自社のクラウド利用の安全対策を見直そうとして、「クラウドセキュリティガイドライン活用ガイドブック」という文書名にたどり着いた方は少なくありません。名指しで検索したということは、まず知りたいのは一般的な「クラウドセキュリティとは」ではなく、その文書そのものの正体——どこが出した何の文書で、どこで手に入り、自社に何を求めているのか——ではないでしょうか。
結論から言えば、これは経済産業省が2013年度版として公表した、クラウド利用時の情報セキュリティを実務でどう確保するかを示した手引きです。「クラウドサービス利用のための情報セキュリティマネジメントガイドライン」という規範文書を、実際にどう使うかという視点でかみ砕いたもので、リスクを8つの領域に整理し、利用企業が取るべき対策・事業者の選び方・契約やインシデントへの備えまでを扱っています。
本記事では、この文書の発行元と版を正確に確定したうえで、8領域のリスク分類、利用企業がすべきこと、事業者選定の実務チェックリストを整理します。あわせて、2013年度版という年次を踏まえ、総務省が2024年に出した「クラウドの設定ミス対策ガイドブック」やISO/IEC 27017、ISMAPといった新しい枠組みとの関係も確認し、古い情報だけを読んでいないかという不安に答えます。
読み終えたときに、ガイドラインの考え方を自社のチェックリストや事業者選定の物差しに落とし込み、足りない対策をどの手段で埋めるかの見当がつく状態を目指します。
目次
一括ダウンロードする
クラウドセキュリティガイドライン活用ガイドブックとは
ここでは、文書の身元を先に確定します。検索結果には似た名前の文書や発行元の異なる資料が混ざりやすいため、どこが出した何の文書なのかをはっきりさせておくことが、その後の読み解きの土台になります。
発行元・正式名称・版と公式PDFの入手先
「クラウドセキュリティガイドライン 活用ガイドブック」は、経済産業省 商務情報政策局 情報セキュリティ政策室が公表した2013年度版の文書です。経済産業省のウェブサイトでPDFとして公開されており、入手先は本節末尾の出典に示したURLから確認できます。
この活用ガイドブックは単独で完結する規範ではなく、同省の「クラウドサービス利用のための情報セキュリティマネジメントガイドライン」という規範文書を前提に、それを実際の場面でどう使うかを示す手引きとして位置づけられています。規範本体が「何を守るべきか」を定めるのに対し、活用ガイドブックは「どう使ってリスクを洗い出し、対策を選ぶか」を具体化する役割を担います。
文書はおおむね、クラウドセキュリティの考え方、ガイドラインを使ったリスク分析手法、利用者のための活用、事業者のための活用といった章で構成されています。なかでも利用企業にとって中心となるのは、リスクを整理する章と、事業者選定・契約・インシデント準備を扱う利用者向けの章です。
出典・参考資料（1件）
- 参考資料：クラウドセキュリティガイドライン 活用ガイドブック（2013年度版）｜経済産業省 商務情報政策局 情報セキュリティ政策室（https://www.meti.go.jp/policy/netsecurity/downloadfiles/cloudseckatsuyou2013fy.pdf）
改訂版・ISO/IEC 27017・ISMAPとの関係（鮮度の確認）
活用ガイドブックが2013年度版である点は、読むうえで押さえておきたいところです。ガイドラインの考え方そのもの——事業者に任せきりにせず、利用者が自らリスクを洗い出して対策を選ぶ——は現在も有効ですが、具体的な技術や制度は、その後に整備された枠組みとあわせて読むのが実態に合います。
より新しい版を探している場合の答えを先に示すと、経済産業省が「活用ガイドブック」として公開しているのは2013年度版で、これより新しい版は確認できません。最新の内容を補うには、以下に挙げる国際規格や総務省の新しいガイドブックとあわせて読むのが現実的です。
クラウドサービス向けの情報セキュリティ管理策の国際規格としては、ISO/IEC 27017があります。日本ではJIS規格としても制定されており、その正式名称は次のとおりです。
