クラウドセキュリティにおける制御機能や設定機能は、統合されたプラットフォームへと集約される流れがある。以前は複数のツールを組み合わせて運用していた場面でも、一部のツールが不要になれば、セキュリティ運用を簡素化できる。例えば以下のような項目を、包括的に提供できる製品やサービスが増えてきた。

• アプリケーション開発のパイプライン管理
• クラウド上のワークロード（アプリケーションやその処理タスク）保護
• 設定ミスのチェックと修正
• IaC（Infrastructure as Code）テンプレートの検証
• 実行時（ランタイム）における監視

　こうした幅広いニーズを満たす代表的な製品カテゴリーが、CNAPPだ。CNAPPは、複数のクラウドセキュリティ機能を1つに統合したプラットフォームであり、従来提供されてきた以下のような製品やサービスの機能を組み合わせている。

• CASB（クラウドアクセスセキュリティブローカー）
  • クラウドサービスへのアクセスや利用状況を可視化・制御する機能
• CSPM（クラウドセキュリティポスチャー管理）
  • クラウドサービスにおける設定の誤りやリスクの検出および修復機能
• CWPP（クラウドワークロード保護プラットフォーム）
• クラウドで動作する仮想マシンやコンテナなどのワークロードを対象にする保護機能
• DevOps（開発と運用の一体化）パイプラインのセキュリティ制御
  • アプリケーション開発の自動化プロセス全体でのセキュリティ対策

本当に統合は可能？　現場で求められるセキュリティ構成

　CNAPPのような統合型セキュリティプラットフォームを導入すれば、クラウドにおけるセキュリティ運用の効率化が図れる。ツールの乱立によって生じていた管理の煩雑さや設定の不整合も軽減できる可能性がある。

　幅広いニーズに適応できるのがCNAPPだが、SaaS（Software as a Service）にアクセスするユーザーを保護対象に含められない場合がある。このような場合には、SSPM（SaaS Security Posture Management：SaaSセキュリティポスチャー管理）といった、CNAPPとは別のSaaS専用セキュリティサービスの導入が必要になることもある。

　CNAPPは、クラウドインフラやクラウドネイティブ（クラウドで運用することを前提にした設計）アプリケーションの保護に特化している一方で、従来のオンプレミスで利用されていたプロキシ機能は対象にしていない。このプロキシ機能はクラウドやインターネットにアクセスするエンドユーザーの通信を制御する機能だ。

　そうしたプロキシ機能は、ZTNA（ゼロトラストネットワークアクセス）とったセキュリティツールが一部担っていることがある。ZTNAは「全てのアクセスを信頼せず、常に検証する」というゼロトラストの考え方に基づき、ユーザーやデバイスのアクセスを制御するツールだ。

ZTNAをはじめ、CNAPPやSSPMといったセキュリティツール群は、統合が進行中の段階にあるが、現時点では完全な統合には至っていない実際の運用環境では、目的や用途に応じてこれらの製品を組み合わせて運用しているケースが多い。アクセス制御、インフラの保護、SaaSのリスク管理といった機能を適材適所で補完し合う構成が主流だ。

　こうしてセキュリティツールの統合が進展する一方で、各クラウドベンダーが提供するクラウドネイティブなセキュリティサービスを軽視すべきではない。例えば、ログの記録と監視、ネットワーク制御、IDおよびアクセス管理などの基本機能を有効化するだけでも、セキュリティのベースラインを大きく引き上げることができる。DLP（Data Loss Prevention：データ損失防止）など、特定の機能に特化したサービスが利用できれば、セキュリティ体制はより強固になる。

　ただし、そうしたベンダー提供サービスは特定のクラウドサービス向けであることが多く、複数のクラウドサービス横断での活用には向かないという制約もある。そのため、クラウドセキュリティの統合を進める際には、マルチクラウド環境で適用可能かどうかを見極めることが重要だ。ベンダーのロードマップや対象範囲を確認し、できるだけ少ない製品数でより多くの制御機能を利用できる構成を選定する視点が求められる。