自社で使っているクラウドサービスの設定が、知らないうちに情報漏洩の入り口になっていないか——そう不安に感じる担当者は少なくありません。総務省は2024年4月26日に「クラウドの設定ミス対策ガイドブック」を公表し、設定ミスがなぜ起きるのか、どう防げばよいのかを体系的に整理しました。
ただ、本体は57ページにおよぶ資料のため、「結局なにが書いてあるのか」「自社は何から着手すればよいのか」を短時間でつかみたいという声もあります。本記事では、ガイドブックが挙げる設定ミスの類型と原因、そして組織・ルール／人／作業手順／ツールという4つの観点の対策を、要点を押さえて解説します。
あわせて、設定の誤りを点検するための具体的なチェックリストや、CASB・CSPM・SSPMといった支援ツールの違いも整理します。公表資料の内容を自社の設定見直しに当てはめるための材料としてご活用ください。
目次
一括ダウンロードする
「クラウドの設定ミス対策ガイドブック」とは
「クラウドの設定ミス対策ガイドブック」は、総務省が2024年（令和6年）4月26日に公表した資料です。問い合わせ窓口は総務省サイバーセキュリティ統括官室で、本体は全57ページにわたります。クラウドサービスを利用する企業を主な対象とし、その企業から委託を受けて設定を行う企業も含めて想定しています。
このガイドブックは、総務省が2022年（令和4年）10月に公表した「クラウドサービス利用・提供における適切な設定のためのガイドライン」（以下「設定ガイドライン」）の内容を、わかりやすく解説するために作られた普及版にあたります。専門的な設定ガイドラインを読み解く前に、まず全体像をつかむための入り口と位置づけられています。
背景には、クラウドの設定ミスによる情報漏洩の増加があります。独立行政法人情報処理推進機構（IPA）が毎年公表する「情報セキュリティ10大脅威」では、2024年に「不注意による情報漏えい等の被害」が組織向けの6位に挙げられました。設定ミスは、特別な攻撃を受けなくても自社の不備だけで情報が流出しうる、身近なリスクになっています。
クラウドの設定ミスとは｜3つの類型と事例
ここからは、ガイドブックが「設定ミス」をどうとらえているかを確認します。設定ミスと聞くと値の入力間違いを思い浮かべがちですが、ガイドブックはより広く定義しています。
設定ミスには、クラウドサービスのさまざまな利用条件の設定をする際に、誤った値を設定してしまうこと（誤設定）、何も設定しないこと（未設定）により、不都合な値が有効になっていること、一度設定をした後、環境の変化により設定値を変更しなければならなくなったのに、変更していないこと（未変更）が含まれます。
出典：クラウドの設定ミス対策ガイドブック｜総務省
間違った値を入れる「誤設定」だけでなく、設定そのものをしていない「未設定」、環境が変わったのに直していない「未変更」も設定ミスに含まれます。ガイドブックは、設定ガイドラインに掲載された代表的な事例として、次の3つの類型を示しています。
- デフォルト変更：提供者の機能変更で初期値の安全性が下がり、気づかず使い続けた
- 個人利用：従業員の個人的な利用で、機密情報のファイルが公開設定のままだった
- 業務委託先：クラウド移行時に委託先がストレージを「公開」のままにしていた
デフォルトのまま使ってしまう事例
クラウドサービスの提供者が機能変更を行った際に、アクセスに関する設定の初期値（デフォルト）の安全性が下がってしまうことがあります。利用者がその変更に気づかず初期値のまま使い続けた結果、機密情報が流出した、という類型です。初期値は常に安全とは限らず、提供者側の変更によって後から危険な状態になる場合があります。
個人利用に起因する事例
従業員が個人的にクラウドサービスを利用し、業務の機密情報をそのファイルに保存していたところ、ファイルが公開設定のままになっていたケースです。会社が把握していない利用（シャドーIT）が、情報漏洩の経路になりうることを示しています。
業務委託先での事例
自社システムをクラウドへ移行する際、ストレージの設定が「公開」のままになっていて、長期間にわたり機密情報が公開されていた事例で、原因は業務委託先による設定ミスでした。ガイドブックは2023年度の事例として、委託先・協力企業の設定ミスから次の教訓を挙げています。
出典：クラウドの設定ミス対策ガイドブック｜総務省
- ①取引先の設定ミス － 中小企業も狙われている
- ②協力企業の設定ミス － 専門家でもミスをする
自社だけでなく、取引先や委託先の設定ミスも自社の情報漏洩につながります。設定を専門家に任せていても起こりうるため、人の注意だけに頼らず、仕組みでチェックする総合的な対策が必要だと示されています。