JIS Q 27017:2016 (ISO/IEC 27017:2015)「情報技術―セキュリティ技術―JIS Q 27002に基づくクラウドサービスのための情報セキュリティ管理策の実践の規範」
出典：クラウドサービス利用・提供における適切な設定のためのガイドライン（2022年10月）参考文献｜総務省
ISO/IEC 27017は、情報セキュリティ管理策の規格であるISO/IEC 27002を基礎に、クラウドサービスに固有の管理策を加えた実践規範です。活用ガイドブックが国際標準化に触れているのはこの流れであり、自社や事業者がこの規格に沿っているかは、クラウド利用の安全性を測るひとつの目安になります。
加えて、政府には「ISMAP（政府情報システムのためのセキュリティ評価制度）」があり、評価・登録されたクラウドサービスが「ISMAPクラウドサービスリスト」に掲載されています。これは一次的には政府調達のための制度ですが、民間企業にとっても事業者の安全性を測る参考指標として使えます（詳しくは後述の事業者選定の観点で扱います）。
出典・参考資料（1件）
- 出典：クラウドサービス利用・提供における適切な設定のためのガイドライン（2022年10月）｜総務省（https://www.soumu.go.jp/main_content/000843318.pdf）
総務省「クラウドの設定ミス対策ガイドブック」(2024)との違い
検索すると、名前のよく似た「クラウドの設定ミス対策ガイドブック」が並ぶことがあります。これは発行元も目的も異なる別の文書です。取り違えないよう、ここで切り分けておきます。
- 経済産業省「クラウドセキュリティガイドライン 活用ガイドブック」（2013年度版）＝本記事の主題。クラウド利用全体のリスクを8領域に整理し、対策・事業者選定・契約まで広く扱う手引き
- 総務省「クラウドの設定ミス対策ガイドブック」（2024年4月）＝クラウドの「設定ミス」による情報漏えいの防止に的を絞った、より新しい実務ガイド
両者は競合するものではなく、補い合う関係にあります。全体像を経済産業省の活用ガイドブックで押さえ、近年とくに事故が目立つ設定ミスについては総務省の新しいガイドブックで補強する、という読み方が実務に合います。設定ミス対策の中身は、本記事の後半であらためて取り上げます。
ガイドブックが利用企業に求めていること
活用ガイドブックの根底にあるのは、クラウドの安全を事業者に任せきりにしないという姿勢です。利用企業には、自社がそのクラウドを何に使い、どんな重要度のデータを預けるのかを明確にしたうえで、必要なセキュリティの水準を自ら定め、リスクを洗い出して対策を選ぶことが求められます。
この「任せきりにしない」という前提にあるのが、クラウド業界で広く確立した責任共有モデルの考え方です。クラウドの安全は事業者と利用者が分担して守るもので、どこまでが事業者の責任で、どこからが自社の責任かを理解しておく必要があります。考え方の中身は、総務省のガイドブックが次のように分かりやすく説明しています。
クラウドのセキュリティの確保については、まず、サービスの提供者と利用者とが、責任を分担するという考え方が重要です。このような考え方を「責任共有モデル」と呼びます。責任共有モデルの考え方は現在多くのクラウドサービス事業者に採用されています。また、ＳａａＳ、ＰａａＳ、ＩａａＳといったクラウドサービスの種類によって責任分担の範囲が異なります。
出典：クラウドの設定ミス対策ガイドブック（2024年4月）｜総務省
重要なのは、設定や運用を外部の事業者（SI事業者）に任せた場合でも、利用者の責任がなくなるわけではないという点です。総務省のガイドブックは、この点をはっきりと指摘しています。
ＳＩ事業者が行った設定であっても、最終的な責任は利用者が負うことになることから、利用者もＳＩ事業者の行った設定に注意しておく必要があります。
出典：クラウドの設定ミス対策ガイドブック（2024年4月）｜総務省
このように活用ガイドブックが利用企業に求めるのは、使うサービスの種類ごとに自社の責任範囲を把握し、その範囲の対策を主体的に設計・実施することです。この前提を押さえると、次に見る8領域のリスク分類も、自社が手を動かすべき箇所として読めるようになります。
