CSPMとは、AWSやAzureなどのクラウド基盤の設定を、基準と照らして継続的に点検し、設定ミスやリスクを見つける仕組みのことです。Cloud Security Posture Managementの略です。AWSなどのクラウド基盤を自社で組んでいない会社には、基本的に必要ありません。
今日やることは、請求書を見ることです。AWS、Microsoft Azure、Google Cloudの請求が自社に来ているかを経理に聞いてください。来ていなければ、システムの開発会社に「うちのシステムはどのクラウドの、誰の名義のアカウントで動いていますか」と聞きます。これでCSPMが話題になる会社かどうかが分かります。
CSPMは何を見ている？
Microsoftの説明では、Defender for Cloudはクラウド基盤をセキュリティの基準と照らして評価し続け、設定ミスとリスクを減らすための推奨事項を出します。対象はAzure、AWS、Google Cloudです。
AWSのSecurity Hub CSPMも、考え方は同じです。AWS独自の基準のほか、CIS、PCI DSS、NISTなどの基準に沿って点検し、結果を指摘事項として出します。Google CloudのSecurity Command Centerも、構成ミスや公開されたリソースなどの検出を機能に含めています。
では、どのような設定が点検の対象になるのでしょうか。総務省のクラウドの設定に関するガイドラインは、CIS Benchmarksに載る主要なクラウド基盤の項目を比べ、設定項目を類型に分けています。おもなものは次のとおりです。
| 類型 |
中身 |
| IDとアクセス管理 |
誰が、何に、どの操作をできるか |
| ログと監視 |
ログの有効化、保存期間、監視の設定 |
| オブジェクトストレージ |
アクセス制御、暗号化、公開の設定 |
| 仮想マシン |
ディスクの暗号化、エンドポイント保護 |
| ネットワーク |
外部との通信の許可など |
Microsoftは、CSPMの解説ページで、設定ミスをクラウドの情報漏えいの主な原因の1つとしています。例として、設定を誤ったストレージや、権限を広げすぎた役割を挙げています。
手作業の点検との違いは頻度です。人が定期的に見る方法では、次の点検までの間に入ったミスに気づきません。CSPMは継続して見るので、そのすき間を縮められます。
どの会社に要る？要らない？
要否は従業員数よりも、「クラウド基盤の設定を変えられるアカウントがあるか」で分かれます。私たちは次のように整理しています。
| 自社の状態 |
CSPMの考え方 |
| Microsoft 365や会計ソフトなどSaaSだけ |
不要。SaaSの管理画面とSSPMの範囲 |
| 開発会社がクラウドに構築し、自社は触らない |
自社での導入は急がない。委託先の点検と報告を確かめる |
| 自社で少数のサーバーをクラウドで動かしている |
事業者が用意する機能から始める |
| 複数のアカウントや複数のクラウドを使っている |
専用の製品や、まとめた製品も比べる |
SaaSだけの会社に不要な理由
SaaSでは、サーバーやネットワークの設定を利用者が触りません。総務省のガイドラインでも、SaaS利用者の責任は、利用者アカウントや業務データの設定が中心です。CSPMの点検の対象である仮想マシンやストレージの設定が、そもそも手元にないわけです。
自社で気にするべき設定があるのは変わりません。Microsoft 365の共有範囲や管理者権限などです。こちらはSSPM（SaaSの設定管理）の製品比較の範囲です。「クラウドの設定を見る」という説明だけで選ぶと、対象違いの製品を検討してしまいます。
社員が勝手に使っているクラウドを知りたい場合も、CSPMでは分かりません。その目的なら社員のクラウド利用を見える化するCASBを見てください。
製造業で確かめたい場面は？
たとえば、生産管理や受発注のシステムを開発会社がAWSに構築している場合です。自社の画面からは普通の業務システムに見えるので、クラウドの設定を意識する機会がありません。
ここで参考になるのが、総務省のガイドラインにある事例です。業務委託先がデータ移行のときにストレージを公開設定にし、機密情報が長期間公開された状態になった、というものです。発注側が作業の中身を見ていないと気づきにくい種類のミスです。
この形の会社は、CSPMを自社で買う前に、開発会社へ次の点を聞きます。
委託先に聞くこと
- クラウドのアカウントの名義は、自社と委託先のどちらか
- 設定を変えられる人は誰で、変更の記録は残るか
- 設定の点検は、どの道具で、どのくらいの頻度か
- 点検の結果を自社に報告してもらえるか
- それらは契約や保守の仕様に書かれているか
ガイドラインは、SIerが関わる場合も、契約の前に責任分界や運用上の役割、免責事項を確かめるよう求めています。誰の責任かの整理は、クラウドの責任の境目をSaaSとIaaSで線引きした記事に書きました。
CSPMで足りないものは？
CSPMが見るのは主に設定です。動いているサーバーやコンテナの中で起きる攻撃は別の機能の担当です。Microsoftの説明では、CWPPが仮想マシン、コンテナ、サーバーレスで動くものを監視し、マルウェアなどの攻撃を検知します。サーバーを守る製品の比較で確かめられます。
もう1つは、見つけた後の作業です。CSPMには自動で直す機能を持つものもありますが、推奨事項を示して人が判断する場合もあります。自動で直すと動いているシステムに影響する設定もあるので、誰が判断するかを決めておく必要があります。
同じMicrosoftのページは、環境が大きいと警告が多くなり、判断しきれない場合があることにも触れています。中小企業で担当が1人なら、指摘を全部消そうとせず、次の順で見るほうが現実的です。
- 外部に公開されているストレージとサーバー
- 管理者権限を持つアカウントと、その認証
- ログが残っているか
順番は私たちの整理です。外部から直接触れる場所と、乗っ取られたときの影響が大きい場所を先に見るという考え方です。
費用はどう考える？
料金の出し方は製品によって違います。公式で確かめられた範囲は次のとおりです。
- Microsoft Defender for Cloud：Foundational CSPMは無料。有料のDefender CSPMは、サーバーやストレージなど特定のリソースをもとに課金される
- AWS Security Hub CSPM：初めて有効にしたアカウントは30日間の無料試用。ただし試用中もAWS Configなど関連サービスの料金がかかる場合がある。現行の料金はSecurity Hubの料金ページで確かめる
無料の範囲で試すなら、次の確認が役に立ちます。指摘の件数を見て、自社の担当者だけで対応できる量かどうかを確かめることです。ここで手に負えないと分かれば、委託先と話す材料になります。
複数のクラウドや機能をまとめて管理する段階になると、CSPMを含むCNAPPという製品群も比べる対象に入ります。CNAPPとCSPM、CWPPの関係とCNAPPの製品比較で範囲を確かめてください。関連する話題はクラウドセキュリティの記事一覧にあります。
