クラウドセキュリティの機能とは？CASB・CSPMなど種類一覧と何を守るかを解説

クラウドサービスの利用が広がるなかで、「クラウドセキュリティにはどんな機能があるのか」を整理したい担当者は少なくありません。CASB・CSPM・CWPP といった略語が記事ごとにばらばらに登場し、全体像をつかみにくいと感じる場面も多いはずです。

クラウドセキュリティの機能は、「設定・構成を守る」「ID・アクセスを守る」「ワークロード・通信・データを守る」という守る対象で整理すると見通しがよくなります。どの機能が自社に必要かは、SaaS 中心かインフラまで自社で持つかといった使い方によって変わります。

本記事では、クラウドセキュリティの主な機能を名称・略語の正式名称・役割・守る対象の一覧表で示します。そのうえで、各機能がどのリスクに効くか、責任共有モデルで利用者が担う機能はどれか、単機能と統合製品（CNAPP・SASE）のどちらを選ぶかまでを整理します。情報システム・管理部門の担当者が、自社に必要な機能を見極める材料としてご活用ください。

クラウドセキュリティとは

クラウドセキュリティは、クラウドサービス上のデータ・アプリケーション・インフラを、不正アクセスや設定ミス、情報漏えいなどの脅威から守る取り組みと、そのための機能の総称です。自社の機器を社内に置くオンプレミスと違い、クラウドでは事業者と利用者が守る範囲を分担する点が大きな特徴になります。

クラウドサービスは、提供範囲によって SaaS（Software as a Service）・PaaS（Platform as a Service）・IaaS（Infrastructure as a Service）に分かれます。

アプリケーションまで完成した形で使う SaaS、開発環境までを借りる PaaS、仮想的なインフラを借りる IaaS では、利用者が自分で守るべき範囲が変わります。この範囲の考え方は後半の「責任共有モデル」で扱います。

まずは、クラウドセキュリティにどんな機能があるのかを一覧で見ていきましょう。

クラウドセキュリティの機能の種類一覧

クラウドセキュリティの主な機能を、守る対象ごとに整理すると次のとおりです。各機能の略語には正式名称を併記し、役割と主に守る対象をまとめました。自社の課題に近い行から読み進められます。

※略語の正式名称・役割は各機能の一般的な定義にもとづく。CNAPP（および内包する CSPM・CWPP・CIEM）の定義は Cloud Security Alliance、WAF は IPA の資料を参照（出典は本文中に記載）。

ここからは、3つのグループごとに各機能の役割を少し詳しく見ていきます。

設定・構成の安全を守る機能（CSPM・CIEM・CNAPP）

クラウドでは、公開範囲やアクセス権限の設定ミスが、外部から直接悪用されやすく気づきにくいリスクになります。この領域を担うのが CSPM・CIEM、そしてそれらを束ねる CNAPP です。

CSPM（Cloud Security Posture Management）は、クラウドリソースの設定ミスを見つけ出すことに主眼を置いた機能です。公開設定の誤りや推奨されない構成を自動で検査し、どこを直すべきかを示します。

CIEM（Cloud Infrastructure Entitlement Management）は、クラウドインフラの権限（エンタイトルメント）を管理し、必要以上に強い権限が付いていないかを統制します。過剰な権限は、アカウントが乗っ取られたときの被害を広げる要因になるためです。

CNAPP（Cloud-Native Application Protection Platform）は、これらを個別に導入するのではなく、1つの基盤にまとめた新しいカテゴリの製品です。Cloud Security Alliance は、CNAPP を主に CSPM と CWPP、さらに CIEM の要素を統合したものと説明しています。開発から実行までを一体で守りたい場合の選択肢になります。

出典・参考資料（1件）

• 出典：What is a Cloud-Native Application Protection Platform (CNAPP)?｜Cloud Security Alliance

ID・アクセスを守る機能（IDaaS・CASB・SWG・SASE）

クラウドは社外からでもアクセスできるため、「誰がどこから入るか」を制御する機能が重要になります。この領域には IDaaS・CASB・SWG と、それらを束ねる SASE があります。

IDaaS（Identity as a Service）は、シングルサインオンや多要素認証、ID 管理をクラウドで提供する ID 基盤です。複数の SaaS をまたぐログインを一元化し、本人確認を強化します。

CASB（Cloud Access Security Broker）は、利用者とクラウドサービスの間に立って利用状況を可視化し、ポリシーの適用やシャドーIT（会社が把握していないクラウド利用）の管理、データ持ち出しの防止までを担う機能です。