また、こうした設定ミスは海外でも共通の課題です。米国のNSA（国家安全保障局）とCISA（サイバーセキュリティ・インフラセキュリティ庁）は2023年10月に「Top Ten Cybersecurity Misconfigurations（設定ミスのトップ10）」を公表しています。
その筆頭に挙げられているのが「ソフトウェアやアプリケーションのデフォルト設定」で、前述のデフォルトに起因する類型と重なる指摘です。
設定ミスはなぜ起きるのか｜原因の4観点とヒューマンエラー
対策を考える前に、ガイドブックが整理する設定ミスの原因を押さえておきます。原因は、次の4つの観点から整理されています。
設定ミスの原因は①担当者、②マニュアル、③作業環境、④組織の環境の４つの観点から整理できます。
出典：クラウドの設定ミス対策ガイドブック｜総務省
- ①担当者：疲労や知識不足、うっかりといった、人そのものに関わる要因
- ②マニュアル：手順書の不備や記載の誤り
- ③作業環境：設定作業を行う場の状況や、ツールの使いにくさ
- ④組織の環境：役割分担のあいまいさ、人手不足、ルールの未整備
設定ミスは特定の個人の不注意だけでなく、周囲の環境にも原因があるととらえられています。担当者を責めるだけでは再発を防げず、マニュアルや体制の見直しまで踏み込む必要があるという整理です。
これらの背景には、人の行動に伴うヒューマンエラーがあります。ガイドブックは、人のミスが生まれる過程を次のように説明しています。
人間の行動は、「知覚」「認知」「判断」「行動」といった流れで行われており、そのすべてのプロセスでミスが起きる可能性があります。そして、これらに影響するのが「意識」と「記憶」です。
出典：クラウドの設定ミス対策ガイドブック｜総務省
ミスは知覚から行動までのどの段階でも起こりえて、心身の状態や作業環境、組織環境といった周囲の条件がその誘因になります。だからこそ、次に述べる対策も、人の努力に加えて仕組みや環境の整備まで含めて考える必要があります。
対策の前提｜責任共有モデルと利用者の責任範囲
具体的な対策に入る前に、クラウド特有の前提となる考え方を確認します。それが「責任共有モデル」です。
クラウドのセキュリティの確保については、まず、サービスの提供者と利用者とが、責任を分担するという考え方が重要です。このような考え方を「責任共有モデル」と呼びます。責任共有モデルの考え方は現在多くのクラウドサービス事業者に採用されています。また、ＳａａＳ、ＰａａＳ、ＩａａＳといったクラウドサービスの種類によって責任分担の範囲が異なります。
出典：クラウドの設定ミス対策ガイドブック｜総務省
クラウドのセキュリティは、提供者がすべてを守ってくれるわけではなく、提供者と利用者で守る範囲を分け合います。SaaS・PaaS・IaaSといったサービスの種類によって、利用者が自分で設定・管理しなければならない範囲は変わります。一般に、インフラに近いIaaSほど利用者が担う範囲は広くなり、設定に起因するミスも利用者側の責任として現れやすくなります。
注意したいのは、利用規約に免責条項や責任制限条項が含まれていることが多い点です。提供者が責任を負わない範囲は、利用者が自ら守る必要があります。また、設定作業をシステムインテグレーター（SI事業者）に任せる場合も、最終的な責任は利用者に残ります。
ＳＩ事業者が行った設定であっても、最終的な責任は利用者が負うことになることから、利用者もＳＩ事業者の行った設定に注意しておく必要があります。
出典：クラウドの設定ミス対策ガイドブック｜総務省
こうした責任分担を踏まえ、どの設定が自社の責任範囲に入るのかを導入前に洗い出しておくことが、設定ミス対策の出発点になります。
設定ミス対策の4つの観点
ここからは、ガイドブックが示す対策の全体像を確認します。先ほどの「原因の4観点」が設定ミスがなぜ起きるかの整理だったのに対し、ここでの「対策の4つの観点」は打ち手を分類したもので、両者は別の枠組みです。対策は、基本となる3つと、より高い水準を目指す場合の1つ、あわせて4つの観点で整理されています。
本ガイドブックでは設定ミスの対策について、設定ガイドラインに記載されている対策を、理解しやすいように主に基本的に実施すべき対策からなる①組織・ルール②人③作業手順に加え、①～③を高いセキュリティ水準で実施することが求められる場合に推奨される対策からなる④道具（ツール）の４つの観点から整理しました。
出典：クラウドの設定ミス対策ガイドブック｜総務省