出典・参考資料（1件）
- 出典：クラウドの設定ミス対策ガイドブック（2024年4月）｜総務省（https://www.soumu.go.jp/main_content/000944467.pdf）
一括ダウンロードする
ガイドラインが示す8領域のリスク分類と点検すべきこと
活用ガイドブックは、クラウドのリスクを闇雲に数えるのではなく、システムの構造を意識して領域ごとに洗い出す進め方をとります。具体的には、同ガイドブックのリスク分析の章にならい、クラウドを次の8つの領域に分けて、それぞれでリスクと対策を整理します。自社のクラウド利用を点検するときのチェックの切り口として使えます。
| 領域 | インフラ | 仮想化基盤 | サービス基盤 | 統合管理環境 | データ管理 | データ分類 | ID管理 | 人員 |
|---|---|---|---|---|---|---|---|---|
| 点検する観点（例） | データセンターや物理的な設備、通信経路の安全性。災害・障害時の継続性や冗長化 | 仮想サーバーを支える基盤の分離や管理。他利用者との隔離が保たれているか | クラウドサービスを動かす基盤の可用性や単一障害点の有無 | 設定や運用をまとめて行う管理コンソール（コントロールパネル）の保護。管理者権限の扱い | 保存・通信時の暗号化、バックアップとリストア、データの保存場所や消去 | 扱う情報の重要度に応じた区分と、区分に見合った管理の適用 | 利用者の認証とアクセス権の付与・見直し。アカウントのライフサイクル管理 | 運用に関わる人の教育・権限・手順の整備。内部不正やヒューマンエラーへの備え |
8領域に分ける狙いは、「どの層にどんなリスクがあるか」を漏れなく見渡すことにあります。たとえば情報漏えいという1つの事故も、通信経路の問題（インフラ）、管理コンソールの設定ミス（統合管理環境）、アクセス権の付与ミス（ID管理）、担当者の操作ミス（人員）など、複数の領域にまたがって原因が生じ得ます。領域ごとに点検することで、特定の対策に偏らず、自社の弱い層を見つけやすくなります。
どの領域の責任が自社にあるかは、前述のとおり利用するサービスの種類（SaaS／PaaS／IaaS）で変わります。IaaSに近いほど利用者が設定・管理する範囲が広く、SaaSに近いほど事業者が担う範囲が広がる、という大枠を踏まえて、自社が手を入れるべき領域を見定めてください。
出典・参考資料（1件）
- 参考資料：クラウドセキュリティガイドライン 活用ガイドブック（2013年度版）のリスク分析の章｜経済産業省（https://www.meti.go.jp/policy/netsecurity/downloadfiles/cloudseckatsuyou2013fy.pdf）
クラウド利用企業の実務チェックリスト
ここからは、活用ガイドブックが利用者向けの章で扱う実務——事業者の選び方、契約での確認、インシデントへの備え——を、自社で使えるチェックリストの形に整理します。概念より先に、確認すべき項目から示します。
事業者選定の観点（第三者認証・ISMAP・情報開示）
クラウド事業者を選ぶときは、価格や機能だけでなく、安全性を外から確かめられるかを見ます。活用ガイドブックの考え方に沿うと、確認したいのは次のような点です。
- 第三者認証を取得しているか（ISO/IEC 27001やクラウド向けのISO/IEC 27017など）。認証の有無は、安全管理の仕組みが外部の監査を受けている目安になります
- セキュリティに関する情報を開示しているか。障害やインシデントが起きたときに、初期対応・原因・改善策を公表する姿勢があるか
- 必要なログや障害情報を、必要なタイミングで取得できるか
- データのバックアップ・リストアがしやすく、別の事業者へ移せる互換性があるか（特定サービスへの固定を避けられるか）
- 管理コンソールを多要素認証や管理者ネットワークの制限で保護できるか
安全性の客観的な目安として、政府のISMAPも参考になります。ISMAPは、国の基準にもとづいてクラウドサービスを評価・登録する制度です。
