CSPMとSSPMの違いとは？守る範囲と自社に必要なのはどちらかをわかりやすく解説

クラウドのセキュリティ製品を調べていると、「CSPM」と「SSPM」という、1文字違いでよく似た言葉に出くわします。どちらもクラウドの設定を見張る仕組みに見えますが、守っている対象は別物です。違いがあいまいなまま製品を比べ始めると、自社に本当に必要な領域を取り違えかねません。

では、この2つはどこがどう違い、自社にはどちらが（あるいは両方が）必要なのでしょうか。CASBやCWPPといった周辺の用語との関係も、整理できていないと判断に迷う部分です。

本記事では、CSPMとSSPMがそれぞれ何を守るのかを具体的な対象を挙げながら横並びで整理し、CASB・CWPP・DSPM・CNAPPとの関係、そして自社の環境に照らしてどちらを優先すべきかまで解説します。情報システム・セキュリティ担当の方が、次に検討すべき領域を見極める材料としてご活用ください。

CSPMとSSPMの違い【結論・横並び比較表】

はじめに結論から整理します。CSPMとSSPMの最も大きな違いは、守る対象がクラウド基盤（IaaS／PaaS）の設定か、SaaSアプリの設定・権限かという点です。どちらも「設定の不備（設定ミス）を見つけて直す」ための仕組みですが、見張る場所が分かれています。

CSPM（Cloud Security Posture Management：クラウドセキュリティポスチャ管理）は、AWS・Microsoft Azure・Google Cloudといったクラウド基盤の設定を見張ります。

一方のSSPM（SaaS Security Posture Management：SaaSセキュリティポスチャ管理）は、Microsoft 365・Google Workspace・Salesforceといった、すでに出来上がったSaaSアプリの設定や権限を見張ります。

同じ「設定を見張る」仕組みでも、見ている場所が基盤側かSaaS側かで分かれます。以下は、CSPMとSSPMの違いをまとめた比較表です。

守る対象のちがいは、クラウドを層で見ると一目で整理できます。

なぜ守る対象が分かれるのかは、クラウドの提供形態の違いにさかのぼると腑に落ちます。

米国国立標準技術研究所（NIST）の定義では、IaaS（Infrastructure as a Service）の利用者はOS・ストレージ・自社で動かすアプリケーションまでを自分で管理します。一方SaaS（Software as a Service）の利用者が触れるのは「限定的な利用者側のアプリ設定」だけで、基盤そのものは提供事業者が管理します。

このように、利用者が設定できる範囲が層ごとに違うため、その設定を監視する仕組みもCSPMとSSPMに分かれています。

出典・参考資料（1件）

• 出典：The NIST Definition of Cloud Computing（SP 800-145）｜米国国立標準技術研究所（NIST）（https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-145.pdf）

CSPMとは

ここからは、CSPMとSSPMをそれぞれ具体的に見ていきます。まずCSPMは、AWSやAzureのようなクラウド基盤（パブリッククラウドのインフラ）に潜むリスクを管理する仕組みです。セキュリティベンダーのPalo Alto Networksは、CSPMを「パブリッククラウドのインフラのリスクをコントロールする取り組み」と定義しています。

具体的には、クラウド資源の設定を継続的にチェックし、設定ミスを見つけて是正につなげる役割を担います。

クラウド基盤では、ストレージの公開範囲やアクセス権限など、利用者が決める設定項目が数多くあります。こうした設定の不備は、人の目視だけでは追いきれません。CSPMはこの点を自動で監視し、問題のある設定を洗い出します。

CSPMの主な機能とできること

CSPMが提供する機能は製品によって幅がありますが、中心となるのは次の3つです。

• 設定ミスの検知と是正：公開範囲が広すぎるストレージや緩すぎるアクセス設定など、リスクのある設定を自動で特定し、直すための手順を示します。
• 継続的な監視と一元管理：複数のクラウドにまたがる設定状況をまとめて可視化し、変化を継続的に監視します。
• 国際基準に基づくチェック：CISベンチマークなどの基準に照らして、設定が推奨水準を満たしているかを点検します。

ただし、CSPMは過剰に緩いアクセス権限のような「設定上のリスク」を検知しますが、誰にどの権限を与えるかを細かく統制する本格的な権限管理（CIEMと呼ばれる領域）そのものを担うわけではありません。CSPMはあくまで、設定の状態（ポスチャ）に問題がないかを見張る仕組みと捉えるのが正確です。

