クラウドサービスが業務の基盤となった今、情報システム部門が直面するセキュリティ課題の質が変わっています。Microsoft 365、Salesforce、Slackといったクラウドサービスに業務データが集中し、社内ネットワークという物理的な境界がほとんど意味を持たなくなりました。

‍

総務省「令和6年通信利用動向調査」によれば、クラウドサービスを利用している企業の割合は8割を超えており、もはや利用するかしないかの選択肢はなく、いかに安全に使いこなすかが情シスの主要テーマになっています。

それにもかかわらず、クラウド事業者と利用者の責任の境界（責任共有モデル）を誤解し、「事業者側がすべて守ってくれる」と思い込んだまま設定ミスやアクセス権の放置が続いているケースは少なくありません。2024年の国内セキュリティインシデントのうち、不正アクセスが原因となったものは61.1%を占めており、クラウド上の認証・設定管理の不備が侵害の入り口になっています（株式会社サイバーセキュリティクラウド調査 2025年3月公表）。

この記事では、クラウドセキュリティの定義から、クラウドの種類ごとの責任分担、具体的な脅威の類型、CASB・CSPM・SASEなどの主要技術カテゴリ、ガイドライン、そして実践的な対策ステップまでを体系的に整理します。クラウド環境の全体像を把握し、自社の対策計画を立てる出発点としてご活用ください。

クラウドセキュリティとは｜定義と必要性

クラウドセキュリティとは、IaaS・PaaS・SaaSといったクラウドサービス上で扱われるデータ、アプリケーション、インフラ、そしてアイデンティティ（IDとアクセス権限）を保護するための技術・運用・ガバナンスの総称です。

従来型のセキュリティは、社内ネットワークの「境界」を守ることが前提でした。ファイアウォールやVPNで内外を分け、境界の外から来るものを疑い、中にいるものは信頼するという考え方です。しかしクラウド環境では、データやアプリケーションがインターネット経由で提供されるため、この境界という概念が成立しません。

かわりに重要になるのが、アイデンティティ・設定・APIを起点にした統制です。「誰が」「どのサービスに」「どのような権限で」アクセスするかを細かく制御し、設定の正しさを継続的に検証する仕組みを整えることが、クラウドセキュリティの本質となります。

クラウドセキュリティが現在のIT管理で不可欠な理由は、業務データの保管場所がクラウドに移行しているという単純な事実にあります。守るべきデータがある場所を守る、という当然の要請として、クラウドセキュリティへの取り組みが求められています。

参考：総務省「令和6年通信利用動向調査」結果

クラウドサービスの種類と責任共有モデル

クラウドセキュリティを理解するうえで、まず把握しておきたいのがサービス形態の違いと、それぞれに対応する「責任共有モデル」です。サービスの種類によって、利用者側が担うべきセキュリティの範囲が大きく異なります。

IaaS・PaaS・SaaSの違い

クラウドサービスは提供範囲によって3つに分類されます。

IaaS（Infrastructure as a Service）は、仮想マシン・ストレージ・ネットワークといったインフラを提供するサービスです。AWS EC2、Azure Virtual Machines、Google Compute Engineなどが代表例で、OSからアプリケーションまでの管理は利用者側の責任となります。自由度が高い反面、セキュリティ管理の負担も最も大きくなります。

PaaS（Platform as a Service）は、OSやミドルウェアを事業者が管理し、利用者はアプリケーションの開発・実行環境だけを使う形態です。AWS Elastic Beanstalk、Google App Engine、Herokuなどが該当します。インフラ管理の手間が省ける一方、アプリケーションの設定やデータ管理は利用者の責任です。

SaaS（Software as a Service）は、アプリケーション自体を事業者がクラウド上で提供する形態で、情シスが日常的に管理するサービスの大半を占めます。Microsoft 365、Salesforce、Slack、Zoomなどが該当し、ソフトウェア自体の管理は事業者が担う代わりに、設定・データ・アクセス権限の管理は利用者の責任です。

責任共有モデル（Shared Responsibility Model）

責任共有モデルとは、クラウド事業者と利用者の間で「何を誰が守るか」を明確に分担する考え方です。AWSやMicrosoftが公式に公開しているこのモデルは、クラウドセキュリティを理解するうえで最も基本的な概念です。

