--- title: "クラウドの設定の診断（CSPM）とは｜アメリア・テクノロジー株式会社" url: https://www.ameliatechnology.co.jp/blog/cspm-basics/ description: "CSPMは、クラウドの設定を基準と照らし合わせて自動で点検する仕組みです。3つのクラウドの仕組み、指摘を仕分けて直し続ける運用の進め方、仕組みだけでは分からないことを説明します。" updated: 2026-11-14 publisher: "アメリア・テクノロジー株式会社" --- # クラウドの設定の診断（CSPM）とは CSPMは、クラウドの設定を基準と照らし合わせて自動で点検する仕組みです。3つのクラウドの仕組み、指摘を仕分けて直し続ける運用の進め方、仕組みだけでは分からないことを説明します。 2026.11.14 [クラウドと運用](https://www.ameliatechnology.co.jp/blog/category/cloud/) 執筆 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/)（グループCTO） クラウドと運用（CLOUD & OPERATIONS）のコラム ## この記事の要点 - CSPM とは、クラウドの設定を基準と照らし合わせて自動で点検し、外れている設定を知らせ続ける仕組みです。3つのクラウドとも、事業者が自前の仕組みを用意しています。 - 指摘は数が多くなりやすいため、重要度と影響で仕分け、担当と期限を決めて直し、直さないものは理由を記録する運用が要ります。 - CSPM が確かめられるのは、仕組みで読み取れる設定だけです。業務に照らした判断や、手で確かめる項目は人が受け持ちます。 CSPM（クラウドの設定の診断）とは、クラウドの設定を、あらかじめ決めた基準と照らし合わせて自動で点検し、基準から外れている設定を知らせ続ける仕組みです。一度きりの診断ではなく、設定が変わるたびに点検し直せる点が、人の目による点検との大きな違いです。 設定ミスが起きる原因と、防ぎ方の全体は、[クラウドの設定ミスによる情報漏えいと、防ぎ方](https://www.ameliatechnology.co.jp/blog/cloud-misconfiguration/)で説明しています。この記事では、そのうちの「自動で点検する」仕組みである CSPM を、どう選び、どう運用するかに絞って説明します。 ## CSPM は、何を確かめるのですか [CSPM](https://www.ameliatechnology.co.jp/glossary/cspm/)が確かめるのは、クラウドの資源の設定が、セキュリティの基準に沿っているかどうかです。たとえば、保存場所が外から見られる状態になっていないか、管理者のアカウントに多要素認証がかかっているか、操作の記録が残る設定になっているか、といった点です。 基準には、クラウドの事業者が自ら定めたものと、業界の団体が定めたものがあります。AWS の Security Hub CSPM は、AWS が定めた「AWS Foundational Security Best Practices」のほか、CIS（Center for Internet Security）、PCI DSS、NIST の基準に沿った点検を用意しています。基準ごとに複数の点検の項目があり、点検の結果からセキュリティのスコアを計算して、手当てが要るアカウントや資源を示します。 出典：[What is AWS Security Hub CSPM?（AWS）](https://docs.aws.amazon.com/securityhub/latest/userguide/what-is-securityhub.html) CIS が定める基準と、その使い方は、[CISベンチマークでクラウドの設定を確かめる](https://www.ameliatechnology.co.jp/blog/cis-benchmark-cloud/)で説明しています。 ## 3つのクラウドの仕組み AWS・Microsoft Azure・Google Cloud は、いずれも事業者が自前の CSPM の仕組みを用意しています。2026年11月時点の公式の説明では、次のとおりです。 | クラウド | 仕組みの名前 | 公式の説明の要点 | |---|---|---| | [AWS](https://www.ameliatechnology.co.jp/glossary/aws/) | AWS Security Hub CSPM | 基準に沿って点検し、スコアを計算する。多くの点検には AWS Config での資源の記録が要る。有効にしたリージョンの結果だけを扱う | | [Microsoft Azure](https://www.ameliatechnology.co.jp/glossary/azure/) | Microsoft Defender for Cloud | 基本の CSPM は追加の費用なしで使え、推奨事項とセキュアスコアを示す。有料の Defender CSPM では、攻撃の経路の分析などが加わる。AWS と Google Cloud にも接続できる | | [Google Cloud](https://www.ameliatechnology.co.jp/glossary/google-cloud/) | Security Command Center | 設定の誤りや外に公開された資源を見つける。CIS などの基準に沿っているかを確かめられる。Standard・Premium・Enterprise の段階がある | 出典：[What is AWS Security Hub CSPM?