設定変更や権限付与の手順がルール化され、記録が残っているか
- 委託先の点検：システムの構築・運用を外部に任せている場合、その委託先の設定まで確認できているか
総務省のガイドブックは、設定ミスの原因を「①担当者、②マニュアル、③作業環境、④組織の環境の4つの観点から整理できます」としています。点検では、クラウドの設定値だけでなく、こうした体制・手順の面も含めて見ていくことが大切です。
出典・参考資料（1件）
クラウドセキュリティ監査の進め方
点検する項目が見えたら、次はそれをどの順序で進めるかです。クラウドセキュリティ監査は、次のような流れで進めると、抜け漏れを抑えながら改善までつなげられます。
最初のステップは、監査の範囲と目的を決めることです。対象とするクラウドサービスやシステム、どのリスクを重点的に見るかを整理しておくと、進めやすくなります。すべてを一度に見ようとすると手が回らないため、重要なデータを扱う範囲から優先度を付けるのが現実的です。
次の段階は、現状を把握するための情報集めです。利用しているクラウドの設定、アカウントや権限の一覧、運用ルールや手順書、過去の変更記録などがそろうと、点検の土台ができます。
そのうえで、集めた情報を点検項目に照らして現状を確認していきます。前章のチェックリストを使うと、設定や運用が望ましい状態になっているか、ずれている箇所はどこかを洗い出せます。
確認した結果は、記録として文書に残しておくと役立ちます。どこに問題があり、どのリスクが高いのかを整理しておくと、改善の優先順位を付けやすくなり、上司や取引先への説明にも使えます。
最後は、洗い出した問題を改善につなげる段階です。設定の修正や運用ルールの見直しを行い、対応状況を記録に残します。監査は一度で終わりにせず、定期的に繰り返して状態を保つことが重要です。
自社でやる内部点検と外部の第三者監査の違い・使い分け
クラウドセキュリティ監査には、自社の担当者が自分たちで行う内部点検と、外部の専門会社に依頼して客観的に評価してもらう第三者監査・診断があります。それぞれに向き・不向きがあるため、目的に応じて使い分けます。
| 内部点検と外部の第三者監査 | 費用 | 客観性 | 対外的な証明 | 頻度・手軽さ |
|---|---|---|---|---|
| 自社で行う内部点検 | 担当者の工数が中心で、追加費用は抑えやすい | 社内の視点に偏りやすく、見落としが起きやすい | 自社内の記録にとどまる | 日常的・継続的に回しやすい |
| 外部の第三者監査・診断 | 依頼費用が発生する（診断の種類・範囲で変わる） | 第三者の視点で、社内では気づきにくい問題を洗い出せる | 取引先や上層部に示せる報告書・証明を得やすい | 節目や定期のタイミングで実施することが多い |
※上記は一般的な傾向の整理です。実際の費用・対応範囲は依頼先や診断内容により異なります。
まずは自社のチェックリストで内部点検を回し、「自社だけでは判断が難しい」「取引先に示せる客観的な評価がほしい」と感じた部分を外部の第三者監査・診断で補う、という組み合わせが現実的です。
参考までに、組織を認証する制度の世界にも、内部監査と外部監査という二層の考え方があります。クラウド情報セキュリティ監査制度（CSマーク）では、事業者自身が行う内部監査を終えたものがシルバー、独立した第三者による外部監査を終えたものがゴールドとして区別されています。
これは組織を評価・認証する制度上の区分であり、日常的なセルフチェックとは性質が異なりますが、「内部で見るか、第三者に見てもらうか」という考え方の対比として参考になります。
出典・参考資料（1件）
クラウドセキュリティ監査に関わる制度・規格・ツールの全体像と選び方
クラウドセキュリティ監査を調べると、CSマーク、ISMS、SOC 2、CSPMなど、さまざまな用語が出てきます。これらは「国内の制度」「国際的な規格や保証報告」「設定を点検する技術ツール・基準」「海外の規制・業界基準」といった系統に分かれ、それぞれ誰を対象にし、何を示すものかが違います。まずは一覧で全体像をつかみ、そのうえで自社に関係するものを見極めていきましょう。