事業者が責任を持つのは、「クラウドのセキュリティ（Security of the Cloud）」です。データセンターの物理的な保護、ハードウェア、ハイパーバイザー、ネットワーク基盤など、インフラ層の安全性が該当します。

利用者が責任を持つのは、「クラウド内のセキュリティ（Security in the Cloud）」です。アクセス権限の設定、データの保護・分類、OSやアプリケーションのパッチ管理（IaaSの場合）、暗号化の設定、ログの取得・監視などが含まれます。

最もよくある誤解は、「クラウドを使えばセキュリティは事業者がやってくれる」という思い込みです。SaaSであれば事業者の責任範囲が広い分、設定ミスやアクセス権の不備は利用者側の問題になります。この認識のずれが、クラウド環境での情報漏えいの根本的な原因のひとつです。

参考：AWS Shared Responsibility Model

参考：Microsoft Cloud の責任共有モデル

クラウドセキュリティで押さえるべき主要な脅威

クラウド環境固有の脅威は、オンプレミス時代とは性質が異なります。Cloud Security Alliance（CSA）が毎年公表する「Top Threats to Cloud Computing」を参考に、情シスが実務で把握しておくべき脅威の類型を整理します。

設定ミス（Misconfiguration）

クラウドのセキュリティ事故で最も件数が多いのが、設定ミスです。S3バケットが誰でもアクセス可能な状態になっていた、IAMの権限が必要以上に広く設定されていた、データベースの暗号化設定が漏れていたといったケースが典型例です。

設定ミスが増える背景には、クラウドサービスの設定項目の多さと、変更の速さがあります。一人の担当者が数十から数百のクラウドサービスを管理するなかで、すべての設定を手動で正確に保ち続けることは現実的ではなく、自動検出の仕組み（CSPM）が対策の中心になっています。

アイデンティティ・認証情報の侵害

クラウド環境では、正しいIDとパスワード（または APIキー）さえあれば、インターネット経由でどこからでもアクセスできます。これはクラウドの利便性でもありますが、認証情報が漏えいした場合の被害規模を一気に拡大させる要因でもあります。

弱いパスワード、多要素認証（MFA）が設定されていないアカウント、Gitリポジトリに混入したAPIキーなどが侵害の起点となります。退職した従業員のアカウントが有効なまま放置されているケースも、内部不正・外部侵害の両面でリスクになります。

シャドーIT・シャドーAI

情報システム部門が把握していないSaaSサービスや生成AIツールを、従業員が業務で使用するシャドーITのリスクは、クラウド普及とともに拡大しています。サービスが無許可で使われているだけでなく、そこに機密情報が入力・保存されていれば、漏えいの経路になりえます。

生成AIサービスの急速な普及により、顧客情報や社内資料を生成AIのプロンプトに入力するシャドーAIの問題も顕在化しています。情シスが把握・管理できないサービスは、対策の打ちようがないまま放置されるリスクをはらんでいます。

データ漏えい・データ消失

クラウドストレージへの不正アクセス、誤った共有設定、削除事故、暗号化設定の漏れなどを起因とするデータ漏えい・消失は、クラウド特有のリスクとして継続的に発生しています。大手電機メーカーで約2万件のファイルが漏えいした事例、携帯キャリアで149万件の顧客情報が流出した事例など、設定不備が直接的な原因となった事故は国内でも多数報告されています。

内部不正・過剰権限

退職者アカウントの放置、現職従業員への必要以上の権限付与、特権アカウントの管理不備などから、内部の人間が意図的または無意識に情報を持ち出すリスクがあります。最小権限の原則を徹底し、定期的なアクセスレビューを行うIGA（Identity Governance and Administration）が対策の柱となります。

アカウントハイジャック

フィッシングメールや認証情報詐取ツールで正規アカウントが乗っ取られ、内部者になりすましてデータを盗み出す手口です。MFAの導入と、ログイン挙動の異常検知（UEBA）が有効な対策となります。

サプライチェーン攻撃

自社が利用しているSaaSベンダーやクラウドプロバイダーが侵害され、利用者側に被害が波及するパターンです。直接攻撃するより守りの薄いベンダーを経由する手口は高度化しており、第三者リスク管理（TPRM）の観点からベンダーのセキュリティ体制を評価するプロセスが必要です。