ISMAP（Information system Security Management and Assessment Program）とは・・政府情報システムのためのセキュリティ評価制度のこと。ISMAPは、国際標準等を踏まえて策定した基準に基づき、登録監査機関による監査のプロセスを経て、クラウドサービスを評価・登録します。
出典：はじめてのISMAP －政府情報システムのためのセキュリティ評価制度の概要－｜内閣サイバーセキュリティセンター・デジタル庁・総務省・経済産業省
ISMAPは本来、政府機関等がクラウドを調達するための制度で、登録されたサービスは「ISMAPクラウドサービスリスト」に掲載されます。民間企業にリストからの調達義務があるわけではありませんが、国の基準で一定の安全性評価を受けたサービスであることを示す信頼のシグナルとして、事業者選定の参考に使えます。第三者認証の有無とあわせて「評価・認証を受けているか」という観点で見るとよいでしょう。
出典・参考資料（1件）
- 出典：はじめてのISMAP －政府情報システムのためのセキュリティ評価制度の概要－｜内閣サイバーセキュリティセンター・デジタル庁・総務省・経済産業省（https://www.soumu.go.jp/main_content/001002781.pdf）
契約・SLA・責任分界点で確認すること
事業者を決めたら、契約や利用規約の内容を確認しましょう。活用ガイドブックは、利用契約・約款の重要性や、SLA（サービス品質保証）、事業者と利用者の責任分界点を利用者向けの章で扱っています。確認しておきたいのは次のような点です。
- SLAで、データの保護、サービス停止時の対応や損害賠償、責任の分担がどう定められているか
- サービスの種類（SaaS／PaaS／IaaS）に応じて、どこまでが事業者の責任で、どこからが自社の責任かが整理できているか
- 解約時にデータを取り出せるか、別の事業者へ移行できるか（ロックインの回避）
責任分界点の確認がとくに大切なのは、前述のとおり、設定や運用を外部に委託しても最終的な責任は利用者に残るためです。契約の段階で「どこまでを事業者に任せ、どこからを自社で担うのか」を文書で明確にしておくと、事故が起きたときの対応の分担で迷わずに済みます。
インシデント準備（バックアップと代替手段）
活用ガイドブックは、事故が起きる前提での備えも利用者に求めます。具体的には、データとシステムのバックアップを取得しておくこと、そして万一に備えてリストアできる別事業者との契約など、代替手段を用意しておくことです。
クラウドは事業者側の障害で一時的に使えなくなることもあります。重要な業務ほど、バックアップの取得方法と復旧の手順、復旧にかかる時間の見込みを事前に確認し、「止まったときにどう戻すか」を決めておくことが、実務上のリスクを下げます。
加えて、バックアップそのものが攻撃の標的になりうる点も、近年は見過ごせません。脆弱性診断・バックアップサービスを提供する企業への取材では、攻撃の実態が次のように語られています。
現状、ランサムウェア攻撃を受けた企業のうち、約8割近くでバックアップデータも潰されていると、警察からも発表されています。バックアップ経路は通常のネットワーク上にあるため、ランサムウェアを仕掛けてきた攻撃者にもたどり着けてしまうものがほとんどだからです。
この指摘を踏まえると、バックアップは取得の有無だけでなく、その保管経路やアクセス権限が本番環境から切り離されているかまで含めて確認しておくことが、復旧の確実性につながります。
一括ダウンロードする
「設定ミス」への最新の答え：総務省2024ガイドブックが示す対策
活用ガイドブック（2013年度版）が公表されてから、クラウドの事故でとくに目立つようになったのが「設定ミス」による情報漏えいです。この論点を正面から扱うのが、総務省が2024年4月に公表した「クラウドの設定ミス対策ガイドブック」です。
この文書は、総務省が令和4年（2022年）10月に公表した「クラウドサービス利用・提供における適切な設定のためのガイドライン」を、わかりやすく解説するために作られています。
設定ミス対策として、このガイドブックは体制の整備やルールづくり、人材育成、作業手順への多段階チェックの組み込みに加えて、ツールの活用を挙げています。設定ミスを減らすのに有効なツールとして、次の3つが紹介されています。