制度・規格・ツール早見表
| 制度・規格・ツール | CSマーク（クラウド情報セキュリティ監査制度） | ISMS（ISO/IEC 27001） | ISO/IEC 27017 | SOC 1 | SOC 2 | ISMAP | CSPM | SSPM | CIS Benchmarks | NIST SP 800-53 | PCI DSS | HIPAA |
|---|---|---|---|---|---|---|---|---|---|---|---|---|
| 区分 | 国内制度 | 国際規格 | 国際規格 | 保証報告（国際） | 保証報告（国際） | 国内制度（政府調達） | 技術ツール | 技術ツール | 技術基準 | 技術基準 | 業界基準（国際） | 海外規制 |
| 何を示すか・誰向け | クラウド事業者・一般企業が、情報セキュリティマネジメントを基準どおり実施していることを評価・認証する制度 | 組織の情報セキュリティマネジメントの仕組みが要求事項を満たしていることを示す認証 | ISO/IEC 27001を前提に、クラウドサービス固有の管理策を追加したガイド。ISMSクラウドセキュリティ認証の基準 | 受託会社の、委託元の財務報告に関わる内部統制についての保証報告 | セキュリティ・可用性・処理のインテグリティ・機密保持・プライバシーに関する受託会社の統制の保証報告 | 政府が求めるセキュリティ要求を満たすクラウドを事前に評価・登録する、政府調達のための制度 | IaaS（インフラを提供するクラウド）の設定を自動でチェックし、設定ミスやコンプライアンス違反を特定するツール | SaaS（アプリを提供するクラウド）の設定やコンプライアンス状況を管理し、脅威を検出するツール | AWSやAzureなど製品ごとの、安全な設定の推奨基準。世界の専門家の合意に基づく（認証制度ではない） | 情報システム・組織のためのセキュリティ／プライバシー管理策のカタログ（米国NIST） | クレジットカード業界のデータセキュリティ基準 | 米国の医療情報のプライバシーに関する法律 |
| 利用者側への関係 | 取引先の安全性を確認する目印として参照できる。自社で取得することも可能 | 自社や委託先の管理体制の水準を示す。クラウドに限らない全社的な認証 | クラウド固有の管理策まで対応していることの目印。27001が前提 | 財務に関わるクラウドを使う際、事業者から入手して確認する（利用する立場では、取得するより入手・確認が基本） | クラウド事業者から入手し、委託先管理や取引先への説明に使う（利用する立場では入手・確認が基本。自社が受託側なら取得することもある） | クラウドを利用する側の企業が受審・取得するものではない（登録するのはクラウドを政府に提供する事業者）。安全なクラウドを選ぶ際の参考リストとして使える | 自社のクラウド設定を継続的に点検するために使える | 利用するSaaSの設定を点検するために使える | 設定の良し悪しを測る物差し。CSPMが点検に用いる基準の一つ | 設定・統制の参照基準。CSPMが準拠するフレームワークの一つ | カード決済データを扱う場合に関係する | 米国の医療情報を扱う事業に関わる場合に関係する |
※各制度・規格・ツールの位置づけを整理したものです。詳細は各発行主体の公式情報をご確認ください。
一覧にすると数が多く見えますが、すべてを気にする必要はありません。クラウドを利用する多くの国内企業がまず押さえたいのはCSマーク・ISMS・CSPMで、SOC 1・SOC 2やISMAP、PCI DSS・HIPAAは、政府・金融・カード決済・医療・海外事業など特定の取引や業種に関わる場合に確認すれば十分です。
国内制度のCSマークは、経済産業省が公開する「クラウドサービス利用のための情報セキュリティマネジメントガイドライン」に基づく基準を用いています。このガイドラインは、日本からの提案を経て2015年に発行された国際規格ISO/IEC 27017の源流でもあり、国内制度と国際規格が同じ考え方を共有している点が、全体像をつかむうえでの手がかりになります。