参考：Cloud Security Alliance「Top Threats to Cloud Computing 2024」

参考：IPA「クラウドサービス利用のためのセキュリティ対策」

クラウドセキュリティの主要技術カテゴリ

クラウドセキュリティの領域では、脅威の性質に対応した複数の技術カテゴリが存在します。製品やソリューションを比較検討する際の地図として活用してください。

CASB（Cloud Access Security Broker）

CASBは、利用者とクラウドサービスの間に位置し、可視化・アクセス制御・データ保護・脅威防御の4機能を提供するソリューションです。シャドーITの検出、クラウドアプリへのアクセス制御、DLP（データ漏えい防止）との統合に強みがあります。

SaaSを多数利用する企業にとって、CASBは「どのサービスに、誰が、何を持ち込んでいるか」を把握する基盤になります。

CSPM（Cloud Security Posture Management）

CSPMは、IaaS・PaaS環境の設定情報を継続的にスキャンし、設定ミスやコンプライアンス違反を自動検出する仕組みです。CIS BenchmarkやNISTのフレームワークを参照基準として、AWS・Azure・GCPの設定不備を評価します。

手動での設定確認が追いつかない環境で、自動化されたポスチャー管理を実現する製品カテゴリです。

CWPP（Cloud Workload Protection Platform）

仮想マシン、コンテナ、サーバーレス関数などのクラウドワークロードを保護するプラットフォームです。脆弱性スキャンとEDR的な振る舞い検知を組み合わせ、ワークロード単位での保護を実現します。

CNAPP（Cloud Native Application Protection Platform）

CSPM、CWPP、KSPM（Kubernetes向け）などを統合し、コードからクラウドまでの開発・運用ライフサイクル全体を保護する次世代カテゴリです。DevSecOpsの推進において注目されています。

SASE／SSE（Secure Access Service Edge／Security Service Edge）

SASEは、ネットワークとセキュリティ機能をクラウドで統合して提供するアーキテクチャです。SWG（Secure Web Gateway）、CASB、ZTNA（Zero Trust Network Access）、FWaaS（Firewall as a Service）をまとめて提供します。SSEはそのうちセキュリティ機能のみを切り出したカテゴリです。

リモートワーク環境やゼロトラスト移行を進める企業において、ネットワークセキュリティの中心的な選択肢になっています。

IDaaS／IGA（Identity as a Service／Identity Governance and Administration）

クラウドサービスへのアクセスをアイデンティティ起点で管理する基盤です。SSO（シングルサインオン）、MFA、条件付きアクセス、アクセスレビュー・棚卸しを担います。クラウドセキュリティにおいて、IDとアクセス権の管理は対策の起点であり、IDaaSとIGAはその中核を担います。

DLP・暗号化・鍵管理

機密データの検知・分類・保護を行う技術カテゴリです。クラウドネイティブのDLP（CASB統合型）、データレイヤーの暗号化、暗号鍵の管理（AWS KMS、Azure Key Vaultなど）が組み合わせて使われます。

参考：Gartner「Security Service Edge Reviews and Ratings」

Josysの資料をダウンロードして、SaaS統合管理によるクラウドセキュリティ強化の全体像を確認する 5分でわかるJosys 資料ダウンロード

クラウドセキュリティのガイドラインと規格

クラウドセキュリティの設計にあたっては、業界団体や政府機関が公開するガイドライン・規格を参照することが基本です。社内ポリシーの策定や監査対応に役立てるため、代表的なものを押さえておきましょう。

NIST SP 800-207（ゼロトラストアーキテクチャ）

米国国立標準技術研究所（NIST）が2020年に発行したゼロトラストアーキテクチャの定義文書です。「ネットワークの場所に関係なく、すべてのアクセスを検証する」原則を体系化しており、クラウドセキュリティ設計の世界的な参照基準となっています。

ISO/IEC 27017・27018

ISO/IEC 27017はクラウドサービスのセキュリティ管理策、ISO/IEC 27018はクラウド上の個人情報保護を定めた国際規格です。ISMS認証（ISO/IEC 27001）と組み合わせて取得するケースが増えており、クラウド利用企業のベンダー評価基準としても参照されます。

