CNAPPとは？CSPMやCWPPとの関係とクラウドの規模で判断する基準

CNAPPとは、クラウド上のアプリと、それを支える基盤を、開発から運用まで守るための機能を1つ⁠にまとめた製品群のことです。Cloud-Native Application Protection Platformの略です。要るかどうかは会社の規模よりも、クラウドで何をどれくらい動かしているかで決まります。

今日やることは、クラウドで動いているものの棚卸しです。請求明細か開発会社の構成図を見て、仮想サーバー、コンテナ、サーバーレス、ストレージ、データベースに分けて数えてください。自社で開発しているアプリがあるかどうかも、横に書いておきます。CNAPPを話題にするかどうかは、この表で判断できます。

CNAPPには何が入っている？

Cloud Security Allianceの解説では、この言葉はGartnerが作ったものです。CSPMとCWPPを中心に、CIEMなどの要素を含むものとして説明しています。IBMの解説も、CIEM、CWPP、CSPMを1つ⁠にまとめたものとしています。

略語が多いので、何を守る機能かで置き換えます。

各機能の中身はMicrosoftの解説⁠に沿っています。CSPMについては設定ミスを見つける仕組みの記事⁠で詳しく扱いました。

CSPMやCWPPとの関係

関係を一言で言えば、CSPMとCWPPが部品で、CNAPPがそれをまとめた製品群です。

ただし、まとめ方に決まった形はありません。IBMは3つ⁠の機能で説明し、Cloud Security AllianceはKubernetesやAPIの保護なども要素に挙げます。Microsoftはさらに広く、データやアプリの状態管理、ネットワークの監視なども含めて説明しています。

ここが選ぶ側にとって大事な点です。「CNAPP」⁠と⁠い⁠う名前だけでは、何が入っているか分かりません。見積もりを取るときは、必要な機能を表にして、製品ごとに入っているかを確かめる必要があります。

製品の例を挙げます。Microsoft Defender for Cloud⁠はCNAPPを名乗り、Defender CSPM、Defender for Servers、Defender for Containersなどのプランに分かれています。プランごとに有効にする形なので、CNAPPと書かれた製品を契約すれば全機能が付くとは限りません。

まとめる意味はどこにある？

Microsoftは、別々の道具で見ていると死角ができやすいことを理由に挙げています。設定、権限、動いているものの情報を結びつけて、リスクの優先順位を付けやすくするという説明です。

例で考えます。公開設定のサーバーが1台あるとします。設定の点検だけなら、指摘の1つです。そのサーバーに未修正のぜい弱性があり、広い権限のIDが使われていて、重要なデータにつながっていると分かれば、話が変わります。複数の情報を合わせると、先に直す場所を絞りやすくなります。

これが効くのは、指摘の数が人の手に余る環境です。動いているものが数台なら、担当者が頭の中で結びつけられる場合もあります。まとめる価値は、対象の数と変更の頻度が増えるほど大きくなると私たちは考えています。

自社のクラウドの規模でどう判断する？

判断の軸は台数だけではありません。次の表は私たちの整理です。効果を保証するものではなく、検討の順番を決めるためのものです。

SaaSだけの会社は、SaaSとIaaSで責任の境目を整理した記事で、自社の担当範囲を先に確かめてください。CNAPPが守る中心はクラウド上のアプリと基盤です。Microsoft 365の設定を見るならSSPM（SaaSの設定管理）⁠の製品比較の範囲です。

規模以外に見る3つの条件

台数が多くても、次の3つ⁠が欠けていると、製品を入れても動かしにくくなります。

1. 警告を見て判断する担当者が、社内か委託先にいる
2. 指摘を直す権限を持つ人が決まっている。委託先のシステムなら、直す作業が契約に入っている
3. 開発の工程に組み込むなら、開発する人が検査結果を見られる

Microsoftは、CNAPPの利点の1つに、開発の早い段階から守りを組み込むことを挙げています。裏を返すと、自社で開発していない会社では、その部分の価値を受け取りにくいということです。

製造業では、どんな場合に話題になる？

たとえば、工場の設備データを集めて見える化するアプリを、自社か委託でコンテナとして開発し、クラウドで動かしている場合です。設定、コンテナのぜい弱性、データベースへの権限、更新のたびの検査と、見る場所が多くなります。機能追加が続くなら、CNAPPを比べる理由になります。

別の例として、基幹システムのサーバーを、そのまま数台クラウドへ移しただけの場合があります。変更の頻度は低く、見る場所も限られます。この形なら、設定の点検とサーバーの保護を個別に入れるほうが分かりやすいかもしれません。サーバーを守る製品の比較で確かめられます。

工場の設備や制御機器は、CNAPPの説明の中心から外れます。クラウドの製品を入れれば現場の機器まで守られるわけではないと考えて、別の対策として扱うのが安全です。

見積もりの前に確かめることは？

比較に入る段階なら、次の点を各社に同じ形で聞くと、製品の差が見えやすくなります。

課金の単位は特に確かめておきたいところです。MicrosoftのDefender CSPMは、サーバーやストレージなど特定のリソースをもとに課金します。AWSのSecurity Hubの料金も、リソース単位の従量課金を基本とするプランがあります。クラウドの利用が増えると、守る費用も連動して増える形です。

最初からまとめて買う必要はありません。必要な機能が1つなら個別の製品で足りますし、後で統合する判断もできます。製品ごとの範囲はCNAPPの製品比較で並べて見られます。関連する話題はクラウドセキュリティの記事一覧⁠にまとめています。