SWG（Secure Web Gateway）は、Web アクセスを検査・フィルタリングし、危険なサイトや脅威への通信を遮断します。

これらのネットワーク機能とセキュリティ機能をクラウドから統合して提供する枠組みが SASE（Secure Access Service Edge）で、SWG や CASB などを1つのサービスとして束ねます。拠点やリモートワークが混在する環境で、アクセス制御をまとめたい場合に向きます。

ワークロード・通信・データを守る機能（CWPP・EDR／XDR・WAF・暗号化）

サーバーやアプリケーション、データそのものを守る機能もあります。クラウド上で動くプログラムやデータが攻撃の標的になるためです。

CWPP（Cloud Workload Protection Platform）は、仮想マシン・コンテナ・サーバーレス機能といったワークロードを、置かれている場所を問わず保護する機能です。

EDR（Endpoint Detection and Response）・XDR（Extended Detection and Response）は、端末や複数のレイヤにまたがる不審な挙動を検知し、対応まで行います。

WAF（Web Application Firewall）について、IPA（独立行政法人情報処理推進機構）は次のように説明しています。

WAF は、ウェブアプリケーションの脆弱性を悪用した攻撃などからウェブアプリケーションを保護するソフトウェア、またはハードウェアです。WAF は脆弱性を修正するといったウェブアプリケーションの実装面での根本的な対策ではなく、攻撃による影響を低減する対策です。

出典：Web Application Firewall（WAF）読本 改訂第2版｜独立行政法人情報処理推進機構（IPA）

公開中の Web アプリケーションを守る WAF に対し、保存・通信するデータそのものを守る基本の機能が暗号化です。暗号化しておけば、万一データが流出しても第三者が中身を読み取りにくくなります。

各機能はどのリスクに効くのか（機能×リスク対応表）

機能の種類がわかったら、次は「自社が気にしているリスクに、どの機能が効くのか」で結びつけると選びやすくなります。各機能が何を守るかは前掲の一覧表を参照してください。ここではクラウドで代表的なリスクと、主に対応する機能を整理しました。

※リスクと機能の対応は代表的な組み合わせを示すもので、1つのリスクに複数の機能が関わる場合があります。

設定・権限まわりは外部から直接悪用されやすいため、ここを押さえる CSPM・CIEM から検討を始めると効果を実感しやすくなります。表で情報漏えい・持ち出し対策に IDaaS を挙げているのは、本人確認を固めることで不正ログイン経由の持ち出しを防げるためです。

責任共有モデルと利用者が担う機能

どの機能を自社で用意すべきかは、クラウドの「責任共有モデル」を押さえると判断しやすくなります。総務省のガイドラインは、責任共有の考え方を次のように説明しています。

クラウドサービスの情報セキュリティを高めるためには、クラウドサービス事業者とクラウドサービス利用者が協力して、クラウドサービスに対する責任を共有する必要がある。この責任を共有するという考え方(責任共有モデル)を多くのクラウドサービス事業者が採用している。ただし、責任共有モデルにおけるクラウドサービス事業者とクラウドサービス利用者の責任範囲・内容は一律に決まるものではなく、クラウドサービスの内容やクラウドサービス利用条件・環境ごとに、両者で責任範囲と内容について合意し、契約で明示することが重要である。

出典：クラウドサービス提供における情報セキュリティ対策ガイドライン（第3版）｜総務省

重要なのは、責任範囲が一律には決まらず、最終的には契約・SLA（サービス品質保証）で明示するという点です。そのうえで、提供形態ごとに利用者が担う範囲の目安は次のように整理できます。

• SaaS：利用者はデータの管理とアカウント・アクセス権限の設定に責任を持ちます。ここで効くのは IDaaS・CASB や、外部共有設定の管理です。
• PaaS：利用者はアプリケーションの開発・管理に加え、事業者が提供する認証・暗号化・ログ管理などの機能を正しく設定する責任を負います。設定の検査（CSPM）やアクセス管理が関わります。
• IaaS：利用者は OS 以上のソフトウェアすべてを管理し、ミドルウェアのパッチ適用や脆弱性対応まで担います。CWPP・脆弱性診断・EDR／XDR の必要性が高まります。

大まかには、SaaS 中心なら ID・アクセス管理が、インフラまで自社で持つほど設定・ワークロードの守りが中心になります。利用形態に応じた具体的な優先順位は、次の「選び方」で整理します。なお、ここで挙げた対応はあくまで目安で、実際の責任範囲は契約・SLA で確認してください。