CSAクラウドコントロールマトリックス（CCM）

Cloud Security Allianceが公開するクラウドセキュリティの統制フレームワークです。200以上のコントロール項目から構成され、クラウド利用組織とクラウドサービス提供者の双方が参照するベストプラクティス集として機能します。

経済産業省・総務省ガイドライン

国内向けには、経済産業省「クラウドサービス利用のための情報セキュリティマネジメントガイドライン（改訂第3版、2024年1月）」と、総務省の安全利用ガイドラインが公開されています。国内の法令・商慣行を踏まえた実務的な整理として、国内企業には特に参考になります。

ISMAP（政府情報システム向けクラウドサービス安全性評価）

政府機関が調達するクラウドサービスを事前に評価・登録する制度です。ISMAPリストへの掲載はクラウドベンダーのセキュリティ水準を客観的に示す指標になるため、一般企業のベンダー選定時の参考基準としても活用する動きが広がっています。

参考：NIST SP 800-207 Zero Trust Architecture

参考：経済産業省 クラウドサービス利用のための情報セキュリティマネジメントガイドライン

参考：ISMAPクラウドサービスリスト

クラウドセキュリティ対策の実践ステップ

クラウドセキュリティは、ツールを導入すれば完結するものではありません。棚卸し・リスク整理・基本対策・モニタリング・定期レビューのサイクルを設計し、継続的に回すことが成熟した運用の条件です。情シスが着手しやすい5つのステップで整理します。

ステップ1：利用クラウド・SaaSの棚卸し

最初の一歩は、自社が利用しているクラウドサービスを網羅的にリスト化することです。契約ベースで把握できるものだけでなく、従業員が個人カードで契約・利用しているシャドーITも含めて可視化する必要があります。CASBやSaaS統合管理プラットフォームを活用すると、ネットワークログや認証ログから未把握のサービスを洗い出すことができます。

‍

把握できていないサービスは守ることができません。棚卸しは、すべての対策の前提となる工程です。

ステップ2：責任範囲とリスクの整理

各サービスのサービス形態（IaaS・PaaS・SaaS）を分類し、責任共有モデルに照らして自社が負う責任の範囲を確認します。あわせて、取り扱うデータの機密度、業務への影響度、適用される規制要件（個人情報保護法、GDPR等）を整理し、リスクの優先順位を決めます。

リスク優先度の整理なしにツールを導入しても、重要な部分が手つかずのまま残ることになります。

ステップ3：基本対策の実装

利用者側の責任範囲について、最低限実装すべき対策を統一基準として整備します。具体的には以下が基本セットです。

全サービスでのMFA（多要素認証）の有効化、最小権限の原則に基づくアクセス権設定、データ暗号化の設定確認、操作ログの取得と保管期間の設定、定期バックアップの実施です。MicrosoftやAWSが提供する「セキュリティベースライン」をテンプレートとして活用すると、個別設定の見落としを防ぎやすくなります。

ステップ4：継続的なモニタリングの構築

基本対策を実装したあとは、それが維持されているかを継続的に監視する仕組みを整えます。CSPMで設定ドリフト（基準からのずれ）を自動検出し、SIEMやUEBAで不審なアクセスパターンを監視します。

検知されたアラートのトリアージルールを定めておかないと、アラートの洪水で対応が形骸化します。検知した際の対応フロー（誰が・どのように・どの時間内に対応するか）をあらかじめ整備しておくことが、運用継続の条件です。

ステップ5：定期レビューと改善サイクル

四半期・半期ごとに、アクセス権限の棚卸し、ポリシー違反の発生傾向、新規導入されたSaaSの確認、ベンダー評価の更新を行います。クラウドサービスは機能アップデートが頻繁なため、設定の正しさはスポットではなく継続的に確認する必要があります。

定期レビューの結果を受けて、ポリシーや基準を更新するサイクルを回すことで、クラウドセキュリティ運用の成熟度は着実に高まっていきます。

参考：Microsoft クラウド セキュリティ ベースライン

参考：AWS セキュリティのベストプラクティス

オンプレミスとクラウドセキュリティの違い

クラウドセキュリティを考えるうえで、オンプレミスとの本質的な違いを整理しておくと、対策の優先順位が立てやすくなります。

オンプレミス環境では、物理的な境界（ファイアウォール・VPN）が防御の中心でした。社内ネットワークにいることが信頼の証明になり、外側から内側への通信を遮断することで多くの脅威を防いでいました。管理対象が物理サーバーとネットワーク機器に集中しており、変更も比較的緩やかなペースで行われます。