クラウドの設定ミスを減らすのに有効なツールには、以下の３つものがあります。①ＣＡＳＢ（Cloud Access Security Broker）②ＣＳＰＭ（Cloud Security Posture Management）③ＳＳＰＭ（SaaS Security Posture Management）
出典：クラウドの設定ミス対策ガイドブック（2024年4月）｜総務省
このうちCSPMは、クラウドの設定を自動でチェックして、設定ミスやコンプライアンス違反のリスクを見つける役割を担います。ガイドブックは次のように説明しています。
ＣＳＰＭは、クラウドサービスのうち、ＩａａＳ（インフラを提供するサービス）の監査ツールです。クラウドの設定を自動的にチェックし、設定ミスやコンプライアンス違反等のリスクを特定してくれます。また、より安全な利用方法を提示してくれます。
出典：クラウドの設定ミス対策ガイドブック（2024年4月）｜総務省
SaaSの設定を監査するのがSSPM、クラウドサービスの利用状況を可視化・制御するのがCASBです。あわせて、設定内容をコード化して管理する考え方（IaCやPaC）も、人手のミスを減らす手立てとして紹介されています。2013年度版の活用ガイドブックで押さえた全体像に、こうした新しいツールの選択肢を重ねると、現在の設定ミス対策として実務に合う形になります。
ここで名前の挙がったCSPM・CASB・SSPMの違いや、CWPP・CNAPPといった隣接する仕組みとの関係をもう少し詳しく知りたい場合は、以下の記事で整理しています。
出典・参考資料（2件）
- 出典：クラウドの設定ミス対策ガイドブック（2024年4月）｜総務省（https://www.soumu.go.jp/main_content/000944467.pdf）
- 出典：クラウドサービス利用・提供における適切な設定のためのガイドライン（2022年10月）｜総務省（https://www.soumu.go.jp/main_content/000843318.pdf）
ガイドラインの対策を「どの製品・サービスで埋めるか」
ガイドラインは「何を点検し、何を備えるか」を示しますが、それを自社だけの手作業で回し続けるのは負担が大きいものです。ここでは、8領域や設定ミス対策で挙がった対策を、どの種類の製品・サービスで埋められるかを対応づけて整理します。まず概念レベルで、対策とそれを担う製品カテゴリの対応を示します。
| ガイドラインが求める対策（領域） | ID管理・アクセス統制・多要素認証（ID管理／統合管理環境） | クラウドの設定ミスの検知（統合管理環境／インフラ・設定ミス対策） | Webアプリやソースコードの弱点の洗い出し | 利用状況の可視化・SaaSの設定監査 | データの保護・バックアップ（データ管理） | 従業員の教育・操作ログの監視（人員） |
|---|---|---|---|---|---|---|
| 主に埋める製品カテゴリ | IDaaS（ID管理・シングルサインオン・多要素認証） | CSPMを含む脆弱性診断・クラウド設定診断 | 脆弱性診断（SAST／DASTなど） | CASB／SSPM | クラウドバックアップ・ストレージ、暗号化 | セキュリティ教育サービス、ログ管理・操作ログ監視 |
この記事では、多くの企業でまず着手しやすく、ガイドラインでも繰り返し触れられる「ID管理・アクセス統制」と「クラウド設定の点検」の2つを、代表的なサービスで具体的に見ていきます。自社の弱点がデータ管理や人員の教育など別の領域にある場合は、上の対応表のカテゴリや、守る対象別に整理した全体比較の記事（後述）から該当する手段をたどれます。
ID管理・アクセス統制を埋める（IDaaS）
ガイドラインが繰り返す「ID管理」「管理コンソールの多要素認証での保護」「アクセス制限」は、クラウド型のID基盤であるIDaaSでまとめて埋められます。複数のクラウドサービスのログインを一元化し、認証を強化しながら、誰がいつどこからアクセスできるかを統制する領域です。
