Microsoft 365やGoogle Workspace、AWSといったクラウドを業務で使うことが当たり前になり、自社のデータや業務をどう守ればよいかを考える企業が増えています。クラウドを守るサービスには、CASB・CWPP・CSPM・IDaaSなど略語の種類が数多くあり、「それぞれ何を守るのか」「自社には何が必要なのか」が分かりにくいのが実情です。
本記事では、こうしたサービスを「守る対象」ごとに整理したうえで、自社に合うものをどう選び、何から始めればよいかまでを解説します。
目次
一括ダウンロードする
クラウドセキュリティサービスとは
クラウドセキュリティサービスとは、クラウド上のデータ・アプリケーション・インフラを、外部からの攻撃や設定ミスによる情報漏えいから守るためのサービスの総称です。守る対象はクラウドの設定、サーバやコンテナ、SaaSの利用、IDと認証、メールや端末など多岐にわたり、それぞれに専用の種類があります。
1つの製品ですべてを守るのではなく、自社のクラウドの使い方に合わせて必要な種類を組み合わせて使うのが基本です。まずは、どんな種類があり、何を守るのかを整理します。
守る対象別に見るクラウドセキュリティサービスの種類
クラウドを守るサービスは、略語で呼ばれることが多く分かりにくいものの、「何を守るのか」という守る対象で整理すると全体像が掴めます。まずは主な種類と守る対象を一覧で確認してください。
| 種類 | CSPM（クラウドセキュリティポスチャ管理） | CWPP（クラウドワークロード保護） | CASB・SSPM | SWG（セキュアWebゲートウェイ） | IDaaS（ID管理サービス） | WAF（Webアプリケーションファイアウォール） | メールセキュリティ | EPP・EDR | マネージド監視・NDR |
|---|---|---|---|---|---|---|---|---|---|
| 守る対象 | クラウドの設定・構成 | サーバ・コンテナなどのワークロード | SaaSの利用 | 社外へのWebアクセス | IDと認証 | 公開中のWebアプリ | メール | 端末（PC・サーバ） | ネットワーク全体・運用 |
| 主な役割 | 設定ミスや過剰な権限を自動で検査し、危険な状態を見つける | クラウド上で動くサーバやコンテナを監視し、脅威から保護する | 社員のSaaS利用を可視化し、設定の不備や危険な操作を見つける | Web通信を検査し、危険なサイトへの接続や情報の持ち出しを防ぐ | ログインを一元化し、多要素認証やアクセス制限で入口を守る | Webアプリを狙う攻撃を検知・遮断する | 標的型メール・なりすまし・不正な添付ファイルを検知する | 端末のマルウェアを防ぎ、侵入後の不審な挙動を検知・対応する | ネットワークや挙動を横断して監視し、検知・対応を担う（運用の代行も含む） |
| 主なサービス例 | Prisma Cloud、Microsoft Defender for Cloud、Aikido Security など | Trend Micro Cloud One、Prisma Cloud など | Netskope、Microsoft Defender for Cloud Apps など | Zscaler、Cisco Umbrella など | CloudGate UNO、IIJ IDサービス、OneLogin など | Cloudbric WAF+、攻撃遮断くん など | Proofpoint、Mimecast など | CrowdStrike Falcon、SentinelOne など | Darktrace、Arctic Wolf、Network Blackbox など |
※上記は各種類における一般的な役割の傾向です。製品によって対応範囲や呼称は異なるため、実際の機能は各社情報をご確認ください。
ここからは、特に押さえておきたい「クラウドの設定」「ワークロード」「SaaS利用」「ID・認証」を守る種類を順に解説します。Webアプリ・メール・端末を守る種類は、クラウドに限らず共通して使われるため、まとめて最後に触れます。監視・運用そのものを任せるマネージド型は、後半の選び方で取り上げます。
クラウドの設定・構成を守る（CSPM）
