CSPMとSSPMの違いは？IaaSとSaaSのどちらを見るかで整理する

CSPMとSSPMの違いは、設定を確かめる対象です。CSPMはAWSやAzureなどIaaSを、SSPMはMicrosoft 365やSalesforceなどSaaSを見ます。Microsoft 365が中心の会社に要るのはSSPM側で、新しい製品を買う前に、Microsoftセキュアスコアで今の状態を確かめられます。

今日やることは2つです。社内のクラウドを、自社でサーバーを動かすIaaSと、そのまま使うSaaSに分けて一覧にしてください。そして、Microsoft 365の管理者にセキュアスコアの画面を開いてもらい、推奨事項の上位を見ます。

クラウドの対策全体はクラウドセキュリティの一覧⁠にまとめています。

CSPMとSSPMはどう違う？

総務省のクラウドの設定ミス対策ガイドブック（2024年4月）⁠は⁠、どちらも監査のツールと説明し、対象で分けています。

ガイドブックによると、CSPMが確かめる設定項目は、NISTやCISのような組織のフレームワークに準拠しているのが特徴です。SSPMは各アプリの設定やコンプライアンスの状況を管理し、脅威を検出できるとされています。

Posture Managementは、守りの姿勢や状態を管理する、という意味です。社内の用語としては「設定の点検ツール」⁠と言い換えると、社長や総務にも伝わります。

どちらも、攻撃を受けた瞬間に通信を止める製品とは役割が違います。設定を見つけて直すまでの流れを作るのが目的なので、結果を見て直す人がいないと効果が出ません。

どちらが要るかは、どう判断する？

判断は、社内のクラウドの使い方で分かれます。次の表は私たちの整理で、統計にもとづく区分ではありません。

Cloud Security Allianceの解説は、クラウドの資産とSaaSの両方があるなら、たぶん両方が要るとしています。CSPMはインフラを守り、SaaSの守りは一部にとどまる可能性があるという考え方です。

ただ、中小企業が同時に2種類を買う必要があるという意味ではありません。IaaSを使わない会社にCSPMを入れても、見る対象がありません。

たとえば、受発注はSaaS、図面の共有はMicrosoft 365、生産管理は社内サーバーという製造業の場合、IaaSはありません。その場合、CSPMは今は対象外で、Microsoft 365の外部共有と管理者の設定を確かめる作業が先です。生産管理をクラウドのサーバーに移す話が出た時点で、CSPMの検討を始めれば足ります。

「Azureを使っている」⁠と言われたら確かめること

Microsoft 365とAzureは、契約の窓口が近いので混同されがちです。利用者の管理にMicrosoft Entra IDを使っているだけなのか、仮想マシンやデータベースを動かしているのかで、話が変わります。担当か委託先に、Azureのサブスクリプションの有無と、動かしているものを聞いてください。

Microsoft 365中心の会社は何をすればいい？

最初に見るのはMicrosoftセキュアスコアです。Microsoftの説明では、Microsoft 365のID、アプリ、デバイスのセキュリティを、Defenderポータルの画面で見て改善できます。

対象の製品に含まれるものは、たとえば次のとおりです。

• Microsoft Entra ID
• Exchange Online
• SharePoint Online
• Microsoft Teams

対応している製品のライセンスがあれば、その推奨事項が表示されます。Microsoftは、契約プランによらず、推奨事項の全体を見せると説明しています。つまり、表示された項目には、今の契約では実施できないものが混ざる場合があります。

Microsoftは同じページで、推奨事項は全ての攻撃面を覆うものではないが、基準の出発点にはなると書いています。点数を上げること自体を目的にせず、自社に関係する項目を選んで直します。

進め方は次の順にすると、担当が1人でも止まりにくくなります。

1. 推奨事項の上位から、ID（管理者と多要素認証）⁠に関する項目を見る
2. SharePointとTeamsの外部共有に関する項目を見る
3. メールの設定に関する項目を見る
4. 実施しない項目は、理由を書いて残す
5. 月に1回⁠、推奨事項と変更の履歴を見る

順番は私たちの案です。図面や見積書を社外と共有している会社なら、2を先にしても構いません。

SSPMの機能を足すのはどんなとき？

MicrosoftのSSPMの説明⁠によると、SSPMはDefender for Cloud Appsの柱の1つで、SaaSのセキュリティの状態を見せて、改善の手引きを出します。推奨事項を使うには、Defender for Cloud Appsのライセンスと、アプリの接続が前提です。