IDaaSは対応する認証方式や料金、連携できるサービスが製品ごとに異なります。この先では代表例を1つ取り上げますが、複数のIDaaSを機能や選び方の観点で比べたい場合は、以下の記事が参考になります。
CloudGate UNO（株式会社インターナショナルシステムリサーチ）
CloudGate UNOは、国産ベンダーのインターナショナルシステムリサーチが自社開発するクラウド型のID基盤（IDaaS）です。一度の認証で複数のクラウドサービスへアクセスできるシングルサインオンを軸に、多要素認証やパスキー（FIDO2）によるパスワードレス認証、アクセス制限、ID管理までを一つの管理画面で扱えます。公式トップページでは導入実績を1,400社以上と案内しています。
ガイドラインの観点で見ると、強みはアクセス制限の細かさにあります。IPアドレス、デバイス証明書による端末の制限に加え、国・地域や曜日・時間帯でもログインを制御でき、「どこから・どの端末で・いつ使えるか」を絞り込めます。認証方式も、フィッシングに強いパスキーのパスワードレス認証を全プランで利用できます。
運営元はISMS（ISO/IEC 27001）認証を取得しています。公式提供のインタビューでは、官公庁や業界団体のセキュリティガイドラインへの準拠を目的とした相談が増えていると述べられています。
料金は、SSO・アクセス制限・多要素認証・ID管理を含むStandard Plusが1ユーザーあたり月額400円（税抜）からで、Active Directory連携を含むEnterprise Plus、デバイス証明書を同梱するSmart Packと段階があります（2026年11月時点、公式料金ページ）。
30日間の無料体験も用意されており、社内のログインとアクセスの統制から着手したい企業に向いた選択肢です。
ID基盤でログインと認証をまとめることは、ガイドラインが求める対策を手作業で回す負担の軽減にもつながります。公式提供のインタビューでは、導入後の運用現場の変化が次のように述べられています。
導入と同時にパスワードレス認証に切り替えた企業では、IT部門の業務の約20%を占めていたパスワード関連のヘルプデスク業務が「0%」になったという事例があります。
クラウド設定の点検・弱点の洗い出しを埋める（CSPM・脆弱性診断）
総務省のガイドブックが名指しするCSPMは、クラウド（IaaS）の設定を自動でチェックして設定ミスを見つけるツールでした。これに加えて、自社が公開するWebアプリやソースコードの弱点の洗い出しまでを一つのサービスでまかなえると、設定ミス対策を含めたクラウドの点検を継続的に回しやすくなります。
脆弱性診断には、自動ツール型と手動の専門診断、対象や費用の幅など選ぶうえでの論点があります。この先では代表例を1つ取り上げますが、自社に合う診断サービスを広く比べたい場合は、以下の記事で診断方法・費用相場・選び方を解説しています。
Aikido Security（株式会社AndGo）
ベルギーのAikido Securityが開発し、日本では株式会社AndGoが販売窓口として日本語での導入・運用を支援する脆弱性診断SaaSです。特徴は、ソースコード・依存ライブラリ・クラウド設定・稼働中のWebアプリを一つの管理画面でまとめて検査できるオールインワン型である点にあります。人手で診断して報告書を納める受託型ではなく、自動スキャンを使う契約形態です。
総務省のガイドブックが挙げるCSPMにあたる機能を備え、AWS・Azure・GCPなどのクラウド設定の誤りを検査できます（対応クラウドは公式のCSPMページに記載）。あわせて、ソースコードの静的解析や依存ライブラリの脆弱性チェック、稼働中Webアプリの動的診断にも対応します。
検出した問題は、修正案のドラフトを作ってプルリクエストまで出す機能や、検知した警告を整理して対応すべきものを絞り込む仕組みがあります。「見つけて終わり」になりがちな診断を、修正まで進めやすくしているのが特徴です。
料金はスポットの診断単位ではなく、月額固定のサブスクリプション型です。日本窓口の参考価格はBasicが年額3,780ドルから、オンプレミスでのスキャンやSSO連携に対応するProが年額7,560ドルからで、請求は為替を考慮した日本円での案内となります（2026年11月時点、AndGo取扱ページ）。