クラウド環境では、境界がなくなります。アプリケーション、データ、インフラがインターネット経由でアクセス可能になるため、「どこからアクセスしているか」ではなく「誰がアクセスしているか」「その権限は正しいか」「設定は基準を満たしているか」が判断基準になります。APIを介した連携、マルチクラウド、リモートワークが組み合わさった環境では、管理対象の範囲と変化の速さが格段に増します。

このギャップを埋めるのが、ゼロトラストの考え方です。「社内にいても外にいても信頼しない、常に検証する」という前提でアクセスを制御するゼロトラストは、クラウドセキュリティの設計原則として広く採用されています。

SaaS統合管理から始めるクラウドセキュリティ

クラウドセキュリティに本格的に取り組もうとすると、CASB・CSPM・SASE・IDaaSなど多岐にわたるカテゴリを整備する必要がある全体像が見えてきます。一気通貫ですべてを揃えるには、予算も人員も限られている情シスにとって、どこから始めるかが実質的な課題です。

現実的な着手点のひとつは、SaaS層の可視化と統制です。多くの企業で業務データが集中しているのはSaaSであり、SaaSのアカウント・利用状況・アクセス権限を可視化するだけで、情報漏えいリスクと内部不正リスクの双方を同時に下げることができます。

具体的には、シャドーIT検出、退職者アカウントの自動取り消し、ライセンスの最適化、アクセス権限の定期レビューが、SaaS統合管理プラットフォームによってまとめて対応可能です。CASB・CSPMを導入する以前に、SaaS層のガバナンスを整えることが、最小のコストで最大のリスク低減を図る現実的な選択肢になっています。

ジョーシスのプラットフォームは、350以上のSaaSアプリとAPI連携し、アカウント・利用状況・コストを一元的に管理します。入退社・人事異動と連動した自動プロビジョニング・デプロビジョニングにより、権限の放置を構造的に防ぐことができます。国内外700社以上に導入され、事例によってはIT工数を最大50%、ITコストを最大75%削減した実績があります（効果は組織の規模・状況により異なります）。

まずは資料でJosysの全体像を確認してください 5分でわかるJosys 資料ダウンロード

クラウドセキュリティの用語集

クラウドセキュリティ領域で頻出する用語を整理します。社内での共通言語づくりやベンダー選定時の参照にご活用ください。

責任共有モデル　クラウド事業者と利用者の責任範囲を定義する考え方。サービス形態（IaaS/PaaS/SaaS）によって分担が変わる。

CASB（Cloud Access Security Broker）　利用者とクラウドサービスの間に位置し、可視化・アクセス制御・データ保護・脅威防御を提供するソリューション。

CSPM（Cloud Security Posture Management）　クラウドインフラの設定を継続的にスキャンし、ミスコンフィグやコンプライアンス違反を自動検出する仕組み。

CWPP（Cloud Workload Protection Platform）　仮想マシン・コンテナ・サーバーレスなどのクラウドワークロードを保護するプラットフォーム。

CNAPP（Cloud Native Application Protection Platform）　CSPMとCWPP等を統合した次世代クラウドセキュリティカテゴリ。

SASE（Secure Access Service Edge）　ネットワークとセキュリティ機能をクラウドで統合提供するアーキテクチャ。SWG・CASB・ZTNA・FWaaSを包含する。

SSE（Security Service Edge）　SASEのうちセキュリティ機能に特化したカテゴリ。

ZTNA（Zero Trust Network Access）　ゼロトラストの原則に基づき、アイデンティティ検証を前提としたリモートアクセスを実現する技術。

IDaaS（Identity as a Service）　認証・SSO・MFAをクラウドで提供するサービス。Microsoft Entra ID（旧Azure AD）、Okta等が代表例。

IGA（Identity Governance and Administration）　アイデンティティとアクセス権限を統制・棚卸しする仕組み。退職者対応や権限レビューを担う。