（AWS）](https://docs.aws.amazon.com/securityhub/latest/userguide/what-is-securityhub.html) 出典：[Cloud security posture management (CSPM)（Microsoft Learn）](https://learn.microsoft.com/en-us/azure/defender-for-cloud/concept-cloud-security-posture-management) 出典：[Security Command Center overview（Google Cloud）](https://docs.cloud.google.com/security-command-center/docs/security-command-center-overview) 使い始めるときに見落としやすいのは、点検の範囲です。AWS の説明では、Security Hub CSPM は有効にした後に生まれた結果だけを集め、有効にしたリージョンの結果だけを扱います。ふだん使わないリージョンも含めて有効にしておかないと、知らないうちに作られた資源に気づけません。また、Google Cloud は、Security Command Center の Enterprise の段階を2027年5月21日に終えると案内しています。段階を選ぶときは、最新の案内を確かめます。 複数のクラウドを使っている場合は、Defender for Cloud のようにほかのクラウドにもつなげる仕組みと、クラウドごとの仕組みを使い分ける方法があります。どちらを選ぶかは、点検の項目の違い、費用、結果を誰が見るかで決めます。 ## 指摘を、仕分けて直し続ける CSPM は、有効にした直後に多くの指摘を出すことがよくあります。すべてを一度に直そうとすると手が止まるため、重要度と影響で仕分け、担当と期限を決めて、少しずつ減らしていく運用にします。 進め方の例は、次のとおりです。 1. **基準を選ぶ**：最初は事業者の基準か CIS の基準のどちらかに絞り、点検の項目を増やしすぎない 2. **仕分ける**：外からの攻撃につながる設定（外への公開、管理者の多要素認証、操作の記録）を先にし、本番の環境を検証や開発の環境より先にする 3. **担当と期限を決める**：指摘ごとに、直す人と期限を決める。システムの持ち主が分からない資源は、ここで洗い出す 4. **直す、または例外を記録する**：業務の理由で基準どおりにできない設定は、理由と見直しの時期を記録して、例外として扱う 5. **毎月、振り返る**：新しく出た指摘と、残っている指摘の数を並べ、増えている原因を確かめる 例外を記録せずに放っておくと、本当に直すべき指摘が、見慣れた指摘の中に埋もれてしまいます。例外は「認めた人」と「見直す日」を残しておくと、後から理由をたどれます。 同じ指摘がくり返し出る場合は、作る手順そのものに原因があることが多いため、[インフラのコード化（IaC）とは。手作業の構築をやめる理由](https://www.ameliatechnology.co.jp/blog/infrastructure-as-code-why/)のひな形を直すなど、元から手当てします。決まった設定の誤りを仕組みで自動に直す方法もありますが、業務への影響を確かめてから範囲を決めます。運用の自動化の考え方は、[運用の自動化。人がやる作業、仕組みに任せる作業](https://www.ameliatechnology.co.jp/blog/cloud-operations-automation/)で説明しています。 ## CSPM だけでは分からないこと CSPM が確かめられるのは、仕組みで読み取れる設定だけです。その設定が業務に照らして正しいかどうか、権限を持つ人が今も在籍しているかどうか、といった判断は、人が受け持ちます。 たとえば、ある保存場所が外に公開されていることは CSPM で分かりますが、それが会社の案内の資料を置くために意図して公開したものか、誤って公開したものかは、持ち主に聞かないと分かりません。AWS の説明でも、CIS の基準のうち一部の項目は Security Hub CSPM では点検できず、手で確かめる必要があるとしています。 出典：[CIS AWS Foundations Benchmark in Security Hub CSPM（AWS）](https://docs.aws.amazon.com/securityhub/latest/userguide/cis-aws-foundations-benchmark.html) また、CSPM は設定の状態を見る仕組みで、不正なログインや怪しい通信が起きていることを見つける仕組みとは役割が違います。不正な利用に気づく仕組みは、[クラウドの不正利用に気づく。脅威の検知の仕組み](https://www.ameliatechnology.co.jp/blog/cloud-threat-detection/)で説明しています。権限の見直しは、[クラウドの権限管理（IAM）の基本。最小の権限とは](https://www.ameliatechnology.co.jp/blog/cloud-iam-least-privilege/)と組み合わせます。 CSPM で分かること、人が判断すること、別の仕組みが受け持つこと - **CSPM で分かる**：仕組みで読み取れる設定（例：保存場所が**外に公開されている**こと） - **人が判断する**：その公開が意図したものか、誤りか（持ち主に聞く）。CIS の基準の一部の項目は手で確かめる - **別の仕組み**：不正なログインや怪しい通信が起きていることに気づく（脅威の検知） ## 当社のご支援 アメリア・テクノロジーの[クラウドの構築と運用管理](https://www.ameliatechnology.co.jp/service/cloud/)では、CSPM の設定、基準の選び方、指摘の仕分けと例外の記録の決まりづくりを、運用の一部としてお手伝いしています。