CSPM（Cloud Security Posture Management、クラウドセキュリティポスチャ管理）は、クラウドの設定や構成に誤りがないかを自動で検査する種類です。守る対象はAWSやAzureなどのクラウド基盤の設定で、公開すべきでないストレージが外部から見える状態になっていないか、権限が過剰に与えられていないかといった点を点検します。
クラウドの事故では、利用者側の設定不備が原因になることが少なくありません。総務省のガイドラインでも、複雑になりがちな設定項目の管理には「設定不備の検出ツールや監視ツール」の活用が有効だと示されています。CSPMはこの役割を担うサービスです。
出典・参考資料（1件）
サーバ・コンテナ等のワークロードを守る（CWPP）
CWPP（Cloud Workload Protection Platform）は、クラウド上で動くサーバやコンテナ、アプリケーションそのものを守る種類です。守る対象は「ワークロード」と呼ばれる、実際に処理を行うプログラムの実行環境です。OSやミドルウェアの脆弱性、コンテナイメージの危険性などを検査し、稼働中の不正な動きを監視します。
自社でアプリケーションを開発・運用している企業では、設定（CSPM）とワークロード（CWPP）を合わせて守る必要があります。この2つを含むクラウド向けの脆弱性診断をまとめて提供する製品もあり、本記事でも後ほど紹介します。
SaaS利用を守る（CASB・SSPM・SWG）
CASB（Cloud Access Security Broker）とSSPM（SaaS Security Posture Management）は、社員が使うSaaSの利用状況を守る種類です。守る対象はSaaSの使われ方で、CASBは誰がどのSaaSをどう使っているかを可視化し、SSPMはSaaS側の設定の不備を点検します。
許可していないSaaSの利用（シャドーIT）を見つける用途でも使われます。
SWGは守る対象が「社外へのWebアクセス」とやや異なりますが、SaaSの安全な利用と密接に関わるためここで併せて説明します。SWG（Secure Web Gateway、セキュアWebゲートウェイ）は、社外へのWeb通信を検査し、危険なサイトへの接続や情報の持ち出しを防ぎます。CASBと組み合わせ、クラウドやWebの利用全体を安全に保つ役割を担います。
SaaS側の設定不備を点検するSSPMについて、CSPMやCASBとの違いや具体的な製品の選び方まで踏み込みたい場合は、以下の記事で製品を比較しながら解説しています。
ID・認証を守る（IDaaS）
IDaaS（Identity as a Service）は、クラウドを使ううえでの「入口」であるIDと認証を守る種類です。守る対象はログインで、複数のクラウドサービスへのログインを一元化（シングルサインオン）しつつ、多要素認証やアクセス制限で不正なログインを防ぎます。
クラウドの不正侵入は、盗まれたIDとパスワードを悪用して正規の利用者になりすます手口が多く見られます。パスワードに頼らないパスキー（FIDO2）などの強い認証方式に切り替えることで、入口での被害を防ぎやすくなります。SaaSを複数使い始めた企業が最初に検討しやすい種類です。
ここで触れた多要素認証（MFA）そのものの仕組みや、二段階認証との違い、認証の3要素を基礎から押さえたい場合は、以下の記事が参考になります。
Webアプリ・メール・端末を守る（WAF／メール対策／EPP・EDR）
ここまでの種類に加え、クラウドに限らず共通して使われる守り方もあります。WAF（Web Application Firewall）は公開しているWebアプリを狙う攻撃を検知・遮断し、メールセキュリティは標的型メールやなりすまし、不正な添付ファイルを検知します。
EPP（Endpoint Protection Platform）・EDR（Endpoint Detection and Response）は、社員のPCやサーバといった端末を守る種類です。EPPがマルウェアの侵入を防ぎ、EDRが侵入後の不審な挙動を検知して対応します。これらはクラウド移行後も引き続き重要で、クラウド向けの種類と組み合わせて自社全体を守ります。
クラウドの「責任共有モデル」—どこまでを自社が守るのか