一方、ISMAPのように政府調達のための制度は、民間の利用者が自ら取得・受審するものではなく、安全なクラウドを選ぶ際の参考リストとして位置づけられます。
出典・参考資料（6件）
設定監査（技術）と制度監査（第三者認証）の使い分け
早見表の用語は、大きく2つの系統に分けて考えると整理しやすくなります。1つは、クラウドの設定そのものを技術的に点検する「設定監査」です。CSPMやSSPMがこれにあたり、総務省のガイドブックは、CSPMについて「IaaS（インフラを提供するサービス）の監査ツール」で「クラウドの設定を自動的にチェックし、設定ミスやコンプライアンス違反等のリスクを特定してくれる」と説明しています。
CSPMが点検する設定項目は、前掲のCISやNISTといった標準的なフレームワークに準拠しているのが特徴です。
CSPMが設定ミスをどのように自動検知するのか、SSPMやCASB・CNAPPといった似た名前のツールと何が違うのかをもう少し掘り下げて知りたい場合は、以下の記事で仕組みから整理しています。
もう1つは、組織の管理体制を第三者が評価・認証する「制度監査」です。ISMS（ISO/IEC 27001・27017）、SOC 2、CSマークがこれにあたり、設定の点検というより、ルールや体制が基準を満たしているかを示すものです。
自社のクラウド設定の穴を日々ふさぎたいなら設定監査のツール、取引先や上層部に体制の確かさを示したいなら制度監査の認証、というように目的で選び分けると、自社がどちらに取り組むべきかが見えてきます。
一括ダウンロードする
クラウドセキュリティ監査の費用の目安
費用は、自社で行う内部点検か外部への依頼か、また対象の範囲や診断の種類によって大きく変わります。自社の担当者が設定を確認する内部点検であれば、工数が中心で追加費用は抑えられます。一方、外部に依頼する場合は、点検・診断の内容によって費用が決まります。
費用を左右する主な要素は、対象とするクラウドやシステムの数、診断の種類（設定の点検か、Webアプリやネットワークまで含めた脆弱性診断か）、そして一度きりの実施か継続的な監視かといった点です。監査の種類によって費用の性質が大きく異なるため、種類ごとに目安を分けて見ておくと検討しやすくなります。
クラウドの設定を自動で点検するCSPMのようなツールを継続利用する形では、月額数万円台から始められるものもあります。設定監査は継続的な監視が前提のため、月額の利用料で考えるのが基本です。
専門会社に依頼する受託型の脆弱性診断は、スポットで数十万円台からが目安です。たとえば本記事で紹介するサービスの公表料金では、ソースコードの診断で15万円から、Webアプリのペネトレーションテストで60万円からといった水準になっています（1社の例であり、対象範囲で変わります）。
ISMSやSOC 2などの制度認証を取得する場合は、取得・運用を支援するサービスの費用に加えて、審査機関へ支払う審査費用が別途必要になります。いずれも対象範囲で変動するため、正確な金額は各サービスへの見積り依頼で確認してください。具体的な料金は次の章で各サービスとあわせて紹介します。
自社だけで回らないときのクラウド設定監査・診断サービス
チェックリストで内部点検を回すなかで、「設定の点検を自動で続けたい」「専門家に客観的に見てほしい」「取引先に示せる認証がほしい」と感じる場面が出てきます。ここでは、そうした次の一歩を支えるサービスを、設定の自動点検・第三者による診断・制度認証の運用という3つの切り口で紹介します。
| サービス名 | Aikido Security | CoWorker 脆弱性診断サービス | SecureNavi |
|---|---|---|---|
| 主なアプローチ | 設定の自動点検（CSPM） | 第三者による診断 | 制度認証の運用 |