出典・参考資料（2件）

• 出典：What Is Cloud Security Posture Management (CSPM)?｜Palo Alto Networks（https://www.paloaltonetworks.com/cyberpedia/what-is-cloud-security-posture-management）
• 出典：Microsoft Defender for Cloud の概要｜Microsoft Learn（https://learn.microsoft.com/en-us/azure/defender-for-cloud/defender-for-cloud-introduction）

設定ミスが具体的に何をもたらすか

クラウド基盤の設定ミスは、抽象的なリスクではなく現実の情報漏えいにつながります。トヨタ自動車は2023年5月、クラウド環境の誤設定により、約215万人分の顧客情報が外部から閲覧できる状態になっていたと公表しました。公開状態にあった可能性があるのは車載端末ID・車台番号・車両の位置情報と時刻で、外部からアクセスできた期間は2013年11月6日から2023年4月17日までの約10年に及びました。

この事例が示すのは、設定ミスが長期間気づかれないまま放置されうるという点です。CSPMのように設定を継続的に監視する仕組みがあれば、このような公開状態を早い段階で検知できる可能性が高まります。

出典・参考資料（1件）

• 出典：クラウド環境の誤設定による車両データ等の一部顧客情報の公開状態について｜トヨタ自動車（2023年5月12日発表）（https://global.toyota/jp/newsroom/corporate/39174380.html）

自社の環境がクラウド基盤中心で、CSPMの機能や選び方、設定リスクへの具体的な対処までもう一段詳しく知りたい場合は、CSPM単独で掘り下げた以下の記事が参考になります。

SSPMとは

続いてSSPMです。SSPMは、Microsoft 365やSalesforceのようなSaaSアプリの設定と権限が安全な状態かを、継続的に評価・管理する仕組みです。Palo Alto Networksは、調査会社Gartnerの定義として「SaaSアプリケーションのセキュリティリスクを継続的に評価し、セキュリティの状態を管理するツール」とSSPMを紹介しています。

SSPMを「CSPMのSaaS版」と捉えると、理解を誤ります。CSPMが見張るのは自社が構築・運用するクラウド基盤ですが、SSPMが見張るのは出来上がったSaaSの利用者側の設定です。SaaSは手軽に導入できる反面、管理者が設定項目を把握しきれず、安全でない状態のまま使われがちです。SSPMはこの「SaaSの設定の緩み」を専門に見張ります。

SSPMの主な機能とできること

SSPMの機能も製品で幅がありますが、代表的なものは次のとおりです。

• 設定の継続監視：SaaSアプリの設定を継続的に監視し、安全でない設定や、運用のなかで徐々に崩れていく設定（設定ドリフト）を検知します。
• 権限・アカウント設定のチェック：多要素認証（MFA）の強制といったセキュリティ設定が適切かを、CISベンチマークなどの基準に照らして点検します。
• 外部連携アプリの可視化：従業員が許可した外部連携アプリ（OAuthアプリ）が、データへアクセスする過剰な権限を持っていないかを洗い出します。

SaaSでは、従業員が業務の都合で便利な外部アプリを連携させることがあります。Microsoftは、こうした外部連携アプリが気づかれないまま広い権限を持ち続け、乗っ取りの入り口になりうると説明しています。SSPMは、こうしたSaaSならではの見えにくいリスクを可視化する点に強みがあります。

出典・参考資料（2件）

• 出典：What Is SaaS Security Posture Management (SSPM)?｜Palo Alto Networks（https://www.paloaltonetworks.com/cyberpedia/what-is-saas-security-posture-management）
• 出典：Microsoft Defender for Cloud Apps の概要｜Microsoft Learn（https://learn.microsoft.com/en-us/defender-cloud-apps/what-is-defender-for-cloud-apps）

SSPMをさらに詳しく知りたい方や、実際に導入できるSSPM製品を比べたい方は、日本で使える製品を横並びで整理し、対応SaaSや選び方まで解説した以下の記事が役立ちます。

CASB・CWPP・DSPM・CNAPPとの関係

CSPMとSSPMを調べると、CASB・CWPP・DSPM・CNAPPといった似た用語も一緒に出てきて、混乱のもとになります。これらは守る対象や役割がそれぞれ異なります。CSPM・SSPMが「設定（ポスチャ）」を見張るのに対し、各ツールが何を見るのかを次の表で整理します。

ポイントは、CNAPPだけが他と性質が異なる点です。CASB・CWPP・DSPMがそれぞれ特定の対象を守る個別の仕組みなのに対し、CNAPP（Cloud Native Application Protection Platform）はCSPMやCWPPといった複数の機能を1つにまとめた統合プラットフォームを指します。