種類が守る対象ごとに分かれているのは、クラウドでは「事業者が守る範囲」と「利用者が守る範囲」が分かれているためです。この考え方は責任共有モデルと呼ばれます。
クラウドサービスの情報セキュリティを高めるためには、クラウドサービス事業者とクラウドサービス利用者が協力して、クラウドサービスに対する責任を共有することが必要（責任共有モデル）。
出典：クラウドサービス利用・提供における適切な設定のためのガイドラインの概要｜総務省
利用者が守る範囲は、サービスの形態によって変わります。SaaSでは利用者の責任は利用者アカウントや業務データの設定といった範囲にとどまる一方、IaaSでは仮想環境上で動くOSを含むすべてのソフトウェアの管理が利用者の責任になります。自社で持つ部分が広いほど、CSPMやCWPPなど自社で守るためのサービスが必要になります。
この責任分界点は、主要なクラウド事業者がそれぞれ公式に定義しています。Amazon Web Services（AWS）、Microsoft Azure、Google Cloudのいずれも責任共有モデルを採用しており、どの形態でもデータとIDの管理は常に利用者の責任とされています。自社が使うクラウドの公式ドキュメントで、どこまでが自社の責任かを確認しておくと安心です。
出典・参考資料（3件）
クラウド特有の主なリスクと、防ぐためのサービス・対策
ここからは、クラウド利用で実際に起きやすいリスクと、それぞれをどの種類・対策で防げるかを整理します。クラウドセキュリティアライアンス（CSA）の調査では、クラウドの重大な脅威として最初に「設定ミスと不適切な変更管理」が挙げられています。
設定ミス・権限管理の不備（CSPMで防ぐ）
CSAは設定ミスを「クラウドコンピューティング資産の誤った、または最適とは言えない設定のことで、意図しない損害や外部/内部の悪意ある活動に対して脆弱な状態になる可能性があります」と定義しています。公開範囲の設定誤りや過剰なアクセス権限が典型例です。
対策は、設定を人手で確認し続けるのではなく、CSPMで自動的に点検し、危険な設定を早く見つけることです。権限は必要最小限に絞る運用（最小権限）と合わせると効果が高まります。
不正アクセス・情報漏えい（IDaaS・多要素認証・暗号化で防ぐ）
盗まれたIDとパスワードによる不正アクセスは、情報漏えいの大きな原因です。CSAの脅威でも「アイデンティティとアクセス管理（IAM）」が設定ミスに次ぐ課題として挙げられています。対策は、IDaaSによる認証の一元化と、パスキーなどの多要素認証でなりすましを防ぐことです。
あわせて、保存するデータや通信を暗号化しておくと、万が一情報が持ち出されても中身を読まれにくくなります。IPAの「情報セキュリティ10大脅威 2026」でも、内部不正による情報漏えいが組織向けの脅威として挙げられており、アクセスの管理は社外・社内の両面で重要です。
出典・参考資料（1件）
シャドーIT・許可外のSaaS利用（CASB・SWGで防ぐ）
社員が会社の把握しないSaaSを業務で使う「シャドーIT」は、情報の流出経路になりやすいリスクです。どのSaaSが使われているか分からなければ、守りようがありません。対策は、CASBでSaaSの利用状況を可視化し、SWGで危険な通信を制御することです。
データ消失・サービス停止（バックアップ・監査ログで備える）
クラウドでも、誤操作やランサムウェアによるデータ消失、障害によるサービス停止は起こり得ます。責任共有モデルの通り、データの管理は利用者の責任です。対策は、重要なデータを別の場所にもバックアップしておくことと、誰がいつ何をしたかを追える監査ログを取得・確認しておくことです。
一括ダウンロードする
自社に合うクラウドセキュリティサービスの選び方
種類とリスクを押さえたら、自社に合うサービスを選びましょう。考え方の軸は「何を守るか」と「自社のクラウドの使い方」の掛け合わせです。
守りたい対象と自社のクラウド利用形態を掛け合わせて考える
まず、自社が何を守りたいか（クラウドの設定、SaaSの利用、IDと認証など）を棚卸しすることから始めます。そのうえで押さえたいのが、同じ守る対象でも、自社のクラウドの使い方によって優先順位の重みが変わる点です。
SaaSを中心に使うのか、AWSなどのIaaSで自前の環境を持つのかで、力を入れるべき対象は変わってきます。具体的に何から入れるかは、次の章で利用形態別に示します。
