2023年にPalo Alto Networksが実施した調査によれば、平均的な組織は30種類を超えるセキュリティツールを導入しており、そのうち6～10個はクラウドセキュリティ専用の製品だった。これは世界中の2500人以上の経営幹部を対象に、クラウドの導入戦略について調査したものだ。

　セキュリティツールが乱立しているシステム環境では、以下のような領域で“保護の穴”や脆弱性が生じる可能性がある。

• アップデート
  • セキュリティソフトウェアでは定期的または不定期でアップデートや設定変更をすることが基本だ。クラウドサービスは変更の頻度が高いため、それに合わせて多くのツールも随時更新する必要がある。その際、システム停止やツール間の互換性問題、さらには性能低下といったトラブルを招く恐れがある
• サードパーティーリスク
  • クラウドセキュリティツールの特徴の一つは、サービスプロバイダー間での高度な連携が求められる点だ。こうした連携は、主にAPI（アプリケーションプログラミングインタフェース）を通じて実現される。クラウドベースのセキュリティサービスは接続点が多いため、サードパーティーを含めたリスクが伴う。
• 運用範囲
  • 導入しているツールやサービスが多ければ多いほど、それに対応するスキルや運用範囲も広がる。これは多くのセキュリティチームにとって頭痛の種だ。利用するベンダーやサービスの数を統合・限定することで、日常的な標準運用手順や監視・対応体制の整備に役立てることができる。
• アラート疲れ
  • 多数のクラウドセキュリティツールからアラートが洪水のように送られてくると、セキュリティチームはその処理にてんてこ舞いとなり、調査すべきアラートがノイズや誤検知に埋もれてしまう。

現状導入済みのクラウドセキュリティの評価方法

　導入済みのクラウドセキュリティツール、特にPaaS（Platform as a Service）やIaaS（Infrastructure as a Service）の見直しをする際は、汎用（はんよう）性が高く重要な要件に基づいて評価すべきだ。具体的には、次のような観点が挙げられる。

• ファイルとワークロードのセキュリティ
  • 強力なファイル整合性監視機能や、ワークロード（処理負荷やその内容）を中心としたデータおよびファイル保護機能を優先的に確保する。
• 統合性
  • クラウドセキュリティツールが、脅威管理、脆弱性管理、画像やアプリケーションコンポーネントに対する評価レポート機能と統合・連携していることを確認する。
• クラウドセキュリティ機能
  • 主要なクラウドサービスに対応し、ランタイム環境（アプリケーションが実行されている環境）とInfrastructure as Code（IaC、コードを使ってクラウドの構成を管理する方法）の両方に対応していることと、クラウド環境の設定ミスやセキュリティリスクを自動で検出・修復できる機能が備わっていることを確認する。
• インシデント管理
  • クラウドセキュリティツールにおいて重要な機能は、リアルタイム検出、迅速な対応、証跡確保などだ。
• オーケストレーションの対応
  • オーケストレーション機能は、特にコンテナオーケストレーター「Kubernetes」のような複雑になるシステム環境で重要性が高まる。使用するツールが増えるほど、それらを効率よく連携・管理するために欠かせない機能となる。

　次回はCNAPPに代表される統合型セキュリティツールの動向をまとめる。