MicrosoftやCloud Security Allianceも、CNAPPをCSPM・CWPPなどを統合したものと説明しています。CNAPPをCSPMの競合機能と誤解しないよう注意してください。

出典・参考資料（2件）

• 出典：Know Your Cloud Security Acronyms: CWPP, CSPM, CIEM and CNAPP｜Cloud Security Alliance（https://cloudsecurityalliance.org/articles/know-your-cloud-security-acronyms-cwpp-cspm-ciem-and-cnapp）
• 出典：Microsoft Defender for Cloud の概要｜Microsoft Learn（https://learn.microsoft.com/en-us/azure/defender-for-cloud/defender-for-cloud-introduction）

自社に必要なのはCSPM・SSPMどちらか（両方必要なケース含む）

ここまでの違いを踏まえ、自社に必要なのはどちらかを考えます。判断の軸は「自社がクラウド基盤をどこまで自分で運用しているか」と「業務の中心がSaaSかどうか」です。

自社環境別の判断の目安

• AWS・Azureなどで自社システムを運用している（IaaS／PaaS中心）：クラウド基盤の設定ミスが主なリスクになるため、まずCSPMの領域を優先して検討します。
• 業務の中心がMicrosoft 365やSalesforceなどのSaaS：SaaSの設定や権限の緩みがリスクの中心になるため、SSPMの領域を優先して検討します。
• クラウド基盤もSaaSも両方使っている：多くの企業がこれに当てはまります。この場合は、CSPMとSSPMの両方の領域が守備範囲に入ります。

CSPM・SSPM単独では守れない範囲と併用の必要性

CSPMとSSPMは、どちらも「設定の不備」を見張る仕組みであり、守る対象が重なりません。自社がクラウド基盤とSaaSの両方を使っているなら、片方だけでは守備範囲に穴が残ります。たとえばCSPMだけを導入しても、Microsoft 365の権限設定の緩みは見張れません。

さらに、CSPM・SSPMがカバーするのは「設定」の領域であり、通信の制御（CASB）や稼働中のワークロードの保護（CWPP）までは担いません。クラウドとSaaSのセキュリティは、これらを組み合わせた多層の対策で成り立つと捉え、自社でまず手当てすべき設定の領域がCSPMかSSPMかを見極めるところから始めるのが現実的です。

設定ミスの検査・SaaSの棚卸しをサービスで解決する

自社に必要な領域の見当がついたら、次は実際のサービスで対処する段階です。ここではCSPM側の代表として、クラウド基盤の設定ミスの検査を含む脆弱性診断サービスを、SSPMに近い取り組みの代表として、SaaSアカウントの可視化・棚卸しを担うSaaS管理ツールを紹介します。

SaaSの設定・権限そのものを監視する製品と、その前段となる棚卸しは役割が異なります。実務では「まず利用中のSaaSを棚卸しして実態を把握し、そのうえで設定・権限の監視へ進む」という順序が現実的なため、ここでは棚卸しを担うツールを取り上げます。SSPM製品を横並びで比較したい場合は、前掲の『SSPMとは』の記事をご覧ください。

次の表は、2つのサービスを優劣で比べるものではなく、CSPM側・SSPM側それぞれの代表として対応領域を整理したものです。自社の課題がどちらに近いかを確認してください。

1. Aikido Security（株式会社AndGo）

Aikido Securityは、クラウド設定の検査（CSPM）を含む複数の診断を1つにまとめたオールインワンの脆弱性診断SaaSです。クラウド基盤の設定ミスの検査に加え、ソースコードや依存ライブラリ、コンテナ、稼働中のWebアプリまでをまとめてチェックできるAppSec（アプリケーションセキュリティ）プラットフォームとして提供されています。

CSPM機能は公式サイトのCloud製品として明記され、AWS・Azure・Google Cloudのクラウド設定の検査に対応します。CSPMだけの専用ツールではなく、「クラウドの設定からコード・アプリまでを1画面で見渡したい」というニーズに向く点が特徴です。無料で試せるDeveloperプランがあり、まず自社の設定を検査してみたい段階でも着手しやすいつくりになっています。

2. マネーフォワード Admina（マネーフォワードｉ株式会社）

マネーフォワード Adminaは、社内で使われているSaaSのアカウントを可視化し、棚卸しまで行えるSaaS管理ツールです。SaaSの設定・権限そのものを監視するSSPM製品とは役割が異なり、その手前で「どのSaaSを誰が使っているか」を把握する前段を担います。使われているSaaSが見えていないと設定・権限の点検も始められないため、棚卸しはSSPMに取り組むうえでの出発点になります。