まず押さえたいのは、①組織・ルール②人③作業手順の3つが基本の対策で、④ツールはそれらを高い水準で実施する際に推奨される位置づけだという点です。ツール導入だけで設定ミスがなくなるわけではなく、体制づくりや手順の整備が土台になります。各観点の要点は次のとおりです。
組織・ルールの対策（体制の整備と設定ルールの策定）
設定の責任者・担当者を明確にし、設定する人とチェックする人を分けることが基本です。一人の担当者が設定からチェックまで担う「ひとり情シス」の状態は、ミスを見つけにくくなります。あわせて、セキュリティポリシーやクラウドサービスの利用方針、作業規則を文書化し、組織として共有することが求められます。導入時だけでなく、運用が続く間も体制を保つことが大切です。
人的対策（人材育成と情報収集）
クラウドの設定に関わる担当者の知識を継続的に高めることが欠かせません。提供者が用意する研修や社内研修を活用し、設定に必要な知識を更新し続けます。あわせて、提供者からの情報や総務省・内閣サイバーセキュリティセンター（NISC）・IPAといった公的機関が発信する事故情報・注意喚起を集め、組織内で共有する取り組みも求められます。
作業手順面の対策（チェックの組み込みと自動化）
設定項目を洗い出して抜け漏れをなくし、作業マニュアルを整備したうえで、複数の目で確認するダブルチェックを取り入れます。マニュアル自体も定期的に見直し、慣れてきても必ず参照する運用にします。さらに、設定作業を自動化し、変更のたびに自動でチェックが走る仕組みにすると、人の手による取りこぼしを減らせます。
ツールによる対策
①〜③の基本対策を、より高い水準で実施したい場合に推奨されるのがツールの活用です。設定を支援・診断するツールや、設定チェックを外部に委託する診断サービスがこれにあたります。なかでも、クラウドの設定状況を点検・監視する代表的なツールであるCASB・CSPM・SSPMの違いは、次の章で詳しく整理します。
ガイドブックは「ミスを完全にゼロにはできない」という前提にも触れ、予防だけでなく、起きたミスを早く発見する仕組みや、暗号化・バックアップによる被害の軽減もあわせて推奨しています。
設定を点検・監視するツール｜CASB・CSPM・SSPMの違い
ここからは、ガイドブックが挙げる3つの支援ツールを整理します。いずれもクラウドの設定ミスを減らすのに役立ちますが、対象とするクラウドの種類と役割が異なります。自社がどれを必要とするかを見分けるために、違いを押さえておきましょう。
| ツール | CASB | CSPM | SSPM |
|---|---|---|---|
| 主な対象 | クラウドサービス全般の利用状況 | IaaS（AWS・Microsoft Azure・Google Cloud など） | SaaS（Microsoft 365・BOX・Salesforce など。日本のSaaSは非対応の場合あり） |
| 役割 | 利用状況を可視化し、ポリシーに照らしてリスクを検出 | 設定を自動チェックし、設定ミスやコンプライアンス違反を特定して安全な利用方法を提示 | 各アプリの設定やコンプライアンス状況を管理し、脅威を検出 |
| 代表的なチェック対象 | 利用中のクラウドとアクセス状況 | NIST・CISのフレームワークに準拠した設定項目 | 各SaaSアプリの設定・コンプライアンス状況 |
| 向くケース | どのクラウドが使われているかを把握し、利用を監視したい | 自社が構築したクラウド基盤の設定の誤りを点検したい | 利用中のSaaSの設定を点検したい |
※各ツールの対象・役割は総務省「クラウドの設定ミス対策ガイドブック」の記載に基づきます。
いずれも、組織・ルール／人／作業手順という基本対策を高い水準で実施するための支援ツールです。まず自社が点検したい対象が、クラウド基盤（IaaS）なのか、利用中のSaaSなのか、利用状況全般なのかを見極めると、必要なツールを選びやすくなります。
出典・参考資料（1件）
CASB・CSPM・SSPMの違いをもう一歩踏み込んで押さえたい方もいるでしょう。CSPMがどのように設定ミスを自動チェックするのか、CWPP・CNAPPなどと守る対象がどう違うのか、導入時に確認したい点までは、以下の記事で整理しています。
ガイドブックのチェックリストで現状を点検する（最初の一歩）
ここまでの内容を自社に当てはめる第一歩として、ガイドブックは巻末にチェックリストを用意しています。対策の4観点に沿って、自社の体制・ルール・手順・ツールが整っているかを確認できる構成です。
出典：クラウドの設定ミス対策ガイドブック（参考資料 チェックリスト）｜総務省