| 診断・監査の対象 | クラウド設定（AWS・Azure・Google Cloud） ソースコード・依存ライブラリ 稼働中のWebアプリ | Webアプリ・API ソースコード | 組織の管理体制・規程・証跡 （ISMS／Pマーク／SOC 2対応） |
| 提供形態 | SaaS（月額サブスクリプション） | 受託（スポット／定期） | クラウド（SaaS）＋運用支援 |
| クラウド設定の自動点検（CSPM） | ● | × | × |
| 制度認証（ISMS・SOC 2）への対応 | △認証取得・維持を支援 | × | ● |
| 料金の目安 | 月額5万円台〜（参考価格） 無料で試せるプランあり | ソースコード診断15万円〜 Webペネトレーションテスト60万円〜 | 要お問い合わせ （事業規模・対応規格で見積り） |
| 詳細情報 | 公式資料を見る | 公式資料を見る | オンライン相談を予約 |
ここで取り上げた3サービスは、設定の自動点検・第三者診断・認証運用という切り口ごとの代表例です。これら以外にも脆弱性診断サービスを幅広く横並びで比較し、診断方法や費用相場、選び方まで確認したい場合は、以下の記事もあわせてご覧ください。
1. Aikido Security（株式会社AndGo）
Aikido Securityは、ソースコード・依存ライブラリ・クラウド設定・稼働中のWebアプリを1つの管理画面でまとめて検査するSaaSです。ベルギーのAikido Security BVが開発し、日本では株式会社AndGoが販売と日本語サポートの窓口を担っています。
クラウドの設定監査にあたる機能として、AWS・Azure・Google Cloudの設定ミスを自動で検査するCSPMを備えており、自社のクラウド設定を継続的に点検したいチームに向いています。
複数の診断を1つの画面に統合することで、個別ツールを足したときに起こりがちな「アラートが散らばって対応が追いつかない」状態を避けやすくしています。ISO 27001・SOC 2の認証取得や維持の支援、監査用のレポート出力にも対応します。
料金は月額固定のサブスクリプション型で、日本窓口のBasicプランは利用者10人までで年額3,780ドル（参考価格、日本円の請求書払いに対応）、月額にすると5万円台からの案内です。無料で試せるプランも用意されています。
設定の点検を一度で終わりにしない考え方について、日本窓口を担う株式会社AndGoの原氏は、独自インタビューでセキュリティの位置づけの変化を次のように語っています。
正直なところ、昔は「セキュリティは運用側が最後に何とかするもの」という前提が強かったと思います。ですが今は攻撃の手口も複雑ですし、作ったあとに1回チェックして終わり、では追いつきません。だから開発の初期からセキュリティを組み込むDevSecOps（開発（Dev）、セキュリティ（Sec）、運用（Ops））が現実解になってきていて、Aikido Securityはその“回し方”を作るためのツールだと考えています。
2. CoWorker 脆弱性診断サービス（CoWorker株式会社）
第三者に客観的な診断を依頼したい場合の選択肢が、CoWorker株式会社の脆弱性診断サービスです。自社開発のAI「Red Agent」による自動解析と、社内のセキュリティ専門家による最終確認を組み合わせ、Webアプリケーション・API・ソースコードを診断します。メニューは、ソースコードを読み取る静的診断、実際にアクセスして調べる動的診断、仮想的な攻撃を仕掛けるペネトレーションテストの3種類です。
AIの活用により、人手だけの診断と比べて短時間で結果を得られるため、これまで年に1回だった診断を四半期や月単位で繰り返す使い方もしやすくなります。料金は、静的なソースコード診断が15万円から、動的診断がAPIのエンドポイント数に応じて30万円から、Webペネトレーションテストが60万円から、ネットワークペネトレーションテストが100万円からという設定です。
診断を定期的に繰り返す必要性が増している背景について、CoWorker株式会社の一ノ瀬氏は、独自インタビューで次のように説明しています。