利用中のSaaSアカウントの可視化、許可外のサービス（シャドーIT）の検知、入退社時のアカウント発行・停止（オフボーディング）をまとめて扱えます。SaaSの数が増えて管理が追いつかない、退職者のアカウントが残っていないか不安、といった課題に対し、棚卸しの土台を整えるツールとして活用できます。

クラウド設定の検査を含む脆弱性診断サービスを、診断方法・費用の目安・選び方で横並びに比較したい場合は、以下のまとめ記事もあわせてご覧ください。自社の課題に合うサービスを絞り込む材料がそろいます。

まとめ

CSPMとSSPMは名前が似ていますが、CSPMはAWSなどのクラウド基盤の設定を、SSPMはMicrosoft 365などのSaaSの設定・権限を見張る、守る対象の異なる仕組みです。CASB・CWPP・DSPM・CNAPPとも役割が分かれており、クラウドとSaaSのセキュリティはこれらを組み合わせた多層の対策で成り立ちます。

自社がクラウド基盤を運用しているならCSPM、SaaSが業務の中心ならSSPMの領域から検討し、両方使っているなら両方が守備範囲に入ります。まず自社の環境に照らして必要な領域を見極め、設定ミスの検査やSaaSの棚卸しといった具体的な対処に進めてください。

よくある質問（FAQ）

Q. CSPMとSSPMの違いは何ですか？

A. CSPMとSSPMの違いは、CSPMがAWSなどのクラウド基盤（IaaS／PaaS）の設定を、SSPMがMicrosoft 365などのSaaSアプリの設定・権限を見張る点にあります。どちらも設定の不備（設定ミス）を検知して是正につなげる仕組みですが、見張る層が分かれており、どちらか一方が他方を含む関係ではありません。

Q. SSPMはCSPMの代わりになりますか？

A. SSPMはCSPMの代わりにはなりません。両者は守る対象が異なり、互いを補い合う関係です。SSPMはSaaSの設定・権限を、CSPMはクラウド基盤の設定を見張るため、クラウド基盤とSaaSの両方を使っているなら、片方だけでは守備範囲に穴が残ります。「SSPMはCSPMのSaaS版」と捉えると役割を取り違えるため注意してください。

Q. CSPMとSSPMは併用できますか？

A. CSPMとSSPMは併用でき、クラウド基盤とSaaSの設定リスクを両面から押さえられます。両者は監視する対象が重ならないため、組み合わせても機能が競合しません。CSPMやCWPPなど複数のクラウドセキュリティ機能を1つに束ねたCNAPP（統合プラットフォーム）として、まとめて導入する選択肢もあります。

Q. CSPMやSSPMは中小企業でも必要ですか？

A. CSPM・SSPMは、クラウドやSaaSを業務で使う企業であれば、規模を問わず検討する価値があります。むしろ専任のセキュリティ担当が少ない中小企業ほど、設定ミスを人手で追いきれず放置されやすいため、設定を自動で監視する仕組みの効果は大きくなります。重要な情報を扱うクラウドやSaaSを1つでも使っているなら、検討の対象になります。

Q. CSPM・SSPMの導入費用や期間の目安はどのくらいですか？

A. CSPM・SSPMの費用は製品や監視対象の規模で大きく変わり、ユーザー数や連携するSaaSの数に応じた月額課金が一般的です。導入期間は、ツールの初期設定自体は短期間で済むことが多い一方、どの設定を基準に監視するかというポリシーの策定まで含めると、数週間から数ヶ月かかる場合もあります。正確な費用・期間は、自社の環境を伝えて各製品の見積もりを取るのが確実です。

Q. CSPMやSSPMを導入すれば、クラウドとSaaSのセキュリティは万全ですか？

A. CSPM・SSPMを導入してもセキュリティが万全になるわけではありません。いずれも「設定の不備」を見張る仕組みで、通信の制御（CASB）や稼働中のワークロードの保護（CWPP）までは担わないためです。クラウドとSaaSのセキュリティは、これらを組み合わせた多層の対策で成り立ちます。CSPM・SSPMは、そのなかで「設定の領域」を受け持つ対策と位置づけてください。

クラウド・SaaSの設定リスクを検査するサービスの資料を一括チェック

MCB FinTechカタログでは、クラウド設定の検査を含む脆弱性診断サービスやSaaS管理ツールの最新資料を無料で一括請求できます。対応範囲や機能を各社の資料でまとめて比較できます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。