- □リスク分析を行いましたか（2）
- 組織・ルール
□責任者・担当者は明確になりましたか（3-2）
□（複数の）人を配置しましたか／チェックする人はいますか（3-2）
□方針とルールを策定しましたか（3-3）- 人
□人材育成の計画をたてましたか（3-4）
□情報収集や関係者とのコミュニケーションを行っていますか（3-5）- 作業手順
□作業規則や作業マニュアルを作成しましたか（3-6）- ツール
□支援ツールの導入を検討しましたか（3-7, 3-8）
最初に取り組みやすいのは、冒頭の「リスク分析」と、組織・ルールの「責任者・担当者の明確化」「設定する人とチェックする人の分離」です。ここが曖昧なままだと、どれだけツールを入れても見落としが残ります。まずは誰が何の設定に責任を持つのかを決め、チェックの役割を分けるところから着手すると、他の項目にも波及させやすくなります。
より詳細なチェックを行いたい場合は、前提文書である設定ガイドラインの「ANNEX 対策一覧」にあたると、各項目をさらに細かく確認できます。
一括ダウンロードする
設定の誤りを診断サービス・ツールで検査する
チェックリストで自社の体制を点検すると、「設定そのものに誤りがないか」を自力で網羅的に確認するのは難しい、と感じる場面が出てきます。ガイドブックは、この部分を支援ツールや診断サービスで補う方法を示しています。
設定を支援するツールには、現在の構成を可視化する「設定管理ツール」と、設定に問題がないかを診断する「設定診断ツール」の2種類があります。さらに、こうした診断を外部に任せられるサービスもあります。
例えば、脆弱性診断サービスというサービスがあります。このサービスを活用して、設定ミスの診断だけではなく、システム全体の脆弱性を診断することにより、より包括的に情報漏洩を防ぐことができます。
出典：クラウドの設定ミス対策ガイドブック｜総務省
自社だけで設定の点検を続けるのが難しい場合は、クラウドの設定を含めて脆弱性を検査できるサービスを使うと、設定ミスとシステム全体の弱点をまとめて確認できます。ここでは、クラウド設定の検査（CSPM）を含めて一つの画面で診断できるサービスの例として、Aikido Securityを紹介します。
Aikido Security（株式会社AndGo）
Aikido Securityは、ソースコード・依存ライブラリ・クラウド設定・コンテナ・稼働中のWebアプリを一つの管理画面で検査できる、オールインワン型の脆弱性診断SaaSです。開発元はベルギーのAikido Security BVで、日本では株式会社AndGoが販売と日本語での導入・運用サポートを担っています。
クラウド設定の検査にはCSPMを備え、AWS・Microsoft Azure・Google Cloudの設定の誤りを検査できます（2026年11月時点における公式情報）。設定ミスの点検に加えて、コードの脆弱性や依存ライブラリのリスクも同じ画面で扱える点が特徴です。これは、総務省ガイドブックが示す「設定ミス診断とシステム全体の脆弱性診断を包括的に行う」という考え方に沿った使い方といえます。
スキャンのたびに一時的なコンテナ環境でリポジトリを検査し、終了後に環境ごと削除する設計で、コードを保持し続けない点が特徴です。要件が厳しい場合は、自社環境内でスキャンを完結させる方式も選べます。
料金は、無料で試せるDeveloperプランがあり、有料プランは年間契約・利用者10人までを目安に月額5万円台からの参考価格が案内されています。正式な金額は、株式会社AndGoへの問い合わせで確認できます（2026年11月時点における情報）。
出典・参考資料（2件）
クラウドの設定だけでなく、システム全体の脆弱性まで含めて検査するサービスを広く比べたい方もいるでしょう。診断方法・費用相場・選び方の観点で主要な脆弱性診断サービスを整理した以下の記事が参考になります。導入を検討される方はあわせてご覧ください。
脆弱性診断サービスおすすめ比較｜診断方法・費用相場・選び方を解説【無料ツールあり】
Webサービスや社内システムの脆弱性診断を検討する際、「専門家による手動診断とツールによる自動診断のどちらが自社に必要なのか」「費用が数十万円から数百万円までと幅が広く、妥当な予算が読めない」といった壁に突き当たる担当者は少なくありません。…
まとめ
総務省「クラウドの設定ミス対策ガイドブック」は、設定ミスを誤設定・未設定・未変更の3つを含むものととらえ、デフォルト変更・個人利用・業務委託先という代表的な類型を示した資料です。そのうえで、対策を組織・ルール／人／作業手順／ツールの4つの観点で整理しています。まずは責任者とチェック体制を明確にし、巻末のチェックリストで現状を点検するところから始められます。