DLP（Data Loss Prevention）　機密データの検知・分類・漏えい防止を行う技術。

KMS（Key Management Service）　暗号鍵を管理するクラウドサービス。AWS KMS、Azure Key Vault等。

ISMAP　政府機関が利用するクラウドサービスの安全性を事前評価・登録する日本の制度。

CIS Benchmark　システム構成のセキュリティ基準をまとめたベンチマーク。CSPMの評価基準として広く使われる。

MFA（Multi-Factor Authentication）　パスワードに加えて複数の認証要素を組み合わせる多要素認証。

シャドーIT　情シス未承認で従業員が業務利用するSaaSやクラウドサービス。クラウドセキュリティの可視化対象の主要課題。

クラウドセキュリティに関するよくある質問

クラウドはオンプレミスと比べて危険なのでしょうか？

一概にはいえません。大手クラウド事業者はデータセンターのセキュリティに多大な投資をしており、設定と運用が適切であれば、オンプレミスより高水準の安全性を確保できる場合もあります。リスクの中心は「責任共有モデル上の利用者側の責任範囲」にあり、設定ミスやアクセス権管理の不備が問題の源泉です。クラウドが危険なのではなく、設定・運用の管理が甘いことが危険です。

CASBとCSPMはどちらを先に導入すべきですか？

利用するクラウドの種類によって判断が変わります。SaaSを中心に業務が動いている企業であれば、CASBまたはSaaS統合管理プラットフォームから着手するのが効果的です。AWS・Azure・GCPなどのIaaS・PaaS上で自社開発システムを運用している比重が高い場合は、CSPMを優先する判断が合理的です。棚卸しの結果をもとに、リスクが集中している層から対策する順序を決めることをおすすめします。

ゼロトラストとクラウドセキュリティの関係は何ですか？

ゼロトラストは「社内外を問わず、すべてのアクセスを常に検証する」という設計原則で、クラウドセキュリティはその原則を具現化する実装領域です。ZTNA、IDaaS、CASB、CSPMといったクラウドセキュリティ製品はいずれも、ゼロトラストの考え方を構成要素として実現します。

中堅・中小企業でも本格的なクラウドセキュリティ対策が必要ですか？

業種やデータの機密度、適用される規制要件によりますが、SaaSを業務の中心で使っている企業であれば、規模を問わず基本対策は必要です。MFA・最小権限・退職者アカウントの管理という「土台」を整えることは、コストをかけずに実施できる重要な一歩です。その上でCASB・CSPMなどの専用ツールを段階的に導入していく流れが、現実的なアプローチです。

クラウドセキュリティ対策を整えるとサイバー保険の審査に有利ですか？

MFA・ログ監視・バックアップ・CSPMといったクラウドセキュリティ対策を整えていると、サイバー保険の引受審査において好意的に評価されるケースが増えています。保険はインシデント発生後の損害補填を担うもので、対策とは車の両輪の関係です。セキュリティ対策の水準がそのまま保険の条件や保険料に影響する場面が増えており、対策投資とサイバー保険の組み合わせで残余リスクに対処するアプローチが定石になっています。

まとめ｜クラウドセキュリティは「責任共有」と「継続運用」が要

クラウドセキュリティで最初に理解すべきことは、責任共有モデルです。クラウド事業者が担う範囲と、利用者が担う範囲を正確に把握しなければ、どんなツールを導入してもカバレッジの抜けが生じます。

次に重要なのは、棚卸し・基本対策・モニタリング・定期レビューのサイクルを継続的に回す運用体制です。クラウド環境は日々変化するため、一度整えた対策が陳腐化しないよう、継続的な更新が求められます。

CASB・CSPM・SASE・IDaaSといった技術カテゴリはそれぞれ異なる脅威に対応するものであり、自社のクラウド利用実態を起点に優先順位をつけて整備していくことが現実的です。SaaS中心の環境であれば、SaaSの可視化と統制から着手することで、最小コストで最大のリスク低減を図ることができます。

クラウドセキュリティの出発点として、まずはSaaS統合管理の仕組みを把握しておくことをおすすめします。Josysの資料では、350以上のSaaSと連携した統合管理と自動化の全体像を5分で確認いただけます。また、実際の画面を通じた無料デモで、自社環境への適用イメージをご確認いただくことも可能です。

資料でJosysの機能と導入事例を確認する 5分でわかるJosys 資料ダウンロード

実際の画面で使い勝手を確認する 無料デモを予約する

関連記事：CASBとは｜クラウド利用の可視化と統制を実現する仕組み