セキュアスコアの一覧には、Salesforce、Zoom、ServiceNow、GitHub、DocuSign、Oktaのような製品も載っています。Microsoft 365のほかに海外のSaaSを多く使う場合は、この機能が候補になります。自社の契約に含まれるかは、販売店か、Defender for Cloud Appsの概要から辿れるライセンスの資料で確かめてください。

Microsoft 365だけなら、セキュアスコアの推奨事項を直し切れていないうちは、別のSSPMを足す理由は小さくなります。複数のSaaSの設定をまとめて見たくなった時点で、SSPMの製品比較で候補を並べます。

SSPMを選ぶとき、国内のSaaSはどう確かめる？

国内のSaaSを多く使う会社は、ここを先に確かめます。総務省のガイドブックは、SSPMはグローバルなSaaSには対応しているものの、日本のSaaSには対応していないこともあると説明しています（2024年4月時点の記述）⁠。

勤怠、経費、会計、受発注を国内のサービスで揃えている会社では、製品の対応一覧に載っていないサービスが残ることがあります。契約前に、次の3つ⁠を確かめてください。

• 使っているSaaSが対応の一覧に載っているか（名前と契約プランの両方）
• 対応している場合、どの設定まで確かめられるか
• 対応していないサービスを、手作業でどう確かめるか

対応していない国内のSaaSは、IPAのクラウドサービス安全利用の手引き⁠にある管理担当者、利用者の範囲、認証、バックアップの項目を、サービスごとに表で確かめる方法が現実的です。どの資料をどの順に読むかは、クラウドのガイドラインを読む順番⁠にまとめています。

CSPMが要る会社は、何から始める？

IaaSがあるなら、クラウド事業者の機能を先に確かめます。

Microsoftの説明によると、Defender for CloudのCSPMには、無料のFoundational CSPMと有料のDefender CSPMがあります。Azure、AWS、Google Cloudの環境を基準に照らして評価し、推奨事項を出します。

AWSにはAWS Security Hub CSPM⁠があります。AWS環境を業界の基準やベストプラクティスに照らして評価する機能で、複数の基準に対応しています。

標準機能で足りなくなる場面の目安は、複数のクラウドをまとめて見たい、設定の点検以外の保護も一緒に考えたい、といった場合です。Microsoftの説明⁠はCSPMをCNAPPの中の管理の層と位置づけているので、CNAPPの製品比較も選択肢に入ります。IaaSのアカウントが1つ⁠か2つで、担当が少ないなら、標準機能の警告を直す運用から始めるほうが負担は軽く済みます。

CASBとSSPMは別に要る？

同じ棚に並べられがちですが、見ているものが違います。ガイドブックでは、CASBをクラウドの利用状況を見えるようにして、アクセスの監視やリスクの検出をするツールと説明しています。SSPMはSaaSの設定の監査です。

分け方は目安で、製品によって範囲は重なります。MicrosoftはDefender for Cloud Appsの中でSSPMも扱っています。製品名で分けず、知りたいことに答えられるかで確かめてください。クラウドの利用の把握が課題なら、CASBの製品比較も見ます。

CASBは、より大きな枠組みのSASEにも含まれます。回線の更新時期が近い会社は、CASBとSASEの違い⁠も一緒に確かめておくと、買い直しを避けやすくなります。

入れたあと、何が起きる？

製品を入れた最初の週に、多くの指摘が並ぶことがあります。全部を直す必要はありません。事前に、次のことを決めておくと止まらずに済みます。

• 指摘を見る人と、直す人（総務省のガイドブックは、設定する人とチェックする人を置くよう求めています）
• 急いで直す範囲。たとえば管理者のアカウントと、社外から見える共有
• 業務の都合で直さないものを、誰が承認して記録するか
• 変更の前に、影響を受ける部署へどう知らせるか

外部共有を急に止めると、協力工場とのやり取りが止まることがあります。工場の出図や検査成績書のように期限があるやり取りは、先に担当者へ聞いてから変更してください。

設定の点検は、月に一度でも続くかどうかで価値が決まります。結果を見る時間を取れないなら、製品を増やす前に、セキュアスコアの確認を毎月の予定に入れるところから始めるのが無理のない進め方です。