自社に合う機能・サービスの選び方

機能の全体像と、自社が担う範囲が見えてきたら、具体的に何から入れるかを考えます。ここでは優先順位の付け方と、単機能か統合製品かの考え方を整理します。

自社のクラウド利用形態から優先順位をつけるには

優先順位は、自社がどうクラウドを使っているかで変わります。SaaS を中心に使う企業であれば、まずID・アクセスの統制（IDaaS）と、無許可利用・持ち出しの可視化（CASB）から着手すると、責任範囲の中心を押さえられます。

一方、AWS や Azure などで自社インフラも持つ企業は、設定ミスを防ぐ CSPM と、サーバー・コンテナを守る CWPP の優先度が上がります。設定ミスは外部から直接悪用されやすいため、構成を自動で点検できる状態をつくることが、投資対効果の見えやすい第一歩になります。

単機能を組み合わせるか、統合製品（CNAPP・SASE）でまとめるか

必要な機能が増えてくると、単機能の製品を個別に導入するか、統合製品でまとめるかの判断が出てきます。守りたい領域が1つか2つなら、その領域に強い単機能の製品を選ぶほうが、導入も運用もシンプルです。

守る対象が広がり、設定・ワークロード・権限を横断して管理したい場合は、CNAPP のような統合型が選択肢になります。アクセス制御とネットワークをまとめたいなら SASE が候補です。統合製品は管理画面が1つにまとまる利点がある一方、自社に不要な機能まで含むこともあるため、必要な機能が十分にカバーされているかを確認して選びます。

ゼロトラストの考え方と統合型で守りを束ねる流れ

統合型が広がる背景には、「社内ネットワークの内側だから安全」とは考えず、アクセスのたびに本人と端末を確認するゼロトラストの考え方があります。クラウドとリモートワークが前提になると、守る境界が社内の壁ではなくなるためです。

ゼロトラストを実現する手段として、ID・アクセスの統制（IDaaS）やアクセスを束ねる SASE が位置づけられます。いきなりすべてを統合するのではなく、まず多要素認証とアクセス制御で本人確認を固め、必要に応じて統合型へ広げていく進め方が現実的です。

自社に必要な機能を備えたサービス

ここからは、これまで見てきた機能を実際に備えたサービスを紹介します。自社に必要な機能カテゴリ（ID・アクセス管理、設定の検査など）が見えてきたら、該当するサービスの資料で詳細を確認すると選定が進みます。

※上記は2026年11月時点の各社公式情報にもとづく目安です。最新の機能・料金・対応範囲は各社の公式情報をご確認ください。

ここで取り上げるのは、クラウドセキュリティの機能に対応したサービスの一例です。ここで個別に紹介していない CASB やログ監視、エンドポイント対策なども含め、社内で守るべき対象ごとに主要なサービスを横断して比較・検討したい場合は、以下の記事で守る対象別のタイプと選び方を整理しています。

1. Aikido Security（株式会社AndGo）

Aikido Security は、ソースコード・依存ライブラリ・クラウド設定・コンテナ・稼働中の Web アプリを1つの管理画面で検査できる、オールインワンの脆弱性診断 SaaS です。設定・構成の安全を守る CSPM を含み、日本では株式会社AndGo が販売・導入支援の窓口を務めます。

クラウド設定の検査（CSPM）は AWS・Azure・GCP に対応し、外部から侵入されやすい設定になっていないかを継続的に見張ります。あわせて、ソースコードの静的解析（SAST）や依存ライブラリの検査（SCA）、稼働中アプリの動的診断（DAST）も扱えるため、開発から運用までを横断してリスクを把握できます。

バラバラに出がちなアラートを統一して対応すべきものを絞り込めるほか、修正案をプルリクエストとして提示する自動修正にも対応します。料金は月額のサブスクリプション型で、無料で試せるプランも用意されています。設定ミスへの備えとクラウド全体の脆弱性管理をまとめたい企業に向きます。

開発の現場でセキュリティの扱い方がどう変わってきているかについて、同社へのインタビューでは次のように語られました。

2. CloudGate UNO（株式会社インターナショナルシステムリサーチ）

ID・アクセスを守る機能をまとめて担うのが、株式会社インターナショナルシステムリサーチが自社開発する IDaaS「CloudGate UNO」です。シングルサインオン・多要素認証・パスワードレス認証・アクセス制限・ID 管理を1つの基盤で提供し、ゼロトラストの考え方にもとづく認証を実現します。

一度の認証で複数のクラウドサービスへアクセスでき、パスキー（FIDO2）によるパスワードレス認証はフィッシングに強い点が特徴です。アクセス制限は端末・場所・時間の3つの軸で細かく設定でき、私用端末からのアクセス禁止や時間帯による制御も行えます。