一方で、攻撃者側もAIを活用するようになり、新しく、しかもスピード感の早い攻撃が増えてきています。これまでは年に1回、あるいはサービスをリリースした直後にだけ脆弱性診断を行うという企業が多かったのですが、AIの発達によって攻撃側のスピードが上がっている以上、定期的に診断をしないと危険だという状況になってきました。
3. SecureNavi（SecureNavi株式会社）
SecureNavi株式会社のSecureNaviは、ISMS認証やPマークの取得から維持・運用までをクラウド上で支援するサービスです。構築ガイド、文書管理、リスクアセスメント、内部監査、委託先管理、従業員向けのeラーニングを同じ画面で扱え、認証の運用に必要な記録や教育の進捗を一元管理できます。制度認証の取得・運用まで視野に入れる企業に向いています。
同社は、SOC 2対応に必要な社内規程・内部統制・証跡をクラウド上で一元管理し、監査準備から監査対応までを効率化するプラットフォーム「Fit&Gap」も提供しています。SOC 2やISMAPなどの基準・制度への対応を支えるもので、制度面での監査対応を進めたい企業の準備を後押しします。料金は事業規模や対応規格によって見積りとなるため、詳細は問い合わせで確認してください。
まとめ
クラウドセキュリティ監査は、自社のクラウドの設定・運用が事故を起こしにくい状態かを点検し、改善につなげる取り組みです。まずは認証・アクセス管理、データ保護、ネットワーク、ログ・運用という4つの領域のチェックリストで、退職者アカウントの残存や外部公開設定、多要素認証の適用などを自社の環境に当てて確認してみてください。
内部点検で見えてきた課題は、範囲決めから改善までの手順で整理し、必要に応じて外部の第三者監査・診断や、設定を自動で点検するCSPM、ISMS・SOC 2などの制度認証で補っていきます。自社だけで回らないと感じたときは、設定の自動点検・第三者診断・認証運用のそれぞれに対応したサービスの資料を取り寄せ、対応範囲や費用を見比べて検討するとよいでしょう。
一括ダウンロードする
よくある質問（FAQ）
Q. クラウドセキュリティ監査とは何ですか？
A. クラウドセキュリティ監査とは、自社が使っているクラウドの設定や運用が、情報漏洩などの事故を起こしにくい状態になっているかを点検し、問題があれば改善につなげる取り組みです。
クラウドは利用者側が公開範囲やアクセス権限など多くの項目を自分で設定するため、その設定や運用が妥当かを定期的に確かめる必要があります。「監査」という言葉は、自社内で行うセルフチェックから、第三者が制度に基づいて評価・認証する仕組みまで幅広い意味で使われます。
Q. クラウドセキュリティ監査では何を点検しますか？
A. クラウドセキュリティ監査では、「認証・アクセス管理」「データ保護」「ネットワーク」「ログ・運用」の4つの領域を点検します。
具体的には、管理者アカウントの棚卸しや退職者アカウントの削除、多要素認証（MFA）の適用、最小権限、外部公開設定、暗号化、ログの取得など、4つの領域の主要な項目を確認します。総務省のガイドブックは、特に「ユーザアカウントの管理」「アクセス管理」「情報公開のルール」の3点を重要な項目として挙げています。
Q. クラウドセキュリティ監査はどのように進めますか？
A. クラウドセキュリティ監査は、監査の範囲と目的を決める→現状を把握する情報を集める→点検項目に照らして現状を確認する→結果を文書に記録する→洗い出した問題を改善につなげる、という流れで進めます。
すべてを一度に見ようとすると手が回らないため、重要なデータを扱う範囲から優先度を付けるのが現実的です。記録として文書に残しておくと、改善の優先順位を付けやすくなり、上司や取引先への説明にも使えます。一度で終わりにせず、定期的に繰り返して状態を保つことが大切です。
Q. クラウドセキュリティ監査は自社で行うべきですか、第三者に頼むべきですか？
A. クラウドセキュリティ監査は、まず自社のチェックリストで内部点検を回し、「自社だけでは判断が難しい」「取引先に示せる客観的な評価がほしい」と感じた部分を外部の第三者監査・診断で補う組み合わせが現実的です。