CSPM の結果に加えて、当社の担当者がクラウドの設定を点検する場合は、クラウドのセキュリティ診断として承ります。当社が構築・運用している環境の診断は、自己点検として報告します。第三者の立場での確認が要る場合は、[システム監査](https://www.ameliatechnology.co.jp/service/system-audit/)の決まりにもとづいてご相談ください。まずは無料の[クラウドの自己診断](https://www.ameliatechnology.co.jp/diagnosis/cloud/)で、おおまかな現状を確かめることもできます。 - CSPM - クラウド - 設定の点検 - セキュリティ ## この記事に出てくる用語 - [CSPM（クラウドの設定の点検）](https://www.ameliatechnology.co.jp/glossary/cspm/) - [クラウド](https://www.ameliatechnology.co.jp/glossary/cloud/) - [多要素認証（MFA）](https://www.ameliatechnology.co.jp/glossary/mfa/) - [AWS（Amazon Web Services）](https://www.ameliatechnology.co.jp/glossary/aws/) - [CISベンチマーク](https://www.ameliatechnology.co.jp/glossary/cis-benchmark/) - [Microsoft Azure](https://www.ameliatechnology.co.jp/glossary/azure/) - [Google Cloud](https://www.ameliatechnology.co.jp/glossary/google-cloud/) - [リージョンとアベイラビリティゾーン](https://www.ameliatechnology.co.jp/glossary/region-availability-zone/) この記事を書いた人 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/) グループCTO インターネットの黎明期から、ホスティング事業の立ち上げや、インフラ・セキュリティのプロジェクトに携わってきました。現在は、AWS・Azure へのクラウド移行の支援と、業務アプリケーションの要件定義から実装までを担っています。 このコラムは一般的な情報の提供を目的としたもので、個別の状況への助言ではありません。製品・サービスの名前と内容は、記事の更新日の時点のものです。 ## あわせて読みたい - [Windowsサーバーと Active Directory を Azure へ移すときの考え方](https://www.ameliatechnology.co.jp/blog/windows-ad-to-azure/) - [Google Cloud を選ぶ場面。データ分析と Google Workspace とのつながり](https://www.ameliatechnology.co.jp/blog/when-to-choose-google-cloud/) - [Well-Architected の柱で、いまの構成を確かめる](https://www.ameliatechnology.co.jp/blog/well-architected-review/) [クラウドと運用のコラムを見る](https://www.ameliatechnology.co.jp/blog/category/cloud/) [コラムの一覧に戻る](https://www.ameliatechnology.co.jp/blog/) ## 次の一歩 ### クラウドの構築と運用を任せる AWS・Microsoft Azure・Google Cloud の設計・構築・移行から、監視・運用・セキュリティまでを一つのチームで受け持ちます。監視は仕組みで24時間365日自動に回し、原因の調査と再発の防止は当社が担います。 [クラウドの構築と運用管理を見る](https://www.ameliatechnology.co.jp/service/cloud/) ### クラウドの状態を、無料で確かめる 15の設問に答えると、構成と管理・権限・守り・障害への備え・費用と体制の5つの分野の点数と、最初に取り組むことをまとめたレポートをその場でお届けします。 [クラウドの自己診断（無料）を受ける](https://www.ameliatechnology.co.jp/diagnosis/cloud/) ## ご関心に合わせて、お選びください。 [情報を集めている方へ会社案内、AI開発の例、セキュリティ診断の報告書の見本をお送りします。資料をダウンロード](https://www.ameliatechnology.co.jp/download/)[課題が見えている方へオンラインで30分、お話をうかがいます。費用はかかりません。無料で相談する](https://www.ameliatechnology.co.jp/contact/)[進め方を決めたい方へ2〜4週間で、優先順位と計画をまとめるAI活用の診断です。診断について見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis) --- 出典：アメリア・テクノロジー株式会社「クラウドの設定の診断（CSPM）とは｜アメリア・テクノロジー株式会社」 https://www.ameliatechnology.co.jp/blog/cspm-basics/