月額はユーザー単位で、パスキー認証は全プランで利用できます。複数の SaaS を使い始めてログインやパスワード管理が煩雑になってきた企業が、ID・アクセスの統制から着手する際の選択肢になります。

ID・アクセスの統制がパスワード管理の負担やヘルプデスク業務にどう関わるかについて、同社へのインタビューでは次のような導入事例が語られました。

まとめ

クラウドセキュリティの機能は、守る対象で整理すると全体像をつかめます。要点は次のとおりです。

• 設定・構成を守る：設定ミスを検出する CSPM、権限を管理する CIEM、それらを束ねる CNAPP。
• ID・アクセスを守る：認証を担う IDaaS、利用を可視化する CASB、Web通信を検査する SWG、これらを統合する SASE。
• ワークロード・通信・データを守る：ワークロードを守る CWPP、検知・対応の EDR／XDR、Webアプリを守る WAF、データを守る暗号化。
• 選び方：責任共有モデルで自社が担う範囲を確認し、SaaS 中心なら ID・アクセス、インフラも持つなら設定・ワークロードから優先。守る範囲が広ければ統合製品（CNAPP・SASE）も検討する。

自社に必要な機能が見えてきたら、該当するサービスの資料で機能や料金を具体的に確認すると、導入検討が進めやすくなります。

よくある質問（FAQ）

Q. クラウドセキュリティとは何ですか？

A. クラウドセキュリティとは、クラウドサービス上のデータ・アプリケーション・インフラを、不正アクセスや設定ミス、情報漏えいといった脅威から守る取り組みと、そのための機能の総称です。

オンプレミスと違い、クラウドでは事業者と利用者が守る範囲を分担する「責任共有モデル」が前提になる点が特徴です。守る対象ごとに、設定を点検する CSPM、ID・アクセスを統制する IDaaS、クラウド利用を可視化する CASB など、さまざまな機能があります。

Q. CASBとCSPMの違いは何ですか？

A. CASBとCSPMの違いは守る対象にあり、CASBは利用者とクラウドの間に立ってクラウドの「利用状況」を可視化・制御する機能、CSPMはクラウドの「設定・構成」のミスを見つけて是正を促す機能です。

CASB（Cloud Access Security Broker）はシャドーIT（会社が把握していないクラウド利用）の管理や情報の持ち出し防止に、CSPM（Cloud Security Posture Management）は公開範囲や権限の設定ミスの検出に向きます。似た略語ですが効くリスクが異なるため、自社が気にしているリスクで選び分けると判断しやすくなります。

Q. 無料でできるクラウドセキュリティ対策はありますか？

A. クラウドセキュリティには、多要素認証の有効化や公開範囲・外部共有設定の見直しなど、追加費用をかけずに始められる対策があります。

多くの SaaS やクラウド基盤には、多要素認証やアクセス権限の設定、外部共有の制限といった機能が標準で備わっています。まずこれらを正しく設定するだけでも、不正アクセスや設定ミスによる事故のリスクを下げられます。そのうえで、設定を継続的に点検する CSPM や、ID・アクセスを統制する IDaaS などの専用機能・サービスの導入を検討すると、守りをより確実にできます。

Q. 自社に必要なクラウドセキュリティの機能はどう選べばよいですか？

A. 自社に必要な機能は、責任共有モデルで自社が担う範囲と、気になっているリスクから逆算して選ぶのが基本です。

専任の担当者がいないなど最初の一歩に迷う場合は、多くの企業に共通して効く多要素認証（IDaaS）と、設定ミスの点検（CSPM）から始めると無理がありません。

自社のクラウド利用形態（SaaS 中心かインフラも持つか）に応じた具体的な優先順位は、本文の選び方で整理しています。

Q. CNAPPとは何ですか？

A. CNAPP（Cloud-Native Application Protection Platform）とは、CSPM や CWPP、CIEM といった機能を1つの基盤にまとめ、クラウドの設定から実行中のワークロードまでを一体で守る統合型の製品カテゴリです。

個別の単機能製品を組み合わせると管理が煩雑になる場合に、守りをまとめる選択肢になります。アクセス制御とネットワークをまとめたい場合は、同じく統合型の SASE（Secure Access Service Edge）が候補です。

クラウドセキュリティに役立つサービスの料金・資料を一括チェック

MCB FinTechカタログでは、ID・アクセス管理やクラウドの脆弱性診断など、クラウドセキュリティに役立つサービスの最新資料を無料で一括請求できます。対応する機能・料金・対応クラウドなどを比較できます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。