無料のトライアル環境も用意されています。自社でサービスを内製していて、クラウド設定とアプリの点検を継続的に回したい企業に向いています。
CloudGate UNOとAikido Securityをまとめて確認
ここまで紹介した2つのサービスを、対応する領域・主な機能・料金の目安でまとめます。先ほどの概念レベルの対応表とは別に、サービスごとの早見表としてご覧ください。
| サービス名 | CloudGate UNO | Aikido Security |
|---|---|---|
| 対応する領域 | ID管理・アクセス統制（IDaaS） | クラウド設定点検・脆弱性診断（CSPM／コード・アプリ診断） |
| 主な機能 | シングルサインオン、多要素認証、パスキー（FIDO2）によるパスワードレス認証、IP・端末・国/地域・時間帯でのアクセス制限、ID管理（自動プロビジョニング） | クラウド設定診断（CSPM・AWS/Azure/GCP）、ソースコードの静的解析（SAST）・依存ライブラリ診断（SCA）、稼働中Webアプリの動的診断（DAST）、修正案のプルリクエスト自動作成 |
| 料金の目安 | 月額400円〜/ユーザー（税抜・Standard Plus） 初期費用は別途・要問い合わせ | 年額3,780ドル〜（Basic・1〜10ユーザー） 月額固定のサブスク型・日本円で請求 |
| 詳細情報 | 公式資料を見る | 公式資料を見る |
ここで取り上げた2サービスは、ID統制とクラウド設定点検という2つの領域の代表例です。自社のどの領域から手を付けるか迷う場合や、ほかの守る対象（メール・ネットワーク・端末など）まで含めて見渡したい場合は、守る対象別にタイプと代表サービスを整理した以下の記事が全体像の把握に役立ちます。
社内セキュリティソリューション比較｜守る対象別のタイプ・代表サービスと選び方
社内のセキュリティを強化したいものの、端末の保護から不正アクセス対策、情報漏えいの防止まで課題が広く、何から手をつければよいか判断がつかないという声は少なくありません。テレワークやクラウド利用が定着し、社外に持ち出される端末やIDが増えたこ…
一括ダウンロードする
まとめ
「クラウドセキュリティガイドライン 活用ガイドブック」は、経済産業省が2013年度版として公表した、クラウド利用時のリスクを洗い出して対策するための手引きです。リスクを8領域（インフラ／仮想化基盤／サービス基盤／統合管理環境／データ管理／データ分類／ID管理／人員）に整理し、利用企業に対して、事業者任せにせず自社の責任範囲の対策を主体的に行うことを求めています。
実務では、第三者認証やISMAPを手がかりにした事業者選定、SLAと責任分界点の確認、バックアップと代替手段によるインシデント準備がチェックの柱になります。2013年度版という年次を踏まえ、近年目立つ設定ミスについては総務省2024年のガイドブック（CASB・CSPM・SSPMなど）で補強すると、現在の実態に合います。
そして、これらの対策を手作業だけで続けるのは負担が大きいため、ID管理・アクセス統制はIDaaS、クラウド設定の点検はCSPMを含む脆弱性診断、といった製品カテゴリで埋めるのが現実的です。自社の弱い領域を見定めたら、該当するサービスの資料を取り寄せて、具体的な機能と費用を比べる次の一歩に進めてください。
一括ダウンロードする
よくある質問（FAQ）
Q. クラウドセキュリティガイドライン活用ガイドブックとは何ですか？
A. クラウドセキュリティガイドライン活用ガイドブックとは、経済産業省が2013年度版として公表した、クラウド利用時の情報セキュリティを実務でどう確保するかを示した手引きです。
同省の「クラウドサービス利用のための情報セキュリティマネジメントガイドライン」という規範文書を前提に、それを実際の場面でどう使ってリスクを洗い出し対策を選ぶかを具体化した文書です。リスクを8つの領域に整理し、利用企業が取るべき対策・事業者の選び方・契約やインシデントへの備えまでを扱っています。経済産業省のウェブサイトでPDFとして公開されています。
Q. クラウドセキュリティガイドライン活用ガイドブックの発行元は経済産業省と総務省のどちらですか？
