なぜ「CNAPP」がいま必要なのか？ CASBやCSPM、既存ツールとの違いは？：クラウドセキュリティ乱立から統合へ【後編】

クラウド活用が進む一方で、課題として浮上しているのが企業のセキュリティツールが乱立していることだ。この状況を打開する鍵として期待されているのが、複数のセキュリティ機能を1つに統合する「CNAPP」だ。

[Dave Shackleford，TechTarget]

　クラウドサービスの活用が広がる中で、セキュリティの現場で新たな課題が浮上している。本来は安全性を高めるために導入したはずのツール群が、管理の手間や設定ミスによる防御の抜け穴を生み出す――とう、「セキュリティツール乱立」による問題だ。ツール同士の連携不足や機能の重複、設定項目の増加といった問題が、かえってセキュリティリスクを高めかねない状況が生まれている。

　こうした背景から重要性が高まっているのが、「CNAPP」（クラウドネイティブアプリケーション保護プラットフォーム）に代表される統合型のクラウドセキュリティツールだ。複数ツールの機能を1つの基盤にプラットフォームに集約することで、“過剰な防御”が抱える課題をどう解消できるのか。

統合が進むクラウドセキュリティの機能群

　クラウドセキュリティにおける制御機能や設定機能は、統合されたプラットフォームへと集約される流れがある。以前は複数のツールを組み合わせて運用していた場面でも、一部のツールが不要になれば、セキュリティ運用を簡素化できる。例えば以下のような項目を、包括的に提供できる製品やサービスが増えてきた。

• アプリケーション開発のパイプライン管理
• クラウド上のワークロード（アプリケーションやその処理タスク）保護
• 設定ミスのチェックと修正
• IaC（Infrastructure as Code）テンプレートの検証
• 実行時（ランタイム）における監視

　こうした幅広いニーズを満たす代表的な製品カテゴリーが、CNAPPだ。CNAPPは、複数のクラウドセキュリティ機能を1つに統合したプラットフォームであり、従来提供されてきた以下のような製品やサービスの機能を組み合わせている。

• CASB（クラウドアクセスセキュリティブローカー）
  • クラウドサービスへのアクセスや利用状況を可視化・制御する機能
• CSPM（クラウドセキュリティポスチャー管理）
  • クラウドサービスにおける設定の誤りやリスクの検出および修復機能
• CWPP（クラウドワークロード保護プラットフォーム）
• クラウドで動作する仮想マシンやコンテナなどのワークロードを対象にする保護機能
• DevOps（開発と運用の一体化）パイプラインのセキュリティ制御
  • アプリケーション開発の自動化プロセス全体でのセキュリティ対策

併せて読みたいお薦め記事

連載：クラウドセキュリティ乱立から統合へ

• 前編：セキュリティツール“乱立”が生んだ逆説「使えば使うほど脆弱だった」

クラウドセキュリティの現実

• いまさら聞けない「SSPM」「CSPM」とは？　セキュリティ管理の混同しがちな違い
• “どれが危険か”ではなく「SaaSそのものが致命的」　金融CISOが衝撃の一声

本当に統合は可能？　現場で求められるセキュリティ構成

　CNAPPのような統合型セキュリティプラットフォームを導入すれば、クラウドにおけるセキュリティ運用の効率化が図れる。ツールの乱立によって生じていた管理の煩雑さや設定の不整合も軽減できる可能性がある。

　幅広いニーズに適応できるのがCNAPPだが、SaaS（Software as a Service）にアクセスするユーザーを保護対象に含められない場合がある。このような場合には、SSPM（SaaS Security Posture Management：SaaSセキュリティポスチャー管理）といった、CNAPPとは別のSaaS専用セキュリティサービスの導入が必要になることもある。

　CNAPPは、クラウドインフラやクラウドネイティブ（クラウドで運用することを前提にした設計）アプリケーションの保護に特化している一方で、従来のオンプレミスで利用されていたプロキシ機能は対象にしていない。このプロキシ機能はクラウドやインターネットにアクセスするエンドユーザーの通信を制御する機能だ。

　そうしたプロキシ機能は、ZTNA（ゼロトラストネットワークアクセス）とったセキュリティツールが一部担っていることがある。ZTNAは「全てのアクセスを信頼せず、常に検証する」というゼロトラストの考え方に基づき、ユーザーやデバイスのアクセスを制御するツールだ。

ZTNAをはじめ、CNAPPやSSPMといったセキュリティツール群は、統合が進行中の段階にあるが、現時点では完全な統合には至っていない実際の運用環境では、目的や用途に応じてこれらの製品を組み合わせて運用しているケースが多い。アクセス制御、インフラの保護、SaaSのリスク管理といった機能を適材適所で補完し合う構成が主流だ。

　こうしてセキュリティツールの統合が進展する一方で、各クラウドベンダーが提供するクラウドネイティブなセキュリティサービスを軽視すべきではない。例えば、ログの記録と監視、ネットワーク制御、IDおよびアクセス管理などの基本機能を有効化するだけでも、セキュリティのベースラインを大きく引き上げることができる。DLP（Data Loss Prevention：データ損失防止）など、特定の機能に特化したサービスが利用できれば、セキュリティ体制はより強固になる。

　ただし、そうしたベンダー提供サービスは特定のクラウドサービス向けであることが多く、複数のクラウドサービス横断での活用には向かないという制約もある。そのため、クラウドセキュリティの統合を進める際には、マルチクラウド環境で適用可能かどうかを見極めることが重要だ。ベンダーのロードマップや対象範囲を確認し、できるだけ少ない製品数でより多くの制御機能を利用できる構成を選定する視点が求められる。