CSPMツール比較｜主要製品の対応クラウド・自動修正・料金と選び方を解説

クラウドサービスを業務で使う企業は年々増え、AWS・Microsoft Azure・Google Cloud を利用することが当たり前になっています。その一方で、クラウドの設定は利用者側の責任範囲にあるため、権限の付けすぎやストレージの公開設定ミスが、情報漏えいの入口になるケースが相次いでいます。

こうした設定ミスを人手だけで見張るのは、マルチクラウド環境では現実的ではありません。そこで、クラウドの設定を自動で点検し、リスクのある箇所と直し方を示してくれるのが CSPM（Cloud Security Posture Management：クラウドセキュリティ態勢管理）ツールです。

本記事では、主要な CSPM ツールを対応クラウド・主な機能・料金・提供形態で比較できる一覧表を示したうえで、CNAPP 一体型か単体か、国産か海外製か、自社運用かマネージドかといった選び方の軸を整理します。

あわせて、導入・運用でつまずきやすい誤検知や自動修正の扱い、CSPM と CWPP・SSPM・CASB・CNAPP の違いまで解説します。自社に合う CSPM ツールの候補を絞り込むための検討材料としてご活用ください。

CSPMツールとは（主な機能）

まず、製品を比較する前提として、CSPM ツールが何をするものかを押さえておきます。CSPM は、クラウドの設定状況を継続的に点検し、リスクのある箇所を見つけて修正まで導くためのツールです。AWS は CSPM を次のように説明しています。

CSPM (クラウドセキュリティ体制管理) は、クラウドインフラストラクチャ全体のセキュリティ検出結果を視覚化し、優先順位を付け、修正するためのツールです。CSPMは、さまざまなサービスからセキュリティデータを継続的に取り込んで相関させ、全体的なセキュリティ体制スコア、脅威、脆弱性などに関する高度なインサイトを提供します。

出典：クラウドセキュリティ体制管理 (CSPM) とは｜アマゾン ウェブ サービス

具体的な機能は、大きく次の4つに整理できます。まず、クラウド上のすべての資産や接続を検出して状況を把握します。次に、その設定をコンプライアンス基準に照らして評価し、準拠していない箇所を特定します。さらに、見つかったリスクを脅威や影響度に応じて優先順位付けし、最後に、特定した問題の修正ガイダンスや自動化を提示します。

AWS はこの流れを「状況把握・評価・優先順位付け・修正」の4フェーズとして示しており、いずれも継続的かつ同時に行われるとしています。

評価の物差しになるコンプライアンス基準には、NIST 特別出版物 800-53、PCI DSS、CIS ベンチマーク、各クラウドのセキュリティベストプラクティスなどが使われます。これらに照らして「公開してはいけないストレージが公開されていないか」「過剰な権限が付与されていないか」といった観点を自動でチェックするのが、CSPM の中心的な役割です。

出典・参考資料（1件）

• 出典：クラウドセキュリティ体制管理 (CSPM) とは｜アマゾン ウェブ サービス

主要CSPMツール比較一覧【比較表】

ここからは、実際に提供されている主要な CSPM ツールを一覧で比較します。対応クラウド（AWS・Azure・GCP）、設定ミス検知や自動修正・コンプライアンス照合といった主な機能、料金の目安、SaaS かマネージド提供かといった提供形態を横並びで確認できます。CNAPP として複数機能を束ねた統合型から、CSPM に絞った国産ツール、各クラウドの純正機能まで幅広く取り上げています。

料金は各社の公式情報にもとづく目安で、確認時点を併記しています。多くの統合型製品は保有資産数に応じた個別見積もりのため、具体的な金額は資料請求や問い合わせで確認してください。

掲載順は評価の順位ではなく、CNAPP一体型・CSPM特化（国産）・マネージド・クラウド純正といったタイプごとにまとめています。表の「タイプ」列で自社の関心に近いグループから見ると探しやすくなります。

※「自動修正」は各社公式情報にもとづく整理です（●＝設定の自動修正や修正案のPR提出などに対応／△＝修復ガイダンス・手動適用が前提／要確認＝公式に自動修正の明記を確認できず）。機能・料金は変更される場合があるため、最新情報は各社公式でご確認ください。

