クラウドの設定の診断（CSPM）とは

CSPM（クラウドの設定の診断）とは、クラウドの設定を、あらかじめ決めた基準と照らし合わせて自動で点検し、基準から外れている設定を知らせ続ける仕組みです。一度きりの診断ではなく、設定が変わるたびに点検し直せる点が、人の目による点検との大きな違いです。

設定ミスが起きる原因と、防ぎ方の全体は、クラウドの設定ミスによる情報漏えいと、防ぎ方で説明しています。この記事では、そのうちの「自動で点検する」仕組みである CSPM を、どう選び、どう運用するかに絞って説明します。

CSPM は、何を確かめるのですか

CSPMが確かめるのは、クラウドの資源の設定が、セキュリティの基準に沿っているかどうかです。たとえば、保存場所が外から見られる状態になっていないか、管理者のアカウントに多要素認証がかかっているか、操作の記録が残る設定になっているか、といった点です。

基準には、クラウドの事業者が自ら定めたものと、業界の団体が定めたものがあります。AWS の Security Hub CSPM は、AWS が定めた「AWS Foundational Security Best Practices」のほか、CIS（Center for Internet Security）、PCI DSS、NIST の基準に沿った点検を用意しています。基準ごとに複数の点検の項目があり、点検の結果からセキュリティのスコアを計算して、手当てが要るアカウントや資源を示します。

出典：What is AWS Security Hub CSPM?（AWS）

CIS が定める基準と、その使い方は、CISベンチマークでクラウドの設定を確かめるで説明しています。

3つのクラウドの仕組み

AWS・Microsoft Azure・Google Cloud は、いずれも事業者が自前の CSPM の仕組みを用意しています。2026年11月時点の公式の説明では、次のとおりです。

出典：What is AWS Security Hub CSPM?（AWS）

出典：Cloud security posture management (CSPM)（Microsoft Learn）

出典：Security Command Center overview（Google Cloud）

使い始めるときに見落としやすいのは、点検の範囲です。AWS の説明では、Security Hub CSPM は有効にした後に生まれた結果だけを集め、有効にしたリージョンの結果だけを扱います。ふだん使わないリージョンも含めて有効にしておかないと、知らないうちに作られた資源に気づけません。また、Google Cloud は、Security Command Center の Enterprise の段階を2027年5月21日に終えると案内しています。段階を選ぶときは、最新の案内を確かめます。

複数のクラウドを使っている場合は、Defender for Cloud のようにほかのクラウドにもつなげる仕組みと、クラウドごとの仕組みを使い分ける方法があります。どちらを選ぶかは、点検の項目の違い、費用、結果を誰が見るかで決めます。

指摘を、仕分けて直し続ける

CSPM は、有効にした直後に多くの指摘を出すことがよくあります。すべてを一度に直そうとすると手が止まるため、重要度と影響で仕分け、担当と期限を決めて、少しずつ減らしていく運用にします。

進め方の例は、次のとおりです。

1. 基準を選ぶ：最初は事業者の基準か CIS の基準のどちらかに絞り、点検の項目を増やしすぎない
2. 仕分ける：外からの攻撃につながる設定（外への公開、管理者の多要素認証、操作の記録）を先にし、本番の環境を検証や開発の環境より先にする
3. 担当と期限を決める：指摘ごとに、直す人と期限を決める。システムの持ち主が分からない資源は、ここで洗い出す
4. 直す、または例外を記録する：業務の理由で基準どおりにできない設定は、理由と見直しの時期を記録して、例外として扱う
5. 毎月、振り返る：新しく出た指摘と、残っている指摘の数を並べ、増えている原因を確かめる

例外を記録せずに放っておくと、本当に直すべき指摘が、見慣れた指摘の中に埋もれてしまいます。例外は「認めた人」と「見直す日」を残しておくと、後から理由をたどれます。

同じ指摘がくり返し出る場合は、作る手順そのものに原因があることが多いため、インフラのコード化（IaC）とは。手作業の構築をやめる理由のひな形を直すなど、元から手当てします。決まった設定の誤りを仕組みで自動に直す方法もありますが、業務への影響を確かめてから範囲を決めます。運用の自動化の考え方は、運用の自動化。人がやる作業、仕組みに任せる作業で説明しています。

CSPM だけでは分からないこと

CSPM が確かめられるのは、仕組みで読み取れる設定だけです。その設定が業務に照らして正しいかどうか、権限を持つ人が今も在籍しているかどうか、といった判断は、人が受け持ちます。

たとえば、ある保存場所が外に公開されていることは CSPM で分かりますが、それが会社の案内の資料を置くために意図して公開したものか、誤って公開したものかは、持ち主に聞かないと分かりません。AWS の説明でも、CIS の基準のうち一部の項目は Security Hub CSPM では点検できず、手で確かめる必要があるとしています。

出典：CIS AWS Foundations Benchmark in Security Hub CSPM（AWS）

また、CSPM は設定の状態を見る仕組みで、不正なログインや怪しい通信が起きていることを見つける仕組みとは役割が違います。不正な利用に気づく仕組みは、クラウドの不正利用に気づく。脅威の検知の仕組みで説明しています。権限の見直しは、クラウドの権限管理（IAM）の基本。最小の権限とはと組み合わせます。

当社のご支援

アメリア・テクノロジーのクラウドの構築と運用管理では、CSPM の設定、基準の選び方、指摘の仕分けと例外の記録の決まりづくりを、運用の一部としてお手伝いしています。CSPM の結果に加えて、当社の担当者がクラウドの設定を点検する場合は、クラウドのセキュリティ診断として承ります。当社が構築・運用している環境の診断は、自己点検として報告します。第三者の立場での確認が要る場合は、システム監査の決まりにもとづいてご相談ください。まずは無料のクラウドの自己診断で、おおまかな現状を確かめることもできます。