内部点検は担当者の工数が中心で費用を抑えて日常的に回せる一方、社内の視点に偏って見落としが起きやすい面があります。外部の第三者監査・診断は費用が発生しますが、客観的な視点で社内では気づきにくい問題を洗い出せ、取引先や上層部に示せる報告書・証明を得やすいのが特徴です。目的に応じて使い分けます。
Q. クラウドセキュリティ監査の費用はどのくらいですか？
A. クラウドセキュリティ監査の費用は、自社で行う内部点検なら担当者の工数が中心で追加費用を抑えられ、外部に依頼する場合は点検・診断の内容に応じて決まります。
費用を左右するのは、対象とするクラウドやシステムの数、診断の種類（設定の点検か、Webアプリやネットワークまで含めた脆弱性診断か）、一度きりの実施か継続的な監視か、といった点です。
大まかな水準感としては、設定を自動点検するCSPMツールが月額数万円台から、受託型の脆弱性診断がスポットで数十万円台から、ISMSなどの制度認証取得は支援費用に審査機関への審査費用が加わる、という形です。対象範囲で変わるため、正確な金額は各サービスへの見積りで確認してください。
Q. 設定監査（CSPM）と制度監査（第三者認証）は何が違いますか？
A. 設定監査はクラウドの設定そのものを技術的に点検する仕組み（CSPM・SSPM）で、制度監査は組織の管理体制を第三者が評価・認証する仕組み（ISMS・SOC 2・CSマーク）です。
設定監査は、CSPMやSSPMがCISベンチマーク・NISTといった基準に沿って設定ミスを自動で見つける技術的な点検です。制度監査は、ルールや体制が基準を満たしているかを第三者が評価するものです。多くの企業は、まず設定監査で足元の穴をふさぎ、取引や業種の要件に応じて制度認証を検討する、という順で進めます。
Q. CSマーク・ISMS・SOC 2とは何で、利用者側の自社に関係ありますか？
A. CSマークは国内制度、ISMS（ISO/IEC 27001）は国際規格、SOC 2は受託会社の統制に関する保証報告で、CSマークやISMSは自社でも取得でき、SOC 2は自社が取得するのではなくクラウド事業者から入手して委託先管理や取引先への説明に使うものです。
CSマークは情報セキュリティマネジメントを基準どおり実施していることを評価・認証する制度、ISMSは組織の管理体制の水準を示す認証、SOC 2はセキュリティ・可用性・処理のインテグリティ・機密保持・プライバシーの5領域に関する統制の保証報告です。いずれも取引先の安全性を確認する目印として参照できます。
Q. ISMAPは自社に関係ありますか？
A. ISMAPは政府が求めるセキュリティ要求を満たすクラウドを事前に評価・登録する政府調達のための制度で、民間企業が自ら受審・取得するものではありません。
民間の利用者にとっては、安全なクラウドを選ぶ際の参考リストとして使えます。政府機関との取引や公共調達に関わる場合に、登録されたクラウドかどうかを確認する目印になります。
Q. クラウドセキュリティ監査はどのくらいの頻度で行うべきですか？
A. クラウドセキュリティ監査は、一度で終わりにせず、定期的に繰り返して状態を保つことが大切です。
クラウドの設定や利用状況は時間とともに変わり、新たな設定ミスや権限の付けっぱなしも起こり得るため、重要なデータを扱う範囲ほど頻度を上げるのが安心です。設定を自動で点検するCSPMのようなツールを使えば継続的な監視がしやすく、人手による診断も、短時間で結果が出る仕組みを使えば年1回から四半期・月単位へと頻度を高めやすくなります。
クラウドセキュリティ監査に使えるサービスの料金・資料を一括チェック
MCB FinTechカタログでは、クラウドの設定監査（CSPM）・脆弱性診断・ISMSやSOC 2などの認証運用を支えるサービスの最新資料を無料で一括請求できます。対応するクラウドや診断範囲、費用をまとめて比較し、自社の点検の次の一歩を検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
