CNAPPとは？クラウドセキュリティの新たなアプローチ

クラウドサービスはオンプレミスに比べて「初期コスト削減・運用効率の向上・先進技術の活用」といった多くのメリットをもたらしてくれます。
2023年時点で約8割の企業に導入されており、今やビジネスに欠かすことができない基盤となっています。
そんな価値あるクラウドサービスですが、近年重大なインシデントが相次いで発生していることはご存知でしょうか？

クラウドの設定不備による大規模な情報流出事例をいくつか見てみましょう。

「設定ミス」は文字通り意図しない設定ミス、「アクセス権の過剰付与」はセキュリティの「最小権限の原則」が守られず、業務で利用しない過剰な権限が与えられていたことを意味します。
これらの設定不備は全てクラウド利用者側の「人」が作り出してしまう脆弱性の一種です。
私達はプログラムされたロボットのように正確ではありません。
いくらミスをしないように気を付けても「思い込み・見間違い・操作ミス」はいつ発生してもおかしくないのです。

ガートナーが2019年に公開した記事によると「2025年にはパブリッククラウドの使⽤を制御できない組織の 90％が機密データを不適切に共有してしまう 」と警告しています。
このような最悪なシナリオを避けるためには、早急に対策を打つ必要があります。

クラウド環境におけるセキュリティ事故が起きやすい背景として、以下が挙げられます。

日々刻々と変化するクラウド環境を人手でチェックする運用はあまりにも効率が悪く、当然チェック漏れも出てきます。
そのため、クラウド環境のセキュリティを維持するには、ツールをうまく活用することがベストだと考えます。

一昔前までクラウドセキュリティといえば、以下がメジャーな対策として認識されていました。

しかし、近年はCSPMやCWPPだけではクラウドのセキュリティ強化が難しくなってきており、以下のような様々な要素でクラウド環境をチェックする必要があります。

当然クラウドサービスごとに採用している技術や機能が異なるため「 マルチクラウド環境ではそれぞれのクラウドサービスに適した専用ツールを導入しなければならない 」といった問題が発生します。
クラウドセキュリティを実現したいだけなのに、複数のツールを導入・運用することはコスト面でも負担が大きく、運用担当者の負荷も高くなります。
さらに、機能的に独立した製品であるため、製品間の情報連携ができないという懸念もあります。

そんな悩みを解決すべく、2021年にガートナーが提唱したのが「 CNAPP（Cloud Native Application Protection Platform、シーナップ） 」という新しい概念です。
CSPM、CWPP、CIEM、KSPM、IaC、CDRといったクラウド環境のセキュリティを一元管理するプラットフォームです。

CNAPPの登場により、マルチクラウド環境を管理できる製品が現れ、今までよりも効率良くクラウドセキュリティが実現できるようになりました。
クラウドサービスごとにサイロ化していた分析結果もまとめて可視化され、設定ミスやアクセス権の過剰付与といった問題が複数重なる危険な状況に気づきやすくなるというメリットもあります。

CNAPPはまだ新しい概念のため、その概念を実現するCNAPP製品の中には、まだ成熟していないものも多いです。
製品の検討をする時には、自社の環境にあわせて必要な機能をピックアップし、その機能を満たす製品を選ぶと良いでしょう。
以下に評価項目としてまとめましたので、良ければ参考にしてください。

繰り返しになりますが、昨今のサイバーセキュリティの動向をみると、人に起因する「設定ミス」による情報漏洩が多いです。
設定ミスを防ぐには、CNAPP製品などを使って、設定の自動化や監視、セキュリティ強化を行うことが有効です。
皆様もこの機会に、CNAPP製品の導入を検討してはいかがでしょうか？

ちなみに、アシストでは「 Tenable Cloud Security 」というCNAPP製品を取り扱っています。
クラウド資産の設定ミスや不適切な権限を自動で検出し、リスクを明確に可視化することで、セキュリティ対策の優先度を正確に判断し、迅速な対応を可能にします。
アマゾン ウェブ サービス（AWS）、Microsoft Azure、Google Cloud、Oracle Cloud Infrastructure といった主要なクラウドプラットフォームに対応している完成度の高いCNAPP製品です。
ご興味があれば、ぜひお気軽にお声がけください。