選ぶ際は、自社が使っているクラウド（AWS・Azure・Google Cloudなど）にサービスが対応しているかも必ず確認しましょう。
専任のセキュリティ担当がいなくても回る形（SaaS型・マネージド）
専任のセキュリティ担当を置けない企業では、運用の手間が小さい形を選ぶことが続けるコツです。自社でソフトを管理せず使えるSaaS型のサービスや、監視・検知・対応を専門事業者に任せるMDR（Managed Detection and Response、マネージドな検知・対応）を選べば、少人数でも運用を回しやすくなります。
ネットワークの通信を監視して脅威を見つけるNDR（Network Detection and Response）も、こうした監視を担う種類です。自社で監視まで手が回らない場合は、これらを外部に任せる形が現実的な選択肢になります。
導入のしやすさも重要です。無料トライアルで使い勝手を試せるか、日本語のサポートを受けられるかを確認しておくと、導入後につまずきにくくなります。
確認したいセキュリティ基準・認証（ISO/IEC 27017 など）
サービス提供側が、第三者の基準に沿った運用をしているかも選定材料になります。クラウド向けの基準としては「ISO/IEC 27017:2015（情報技術－セキュリティ技術－ISO/IEC 27002 に基づくクラウドサービスのための情報セキュリティ管理策の実践の規範）」が知られています。
注意したいのは、ISO/IEC 27017はそれ自体が認証の基準ではなく「実践の規範（ガイドライン）」である点です。取引先が求める「27017の取得」は、情報セキュリティマネジメントの認証（ISO/IEC 27001）を前提とした「ISMSクラウドセキュリティ認証」を指すことが多いのが実情です。認証の有無を確認する際は、どの認証を指しているかまで押さえておくと正確です。
何から始めるか—最小構成と候補サービス
すべての種類を一度に導入するのは現実的ではありません。ここでは、自社のクラウドの使い方に応じて、まず何から入れるかの目安を示します。
利用形態別の最小構成の優先順位
SaaSを複数使い始めた企業は、まずIDと認証を守るIDaaSから検討すると効果を実感しやすいでしょう。ログインの一元化と多要素認証は、なりすましによる不正侵入という入口のリスクを直接ふさぐためです。SaaS利用の可視化（CASB）は、その次の一手として考えられます。
AWSなどのIaaSで自前の環境を運用している企業や、自社でアプリを開発している企業は、設定ミスを検査するCSPMとワークロードを守るCWPPから始めるのが基本です。設定不備はクラウド事故の代表的な原因のため、まず「危険な設定がないか」を見える化することから着手します。どちらの場合も、無理のない範囲で始めて、守る対象を段階的に広げていくのが現実的です。
基本の対策と、それを担うサービスの種類
種類ごとのサービスを入れるかどうかに関わらず、どの企業でも取り組みたい基本の対策があります。IDと認証では多要素認証の導入（IDaaS）、クラウド設定では定期的な設定監査（CSPM）、データでは暗号化とアクセスログの取得・確認が基本です。
これに加え、ソフトウェアの脆弱性診断で弱点を早く見つけ、従業員への教育で設定ミスやメール経由の被害を減らすことも欠かせません。これらを自社の優先順位に沿って組み合わせていくとよいでしょう。
以下は、本記事で紹介する2つのサービスの概要です。守る対象が異なる（クラウドの設定とソフトウェアの脆弱性／IDと認証）ため、自社が優先したい対象に近いものを確認してください。同じ守る対象で複数のサービスを比べたい場合は、この後の関連記事や一括資料請求をご活用ください。
| サービス名 | Aikido Security | CloudGate UNO |
|---|---|---|
| 守る対象・種類 | クラウドの設定・構成／ サーバ・コンテナ／ソースコード （CSPM・コードや依存ライブラリの診断・Webアプリ診断） | IDと認証（IDaaS） SSO・多要素認証・パスキー・ アクセス制限・ID管理 |