CSPMツールの選び方

一覧を見ると製品の数は多いものの、候補を2〜3製品に絞るうえで効く分かれ目は限られています。ここでは、自社の状況に当てはめて選べるよう、3つの軸で整理します。

いずれの軸でも、対応クラウドの範囲・コンプライアンス基準の網羅性・検出精度・誤検知への対応負荷・拡張性といった技術要件は共通します。各製品でこれらを突き合わせてください。

CNAPP一体型か、CSPM単体か（守備範囲で選ぶ）

最初の分かれ目は、守りたい範囲の広さです。CSPM が見るのはクラウドの「設定」ですが、稼働中のサーバーやコンテナといったワークロードへの攻撃、ソースコードの脆弱性までまとめて守りたい場合は、CSPM に CWPP などを束ねた CNAPP（統合型）が候補になります。

一方、まずは設定ミスの検出とコンプライアンス照合に絞って始めたい場合は、CSPM 単体や、設定診断を中心とした国産ツールのほうが導入・運用の負担を抑えやすくなります。

自社がクラウドで何を運用し、どこにリスクを感じているかを棚卸しすると、必要な守備範囲が見えてきます。設定の可視化だけで足りるのか、ワークロードやコードまで一元管理したいのかで、統合型と単体のどちらが過不足ないかが決まります。

比較表では、CWPP などを束ねた製品を「CNAPP一体型」、設定診断に絞った製品を「CSPM特化・国産」などとタイプ分けしています。自社の守備範囲に近いタイプから候補を絞り込んでください。

国産か海外製か（サポート言語・基準対応・価格で選ぶ）

次に、国産ツールと海外製ツールのどちらが運用しやすいかを検討します。海外の大手製品は対応クラウドの広さや機能の網羅性に強みがありますが、管理画面やサポートが英語中心だったり、料金が外貨建てだったりすることがあります。国産ツールや国内代理店が提供する製品は、日本語でのサポートや請求書払いへの対応、国内の商習慣に沿った導入支援を受けやすい点が利点です。

情シスの人数が限られ、英語での一次サポートに不安がある場合は、日本語サポートの手厚さを優先する判断が現実的です。逆に、グローバルに複数のクラウドを使い、最新機能をいち早く取り入れたい場合は、海外大手の網羅性が効いてきます。

前者なら比較表の「CSPM特化・国産」「マネージドCSPM・国産」タイプ、後者なら海外の「CNAPP一体型」タイプが主な候補になります。

自社運用かマネージドか（運用リソースで選ぶ）

3つ目は、検知後の運用まで自社で回すか、外部に任せるかです。CSPM は導入すれば終わりではなく、日々出てくるアラートを確認し、誤検知を減らし、修正の優先順位を付ける運用が続きます。情シス数名で回しきれるかが不安な場合は、設定や検知後の対応まで提供者が担うマネージドサービスが選択肢になります。

ただし、マネージドで運用を任せても、クラウドを利用する責任や委託元としての責任は自社に残る点には注意が必要です。総務省のガイドブックも、マネージドサービスの活用で設定ミスのリスクは移転できても、利用者としての責任は残ると指摘しています。「任せたから安心」ではなく、報告内容を自社で確認できる体制を合わせて整えることが前提になります。

運用まで任せたい場合は比較表の「マネージドCSPM」タイプや、都度のスポット診断型が候補になり、自社で運用を回すなら「SaaS」提供形態の製品が候補です。

出典・参考資料（1件）

• 出典：クラウドの設定ミス対策ガイドブック｜総務省

CSPM導入・運用の注意点（誤検知と自動修正）

CSPM は導入後の運用でつまずきやすいツールでもあります。候補を絞る段階で、次の点を運用体制とあわせて確認しておくと、導入後の「アラートが多すぎて回らない」状態を避けられます。

まず、誤検知への備えです。CSPM は設定を機械的に点検するため、自社では問題ないと判断している設定まで警告として挙がることがあります。導入初期は検知ルールのチューニングやアラートの重要度設定に手間がかかるため、PoC（試験導入）の段階で自社環境での誤検知の出方を実際に確かめ、チューニングのしやすさを評価しておくと安心です。