A. クラウドセキュリティガイドライン活用ガイドブックの発行元は経済産業省です。
検索結果には名前のよく似た総務省の「クラウドの設定ミス対策ガイドブック」（2024年4月）が混ざって表示されることがありますが、これは発行元も目的も異なる別の文書です。経済産業省の活用ガイドブックがクラウド利用全体のリスクを8領域で広く扱うのに対し、総務省の設定ミス対策ガイドブックは「設定ミス」による情報漏えいの防止に的を絞った、より新しい実務ガイドです。両者は補い合う関係にあります。
Q. クラウドセキュリティガイドライン活用ガイドブックは2013年度版ですが、今読んでも古くないですか？
A. 事業者に任せきりにせず利用者が自らリスクを洗い出して対策を選ぶという活用ガイドブックの基本的な考え方は現在も有効で、ISO/IEC 27017や総務省2024年の設定ミス対策ガイドブックとあわせて読めば実務に使えます。
一方で、具体的な技術や制度はその後に整備された枠組みと重ねて読むのが実態に合います。クラウド向けの情報セキュリティ管理策の国際規格であるISO/IEC 27017（日本ではJIS Q 27017として制定）や、政府のクラウドサービス評価制度ISMAPがその例です。
近年とくに事故が目立つ設定ミスへの対策（総務省2024年ガイドブックのCASB・CSPM・SSPMなど）を補えば、2013年度版の全体像を現在の実態に合わせて活用できます。
Q. クラウドの責任共有モデルとは何ですか？
A. 責任共有モデルとは、クラウドの安全をサービスの提供者（事業者）と利用者が分担して守るという考え方です。
SaaS・PaaS・IaaSといったクラウドサービスの種類によって、どこまでが事業者の責任で、どこからが利用者の責任かという分担の範囲が変わります。IaaSに近いほど利用者が設定・管理する範囲が広く、SaaSに近いほど事業者が担う範囲が広がります。
注意したいのは、設定や運用を外部のSI事業者に委託した場合でも、最終的な責任は利用者に残る点です。契約の段階で責任分界点を文書で明確にしておくことが、事故時の対応で迷わないために重要です。
Q. ISMAPクラウドサービスリストとは何ですか？事業者選定にどう使えますか？
A. ISMAPクラウドサービスリストとは、政府のセキュリティ評価制度ISMAPで評価・登録されたクラウドサービスを掲載した一覧です。
ISMAP（政府情報システムのためのセキュリティ評価制度）は、国際標準等を踏まえた基準にもとづき、登録監査機関の監査を経てクラウドサービスを評価・登録する制度です。本来は政府機関等がクラウドを調達するための制度で、民間企業にリストからの調達義務があるわけではありません。
ただし、国の基準で一定の安全性評価を受けたサービスであることを示す信頼のシグナルとして、第三者認証（ISO/IEC 27001・27017など）の有無とあわせて事業者選定の参考に使えます。
Q. CSPMとは何ですか？クラウドの設定ミス対策にどう役立ちますか？
A. CSPM（Cloud Security Posture Management）とは、クラウド（IaaS）の設定を自動でチェックし、設定ミスやコンプライアンス違反のリスクを見つけてくれるツールです。
総務省の「クラウドの設定ミス対策ガイドブック」（2024年）は、設定ミスを減らすのに有効なツールとして、CSPMに加えてCASB（利用状況の可視化・制御）とSSPM（SaaSの設定監査）の3つを挙げています。
クラウドの設定ミスによる情報漏えいが近年の事故で目立つことを踏まえると、人手の点検だけに頼らず、こうしたツールで設定の状態を継続的に監査する仕組みを持つことが有効です。CSPMはクラウド設定の点検を自動化したい企業に向いた選択肢です。
クラウドセキュリティ対策サービスの料金・資料を一括チェック
MCB FinTechカタログでは、クラウドのID統制や設定点検に使えるIDaaS・脆弱性診断サービスの最新資料を無料で一括請求できます。機能・料金・対応範囲をまとめて比べられます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