自力での点検に限界を感じる場合は、クラウド設定を含めて脆弱性を検査できるツールや診断サービスを活用することで、設定ミスとシステム全体の弱点をまとめて確認できます。自社の責任範囲を踏まえ、基本の体制づくりと、必要に応じたツールの検討を進めてください。
一括ダウンロードする
よくある質問（FAQ）
Q. クラウドの設定ミス対策ガイドブックとは何ですか？
A. クラウドの設定ミス対策ガイドブックは、総務省が2024年4月26日に公表した、クラウドの設定ミスによる情報漏洩を防ぐための対策を体系的にまとめた資料です。設定ミスの類型・原因と、組織・ルール／人／作業手順／ツールという4つの観点の対策を、全57ページの資料として整理したものです。2022年に公表された専門的な「設定ガイドライン」を、わかりやすく解説した普及版にあたります。
Q. クラウドの設定ミス対策ガイドブックはどこでダウンロードできますか？
A. クラウドの設定ミス対策ガイドブックは、総務省の公式サイトからPDFを無料でダウンロードできます。本体（全57ページ）のPDFと、公表の経緯や問い合わせ先を記した報道資料が公開されており、いずれも登録不要で閲覧できます。
Q. クラウドの設定ミス対策ガイドブックと2022年の「設定ガイドライン」は何が違いますか？
A. 両者の違いは、「設定ガイドライン」が専門的な技術文書であるのに対し、ガイドブックはその内容をわかりやすく解説した普及版である点です。2022年10月公表の「クラウドサービス利用・提供における適切な設定のためのガイドライン」が前提となる文書で、まずガイドブックで全体像をつかみ、より詳細な対策一覧（ANNEX）を設定ガイドラインで確認する、という使い分けができます。
Q. クラウドの設定ミス対策は、中小企業やひとり情シスでも対応できますか？
A. クラウドの設定ミス対策は、中小企業やひとり情シスでも、まずは基本の体制づくりから着手できます。ガイドブックは企業規模を問わずクラウドを利用する企業全般を対象としており、最初の一歩として「責任者・担当者の明確化」と「設定する人とチェックする人の分離」を挙げています。
ただし、設定とチェックを一人が担う「ひとり情シス」はミスを見つけにくいため、分担が難しい場合は外部の診断サービスやCSPMなどのツールで人手を補う方法が示されています。ガイドブックは2023年度の事例として「中小企業も狙われている」と注意を促しており、規模が小さいから対象外、とはいえない点にも留意が必要です。
Q. クラウドの設定ミス対策では、CASB・CSPM・SSPMをどう使い分ければよいですか？
A. 3つのツールは、対象とするクラウドの種類で使い分けます。自社が構築したIaaS基盤（AWS・Microsoft Azure・Google Cloud）の設定を点検するならCSPM、利用中のSaaS（Microsoft 365・BOX・Salesforceなど）の設定を点検するならSSPM、どのクラウドがどう使われているかを可視化するならCASBが目安です。
これらはいずれも、組織・ルール／人／作業手順という基本対策を高い水準で実施したい場合に推奨される位置づけです。なお、SSPMはグローバルなSaaSには対応している一方、日本のSaaSには対応していない場合がある点に注意してください。
Q. クラウドの設定を委託先に任せている場合、設定ミスの責任は誰にありますか？
A. 設定作業を委託先やSI事業者に任せている場合でも、最終的な責任は利用者（委託元の企業）が負います。これは、クラウドのセキュリティを提供者と利用者で分担する「責任共有モデル」の考え方に基づくもので、ガイドブックもSI事業者が行った設定について利用者が注意しておく必要があると明記しています。
委託先に任せきりにせず、どの設定が自社の責任範囲なのかを把握しておくことが対策の出発点になります。利用規約に免責条項や責任制限条項が含まれていることも多いため、提供者が責任を負わない範囲は利用者が自ら守る前提で点検する必要があります。
クラウドの設定ミス対策に役立つサービスの資料を一括チェック
MCB FinTechカタログでは、クラウドの設定ミスや脆弱性を検査できる診断サービス・ツールの最新資料を無料で一括請求できます。対応するクラウドや診断範囲、料金を比べながら、自社に合う点検手段を検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