次に、自動修正の扱いです。多くの CSPM には設定を自動で直す機能がありますが、本番環境に一律で自動適用すると、意図した設定まで書き換えてしまうリスクがあります。AWS も、CSPM は修正のためのガイダンスと自動化を「作成する」ものと説明しており、人の確認を挟む設計が前提です。自動修正は、影響の小さい項目から段階的に適用し、重要な変更はレビューを挟む運用にするのが基本です。

そのうえで、検知ルールは定期的に見直す必要があります。クラウドのサービス追加や構成変更に伴って点検すべき項目も変わるため、導入時の設定のまま放置せず、運用の中で更新していく前提で体制を組んでおきます。

出典・参考資料（1件）

• 出典：クラウドセキュリティ体制管理 (CSPM) とは｜アマゾン ウェブ サービス

クラウドの設定ミスで実際に何が起きるか

そもそもなぜ CSPM が必要なのかは、クラウドの責任分担の考え方と、実際の被害事例を見るとはっきりします。クラウドのセキュリティは、提供者と利用者が責任を分担する「責任共有モデル」が前提で、設定の多くは利用者側の責任範囲にあります。総務省のガイドブックは次のように説明しています。

クラウドのセキュリティの確保については、まず、サービスの提供者と利用者とが、責任を分担するという考え方が重要です。このような考え方を「責任共有モデル」と呼びます。責任共有モデルの考え方は現在多くのクラウドサービス事業者に採用されています。

出典：クラウドの設定ミス対策ガイドブック｜総務省

設定が利用者の責任範囲にあるからこそ、設定ミスが被害に直結します。実際に起きやすい設定ミスの型として、総務省のガイドブックは、米国の NSA と CISA が2023年10月に公表した「設定ミスのトップ10」を引用し、ユーザーと管理者の権限の不適切な区分や、多要素認証（MFA）の脆弱な設定・設定ミスなどを挙げています。

権限の付けすぎや MFA の未設定は、外部からの侵入やなりすましの入口になりやすい代表的なリスクです。

国内でも、クラウドの誤設定による大規模な情報公開は現実に起きています。トヨタ自動車は2023年5月、クラウド環境の誤設定により、約215万人分の車載端末ID・車台番号・車両の位置情報などが、外部からアクセスできる状態になっていたと公表しました。公開状態にあった期間は約10年に及んだとされています。ストレージの公開設定のミスが、長期間にわたり大量の個人データを外部から閲覧可能にしてしまった事例です。

こうした設定ミスは、クラウドの利用が広がるほど起こりやすくなります。総務省の令和5年通信利用動向調査では、クラウドサービスを一部でも利用している企業の割合は77.7％に上昇しており、設定を点検すべき対象そのものが企業全体で増え続けていることがわかります。

出典・参考資料（3件）

• 出典：クラウドの設定ミス対策ガイドブック｜総務省
• 出典：クラウド環境の誤設定による個人データ等の漏洩可能性に関するお詫びとお知らせ｜トヨタ自動車
• 出典：令和5年通信利用動向調査の結果｜総務省

CSPMとCWPP・SSPM・CASB・CNAPPの違い

CSPM の候補を検討していると、CWPP・SSPM・CASB・CNAPP といった似た略語に出会います。これらは守備範囲が異なり、社内で製品を説明するときにも区別が必要です。総務省のガイドブックは、CSPM・CASB・SSPM を次のように整理しています。

ＣＳＰＭは、クラウドサービスのうち、ＩａａＳ（インフラを提供するサービス）の監査ツールです。クラウドの設定を自動的にチェックし、設定ミスやコンプライアンス違反等のリスクを特定してくれます。
ＣＡＳＢ（キャスビーと読みます）は、クラウドサービスの利用状況を可視化して、定期的にチェックしてくれるツールです。
ＳＳＰＭは、クラウドサービスのうち、ＳａａＳ（アプリケーションを提供するサービス）の監査ツールです。各アプリケーションの設定やコンプライアンス状況を管理して、脅威を検出することができます。

出典：クラウドの設定ミス対策ガイドブック｜総務省

CWPP と CNAPP は、Microsoft の公式ドキュメントが定義を示しています。

それによると、CWPP は仮想マシン・コンテナ・ストレージ・データベース・サーバーレス関数などのワークロードを脅威から守るもの、CNAPP は CSPM と CWPP など複数のクラウドセキュリティツールを統合し、アプリをライフサイクル全体で守る統合ソリューションとされています。以上を1枚に整理すると、次のとおりです。