| 主な機能 | 設定ミスの自動検査（CSPM）、 依存ライブラリ・コードの脆弱性診断、 アラートの自動トリアージ、 修正案のプルリクエスト自動作成。 AWS・Azure・Google Cloud対応 | シングルサインオン、 パスキー（FIDO2）によるパスワードレス認証 （全プラン・全ユーザー無制限）、 端末・場所・時間の3軸でのアクセス制限、 ID管理・プロビジョニング |
| 提供形態 | SaaS（クラウド型）。 開発元はベルギーのAikido Security、 日本の販売・サポート窓口は株式会社AndGo | SaaS（クラウド型・国産）。 株式会社インターナショナルシステムリサーチが 自社で開発・運用 |
| 料金目安 | ベーシックプラン 月額5万円台〜 （年額3,780ドル・1〜10ユーザー。参考価格、 日本円で案内、正式な見積もりはAndGoへ）。 無料で試せるDeveloperプランあり | Standard Plus 月額400円〜／ユーザー （税抜。別途初期費用）。 30日間の無料トライアルあり |
| 詳細情報 | 公式資料を見る | 公式資料を見る |
※料金・機能は2026年11月時点で各社公式サイト等を確認した情報です。最新の内容や正式な見積もりは各社へご確認ください。
クラウドに限らず、社内のセキュリティ全体で「どの対象を、どのサービスで守るか」をタイプ別に見比べたい場合は、以下の記事が守る対象ごとの整理と代表サービスの比較に役立ちます。
社内セキュリティソリューション比較｜守る対象別のタイプ・代表サービスと選び方
社内のセキュリティを強化したいものの、端末の保護から不正アクセス対策、情報漏えいの防止まで課題が広く、何から手をつければよいか判断がつかないという声は少なくありません。テレワークやクラウド利用が定着し、社外に持ち出される端末やIDが増えたこ…
ここからは、守る対象の異なる2つのサービスを個別に紹介します。自社が優先したい対象に近いものから見てみてください。
Aikido Security（株式会社AndGo）の特徴
ベルギーで開発されたAikido Securityは、ソースコード・依存ライブラリ・クラウドの設定・コンテナ・稼働中のWebアプリを1つの管理画面で検査する、オールインワンの脆弱性診断SaaSです。開発元はAikido Security BVで、日本では株式会社AndGoが販売・サポートの窓口を担っています。
クラウドの設定は、AWS・Azure・Google Cloudに対応したCSPMで検査し、危険な設定を見つけます。多数出がちなアラートを自動で整理して対応すべきものを絞り込み、修正案をプルリクエストとして自動作成する機能まで備えるため、開発の現場で使いやすい点が特徴です。Slack・Teams・Jira・AWSとの連携にも対応します。
無料で試せるDeveloperプランがあり、日本での料金はベーシックプランが月額5万円台から（年額3,780ドル。いずれも参考価格で、請求は日本円で案内）で、正式な見積もりはAndGoへの確認が必要です。自社でサービスを開発・運用している企業に向いています。
どのような企業で導入が進みやすいかについて、日本での窓口を務める株式会社AndGoの原氏は次のように話します。
もう一点、導入が進みやすいのは、CTOなど技術責任者がいて、開発の現場が主となってセキュリティ論点に対する意志決定ができる組織です。逆に、内部統制が強すぎて現場が動けない場合や、SOC外注に寄りすぎて開発環境の優先度が落ちている場合は、価値が出るまでに時間がかかることがあります。
CloudGate UNO（株式会社インターナショナルシステムリサーチ）の特徴
CloudGate UNOは、シングルサインオン・多要素認証・パスキー（FIDO2）によるパスワードレス認証・アクセス制限・ID管理をまとめた、国産のID基盤（IDaaS）です。株式会社インターナショナルシステムリサーチが自社で開発・運用しています。
一度の認証で複数のクラウドサービスへアクセスでき、SAML 2.0やOpenID Connectに対応してGoogle WorkspaceやMicrosoft 365などと連携します。端末・場所・時間の3つの軸でアクセスを細かく制限できるのも特徴で、パスキーによるパスワードレス認証は全プラン・全ユーザーで無制限に使えます。
月額はStandard Plusが1ユーザー400円から（税抜、別途初期費用）で、30日間の無料トライアルが用意されています。ISMS（ISO/IEC 27001）・プライバシーマーク・FIDO2認定を取得しており、SaaSを複数使い始めた企業の入口の守りに適しています。
パスワード管理にかかる運用の負担について、株式会社インターナショナルシステムリサーチの平澤氏は、導入企業での変化を次のように語ります。
導入と同時にパスワードレス認証に切り替えた企業では、IT部門の業務の約20%を占めていたパスワード関連のヘルプデスク業務が「0%」になったという事例があります。また、他社サービスからの乗り換え事例もございます。通常、設定の移行には時間がかかるものですが、当社のサポートによりわずか1週間で完了させたケースもあります。
まとめ
クラウドセキュリティサービスは、クラウドの設定・ワークロード・SaaS利用・IDと認証・メールや端末など、守る対象ごとに種類が分かれています。責任共有モデルの通り、クラウドでも利用者が守るべき範囲は残り、その広さは使い方によって変わります。
自社に合うサービスは、「何を守るか」と「クラウドの使い方」の掛け合わせで選びます。すべてを一度に揃える必要はなく、SaaS中心ならIDと認証から、IaaS中心なら設定とワークロードから、無理のない範囲で始めて段階的に広げていくのが現実的です。まずは守る対象を整理し、候補サービスの資料で機能や料金を見比べるところから始めてみてください。
一括ダウンロードする
よくある質問（FAQ）
Q. クラウドセキュリティサービスとは何ですか？
A. クラウドセキュリティサービスとは、クラウド上のデータ・アプリケーション・インフラを、外部からの攻撃や設定ミスによる情報漏えいから守るためのサービスの総称です。守る対象はクラウドの設定、サーバやコンテナ、SaaSの利用、IDと認証、メールや端末など多岐にわたり、それぞれにCSPM・CWPP・CASB・IDaaSといった専用の種類があります。
1つの製品ですべてを守るのではなく、自社のクラウドの使い方に合わせて必要な種類を組み合わせて使うのが基本です。
Q. CSPM・CWPP・CASBの違いは何ですか？
A. CSPMはクラウドの「設定・構成」、CWPPはサーバやコンテナなどの「ワークロード」、CASBは社員の「SaaS利用」と、守る対象がそれぞれ異なります。
CSPM（クラウドセキュリティポスチャ管理）は、設定ミスや過剰な権限を自動で検査します。CWPP（クラウドワークロード保護）はクラウド上で動くサーバやコンテナを監視して脅威から守り、CASB（クラウドアクセスセキュリティブローカー）は誰がどのSaaSをどう使っているかを可視化します。略語で呼ばれると分かりにくいものの、「何を守るのか」で整理すると自社に必要な種類が見えてきます。
Q. クラウドは安全ですか？
A. クラウドは事業者が守る範囲については高い水準で保護されていますが、利用者が守るべき範囲の設定ミスや不正アクセスによって事故は起こり得ます。
クラウドでは事業者と利用者が責任を分担する「責任共有モデル」が採られており、利用者側の設定不備は事故の代表的な原因です。総務省のガイドラインでも、複雑になりがちな設定項目の管理には設定不備の検出ツールや監視ツールの活用が有効だと示されており、CSPMなどのサービスでこの穴をふさぐことが安全につながります。
出典・参考資料（1件）
Q. 責任共有モデルで、自社が守る範囲はどこまでですか？
A. 利用者が守る範囲はサービス形態で変わり、SaaSでは利用者アカウントや業務データの設定、IaaSではOSを含むすべてのソフトウェアの管理が利用者の責任で、データとIDの管理はどの形態でも常に利用者の責任です。
自社で持つ部分が広いほど、CSPMやCWPPなど自社で守るためのサービスが必要になります。この責任分界点はAWS・Microsoft Azure・Google Cloudがそれぞれ公式に定義しているため、自社が使うクラウドの公式ドキュメントで、どこまでが自社の責任かを確認しておくと安心です。
出典・参考資料（3件）
Q. クラウドセキュリティは何から始めればよいですか？
A. 自社のクラウドの使い方に合わせ、SaaS中心ならID・認証を守るIDaaSから、AWSなどのIaaS中心なら設定を検査するCSPMから始めるのが基本です。