※各ツールの定義は総務省および各クラウドベンダーの公式情報にもとづく整理です。製品によっては複数の役割を兼ねる場合があります。

設定ミスの検出から始めたいなら CSPM、稼働中のワークロードまで守りたいなら CWPP や CNAPP、SaaS の設定を管理したいなら SSPM、というように、守りたい対象から逆算すると自社に必要なツールが見えてきます。

とくに、Microsoft 365 や Salesforce といった SaaS 側の設定不備が主な懸念であれば、IaaS の設定を見る CSPM ではなく SSPM が適します。SSPM の具体的な製品や選び方は、以下の記事で比較しています。

出典・参考資料（2件）

• 出典：クラウドの設定ミス対策ガイドブック｜総務省
• 出典：What is Microsoft Defender for Cloud?｜Microsoft Learn

CSPMを含む脆弱性診断サービスの紹介

候補を絞ったうえで、設定診断を含めて相談や資料請求を進めたい場合の選択肢の一例として、CSPM を含む診断をまとめて扱えるサービスを紹介します。

1. Aikido Security（株式会社AndGo）

Aikido Security は、ソースコードの診断、クラウド設定の診断、依存ライブラリやコンテナの脆弱性診断などを1つの画面でまとめて扱える、開発・運用現場向けのオールインワン型の脆弱性診断 SaaS です。日本国内では株式会社AndGo が販売・問い合わせ窓口を担っています。

CSPM の観点では、AWS・Azure・GCP などのクラウドの設定ミスを点検する機能を備えています。

単機能のツールを足していくとアラートがばらばらに出て対応が追いつかなくなりがちですが、Aikido Security はソースコードからクラウド設定までの診断を統合することで、対応すべきアラートを絞り込みやすくする設計です。

見つかった問題に対して修正案のドラフトを作り、プルリクエストとして提出するオートフィックス機能も用意されています。

設定ミスや脆弱性を見つけた後、実際に修正まで進めるには別のハードルがあります。開発・運用の現場でこの課題にどう向き合っているかについて、提供元は次のように説明しています。

料金は月額固定のサブスクリプション型で、日本窓口では利用するエンジニアのスロット数に応じたプランが用意されています。無料トライアルや日本円の請求書払いにも対応しています。対応機能や料金はプラン・契約条件によって変わるため、詳細は公式資料で確認してください。

CSPM はクラウドの「設定」に対象を絞ったツールです。Webアプリやネットワークまで含めて診断の手段全体を見比べ、自社に必要な診断を見極めたい場合は、以下の記事で脆弱性診断サービスの種類・費用相場・選び方を整理しています。

まとめ

CSPM ツールは、クラウドの設定ミスやコンプライアンス違反を自動で点検し、修正まで導くためのツールです。製品を絞り込む際は、次のポイントを押さえると判断しやすくなります。

• 守備範囲で選ぶ：設定ミスの検出に絞るなら CSPM 単体や国産ツール、ワークロードやコードまで守るなら CNAPP 統合型を検討する。
• 運用体制で選ぶ：自社で運用を回せるか、検知後の対応まで任せたいかで、SaaS の自社運用かマネージド提供かを決める。
• 導入後を見据える：誤検知のチューニングのしやすさや、自動修正を段階適用できるかを PoC で確かめる。

迷ったら、まず比較表の「タイプ」列で自社に合う型（CNAPP一体型／CSPM特化・国産／マネージド／クラウド純正）を見極め、その中から候補を狭めると選びやすくなります。

対応クラウド・料金・提供形態は製品ごとに異なり、変更されることもあります。候補を2〜3製品に絞ったら、各社の公式資料で最新の情報を確認し、自社の環境に合うかを見極めてください。

よくある質問（FAQ）

Q. CSPMツールとは何ですか？

A. CSPMツールとは、AWS・Azure・GCP などのクラウドの設定を継続的に自動点検し、設定ミスやコンプライアンス違反を見つけて修正まで導くためのツールです。「公開してはいけないストレージが公開されていないか」「過剰な権限が付与されていないか」といった観点を、NIST や PCI DSS、CIS ベンチマークなどの基準に照らして機械的にチェックします。