SaaSを複数使い始めた企業は、ログインの一元化と多要素認証でなりすましによる不正侵入を直接ふさげるIDaaSが効果を実感しやすいです。自前の環境を運用する企業は、設定不備というクラウド事故の代表的な原因を見える化するCSPMが起点になります。すべてを一度に揃える必要はなく、無理のない範囲で始めて守る対象を段階的に広げるのが現実的です。
Q. クラウドセキュリティサービスの料金の目安はどれくらいですか？
A. 料金はサービスの種類や提供形態によって幅があり、ID基盤（IDaaS）は1ユーザー月額数百円程度から、クラウドの設定を検査するSaaSは年額数十万円程度からが一つの目安です。
具体的な料金や無料トライアルの有無は、本記事の比較表で確認できます。多くのサービスに無料トライアルや無料プランが用意されているため、まず試して使い勝手と必要な規模を確かめてから正式な見積もりを取るとよいでしょう。
Q. 専任のセキュリティ担当がいなくてもクラウドセキュリティサービスは運用できますか？
A. 専任の担当がいなくても、ソフトを自社で管理せず使えるSaaS型のサービスや、監視・検知・対応を専門事業者に任せるマネージド型（MDRなど）を選べば、少人数でも運用を回せます。 運用の手間が小さい形を選ぶことが続けるコツで、無料トライアルで使い勝手を試せるか、日本語のサポートを受けられるかを確認しておくと、導入後につまずきにくくなります。
Q. SaaS（Microsoft 365やGoogle Workspace）しか使っていなくても必要ですか？
A. SaaS中心の利用でも、利用者アカウントや業務データの設定、IDと認証は利用者の責任として残るため、クラウドセキュリティサービスは必要です。
まずはログインを一元化し多要素認証で入口を守るIDaaS、次に社員のSaaS利用状況を可視化するCASBが有効です。許可していないSaaSの利用（シャドーIT）が情報の流出経路になりやすいため、「誰が何をどう使っているか」を見えるようにしておくことが守りの第一歩になります。
Q. 多要素認証を導入すればクラウドへの不正アクセスは防げますか？
A. 多要素認証は不正アクセスを防ぐ有効な対策ですが、それだけで万全ではなく、ID管理の一元化・クラウド設定の点検・データの暗号化などと組み合わせることが重要です。
不正侵入は盗まれたIDとパスワードで正規の利用者になりすます手口が多いため、パスワードに頼らないパスキー（FIDO2）などの強い認証方式に切り替えると入口の被害を防ぎやすくなります。あわせて設定ミスを検査するCSPMや、万が一の持ち出しに備えた暗号化・監査ログの取得まで行うと、多層的に守れます。
Q. シャドーIT（会社が把握しないSaaS利用）はどう対策すればよいですか？
A. シャドーITは、CASBで社員のSaaS利用状況を可視化し、SWG（セキュアWebゲートウェイ）で危険な通信を制御することで対策できます。 社員が会社の把握しないSaaSを業務で使うと情報の流出経路になりやすく、どのSaaSが使われているか分からなければ守りようがありません。まず利用実態を可視化して棚卸しし、必要に応じて利用の可否や操作を制御していくのが基本の流れです。
Q. クラウドセキュリティサービスを選ぶとき、ISO/IEC 27017の認証は確認すべきですか？
A. ISO/IEC 27017はクラウド向けのセキュリティ管理策を示す「実践の規範」で、それ自体は認証の基準ではありません。取引先が求める「27017の取得」は多くの場合、情報セキュリティマネジメントの認証（ISO/IEC 27001）を前提とした「ISMSクラウドセキュリティ認証」を指します。
サービス提供側が第三者の基準に沿った運用をしているかは選定材料になりますが、認証の有無を確認する際は、どの認証を指しているかまで押さえておくと正確です。
クラウドセキュリティサービスの料金・資料を一括チェック
MCB FinTechカタログでは、クラウドの設定を守るサービスやID・認証を守るサービスなど、クラウドセキュリティの最新資料を無料で一括請求できます。守る対象ごとに機能・料金・対応範囲を見比べて、自社に合うサービスを効率よく選べます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