クラウドの設定は利用者側の責任範囲にあるため、人手では見切れないマルチクラウドの設定を自動で見張る役割を担います。

Q. CSPMツールはどのような企業に必要ですか？

A. CSPMツールは、AWS・Azure・GCP などのクラウドを業務で使う企業、とりわけ複数のクラウドを併用して設定を人手で見切れない企業で効果が大きくなります。クラウドの設定ミスは利用者の責任範囲で起こり、国内でも誤設定による大規模な情報公開が現実に発生しています。情シスが数名規模で、設定の点検対象が増え続けている企業ほど、自動で設定を点検する仕組みの効果が大きくなります。

Q. CSPMツールは無料で使えますか？

A. CSPMツールには、クラウド純正機能の無料枠や、製品の無料トライアルを使って無料で始められるものがあります。

たとえば Microsoft Defender for Cloud には基礎的な CSPM の無料枠があり、Google Cloud Security Command Center は Standard ティアが無料、AWS Security Hub CSPM は30日間の無料トライアルを用意しています。Aikido Security のように無料トライアルを提供する製品もあります。

ただし、無料枠は機能や対象が限定されることが多く、規制コンプライアンス評価や継続的な運用は有料プランになるのが一般的です。まずは無料枠やトライアルで自社環境での検知の出方を確かめ、必要な機能を見極めてから有料プランを検討するのが現実的です。

Q. CSPMツールとCNAPPはどちらを導入すべきですか？

A. CSPMツールとCNAPPのどちらを選ぶかは、守りたい範囲が「クラウドの設定」だけか、稼働中のワークロードやコードまで含むかで決まります。設定ミスの検出とコンプライアンス照合に絞って始めたいなら CSPM 単体や国産ツール、サーバーやコンテナへの攻撃・ソースコードの脆弱性まで一元管理したいなら CSPM に CWPP などを束ねた CNAPP 一体型が候補になります。

自社がクラウドで何を運用し、どこにリスクを感じているかを棚卸しすると、過不足のない守備範囲が見えてきます。

Q. CSPMツールの自動修正機能は安全ですか？

A. CSPMツールの自動修正は、影響の小さい項目から段階的に適用し、重要な変更は人のレビューを挟む運用にすれば安全に使えます。本番環境に一律で自動適用すると、自社では意図した設定まで書き換えてしまうリスクがあるためです。

多くの製品は修正案をプルリクエストとして提出するなど、人の確認を挟む設計になっています。導入前の PoC（試験導入）で、どの項目まで自動化し、どこから手動確認にするかの運用ルールを決めておくと安心です。

Q. CSPMツールは他のセキュリティツールと併用できますか？

A. CSPMツールは、SSPM・CASB・CWPP・CNAPP など役割の異なるツールと併用でき、組み合わせることでクラウド環境全体を広くカバーできます。CSPM が見るのは IaaS の設定ですが、SaaS の設定管理は SSPM、稼働中のワークロード保護は CWPP、というように守備範囲が分かれているためです。

守りたい対象から逆算し、不足する領域を他のツールで補う形で組み合わせると、過不足のない構成になります。

Q. CSPMツールの導入から運用開始までどのくらいかかりますか？

A. CSPMツールは SaaS 型が中心で、クラウドと連携する初期設定自体は比較的短期間で始められますが、誤検知のチューニングを含めて安定運用に乗せるには一定の期間を見込む必要があります。

導入初期は自社では問題ない設定まで警告として挙がることがあり、検知ルールの調整やアラートの重要度設定に手間がかかるためです。設定診断だけをスポットで受けたい場合は、最短10営業日でレポートが届く診断サービスもあります。

導入時の設定のまま放置せず、運用の中で検知ルールを更新していく前提で体制を組んでおくとよいでしょう。

CSPMツール・脆弱性診断サービスの料金・資料を一括チェック

MCB FinTechカタログでは、CSPMを含む脆弱性診断サービスの最新資料を無料で一括請求できます。対応クラウド・料金・サポート体制など、比較に必要な情報をまとめて把握できます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。