株式会社renue
renueについて
renueは、AIで業務を実装する会社です
AIコンサルティングから図面AI・広告運用エージェント・コールセンターAIまで、実際に動いているサービスをご覧いただけます。renueが何をしている会社か、まずはサービス一覧からご確認ください。
CNAPPとは？クラウドセキュリティの「統合的な守り」
CNAPP（Cloud-Native Application Protection Platform）は、クラウドネイティブ環境のセキュリティを包括的に保護するプラットフォームです。従来はCSPM（クラウドの設定ミス検出）、CWPP（ワークロード保護）、コンテナセキュリティ、IaCスキャンなどが個別のツールとして提供されていましたが、CNAPPはこれらを1つのプラットフォームに統合し、クラウド環境全体のセキュリティを一元管理します。
Mordor Intelligenceの2026年1月更新レポートでは、世界CNAPP市場を2025年109億ドル、2030年280.3億ドル、年平均成長率20.80%と推計・予測しています。国内はITRの2024年6月25日発表で2023年度203億円、2027年度257億円と予測されており、203億円は同資料での実績値ではありません。市場の定義と調査時点が異なるため、両調査の成長率を同じ条件で比較しないようにします。Gartnerの2025年CNAPP Market Guideの公開要旨は開発から本番までの保護を扱います。「ランタイム可視性はもはやオプションではない」はSysdigによる同ガイド解説の見出しとして確認できる表現であり、Gartner原文からの直接引用としては確認できていません。
CNAPPの構成要素
| 構成要素 | 略称 | 機能 | 検出対象 |
|---|---|---|---|
| クラウドセキュリティポスチャ管理 | CSPM | クラウドの設定ミス・コンプライアンス違反を検出 | パブリックS3バケット、暗号化なしDB等 |
| クラウドワークロード保護 | CWPP | VM・コンテナ・サーバーレスの保護 | マルウェア、不審プロセス、脆弱性 |
| クラウドインフラ権限管理 | CIEM | 過剰な権限の検出と最小権限の実現 | 使われていないIAMロール、過剰権限 |
| IaCセキュリティスキャン | - | Terraform等のIaCの設定ミスを検出 | セキュリティグループの過剰許可等 |
| コンテナセキュリティ | - | コンテナイメージの脆弱性スキャン | OSS脆弱性、ベースイメージの問題 |
| APIセキュリティ | - | APIの脆弱性と異常検知 | 認証不備、過剰データ露出 |
| ランタイム保護 | - | 本番環境での不審な動作を検出・防御 | 不正プロセス、ファイル改ざん、横展開 |
CSPM vs CWPP vs CNAPP
| 項目 | CSPM | CWPP | CNAPP |
|---|---|---|---|
| 保護対象 | クラウドインフラの設定 | ワークロード（VM/コンテナ） | 設定+ワークロード+権限+API+ランタイム |
| 検出タイミング | 設定変更時（静的） | 実行時（動的） | 全フェーズ（開発〜本番） |
| カバー範囲 | 広いが浅い | 深いが範囲限定 | 広く深い（統合型） |
| 位置づけ | CNAPPの一部 | CNAPPの一部 | 統合プラットフォーム |
主要CNAPPプラットフォームの比較
| プラットフォーム | 提供元 | 特徴 | 適したケース |
|---|---|---|---|
| Wiz | Wiz（Google Cloud傘下、2026年3月買収完了） | エージェントレス評価とグラフ分析、ランタイム保護にはWiz Sensor等を組み合わせる | マルチクラウド、API接続から導入 |
| Cortex Cloud（Prisma Cloudからの移行先） | Palo Alto Networks | CNAPPとCDRを統合。Prisma Cloudからの移行・契約範囲を確認 | フルスイート、大企業 |
| Aqua Security | Aqua | コンテナ/K8sの保護とエージェントによるランタイム制御 | コンテナ中心の環境 |
| FortiCNAPP（Lacework FortiCNAPP） | Fortinet | Lacework技術を基盤とする設定・権限管理、ワークロード保護、CDR | ランタイム保護重視 |
| Orca Security | Orca | エージェントレスのSideScanning、実行時監視はOrca Sensorも提供 | エージェントレス評価から始め、必要な保護を追加 |
| Sysdig | Sysdig | Falcoを用いるSysdig Secureのランタイム検知 | K8s + ランタイム保護 |
| Microsoft Defender for Cloud | Microsoft | Azure/AWS/GCP等を対象とするCNAPP。プランごとに保護範囲が異なる | Azure中心の企業 |
| AWS Security Hub | Amazon | Essentialsで設定・脆弱性管理やリスク分析等を統合、GuardDuty関連の追加機能はプランを確認 | AWS中心、Azure連携も対象 |
WizとPrisma Cloud／Cortex Cloudの比較
| 比較項目 | Wiz | Cortex Cloud（Prisma Cloudからの移行先） |
|---|---|---|
| デプロイ方式 | API経由のエージェントレス評価＋対象VM/K8s等へ配置するWiz Sensor | ライセンス・選択機能に応じたエージェントレス評価とランタイム用エージェント |
| 導入スピード | 数分はAPI接続の説明。全リソースの評価完了時間を保証するものではない | クラウド接続の権限設定と対象範囲の指定を行い、必要に応じてエージェントを配布 |
| リスク分析 | グラフベースの攻撃パス分析 | 豊富なルールとポリシー |
| ランタイム保護 | 2025年のWiz Defend公開プレビューに加え、Wiz Sensorで実行時の検知・防御。対象・追加契約を確認 | Cortex Cloudのランタイム保護とCDR。既存Prisma Cloud契約への自動付帯とは区別 |
| マルチクラウド | AWS/Azure/GCP/OCI等（機能ごとの対応範囲を確認） | Cortex CloudはAWS/Azure/GCP/OCI/Alibaba Cloudの接続に対応。機能・リージョン・接続単位には差がある |
| 事業・製品の位置づけ | Googleとの買収合意は2025年3月、完了は2026年3月。マルチクラウド提供を継続 | Prisma CloudからCortex Cloudへの移行を提供。移行期間中は並行運用可能 |
CNAPPが必要な理由
クラウドセキュリティの3大課題
| 課題 | 内容・参考統計 | CNAPPでの対策 |
|---|---|---|
| 設定ミス | 公開範囲や暗号化などの設定不備が情報漏洩につながる課題（ITRの調査背景）。発生割合を示す統計値は未確認 | CSPMで設定を継続監視・自動修正 |
| 過剰権限 | IAMロールの90%以上が使用されていない権限を保有、という数値は原典・調査期間・ロールの母数が未確認。未使用「権限」の割合とは区別して確認が必要 | CIEMで権限の最小化を推進 |
| 脆弱性の放置 | コンテナイメージの50%以上に既知の脆弱性、という数値は原典・対象イメージ・調査時点・脆弱性の集計条件が未確認 | コンテナスキャン+SBOMで脆弱性管理 |
CNAPP導入のステップ
ステップ1: クラウド環境の可視化
まず現在のクラウド環境（利用中のサービス、リソース数、アカウント数、マルチクラウド状況）を完全に可視化します。Wizが示す数分という時間はクラウドへのAPI接続を指します。接続、資産の検出、スキャン完了を分けて確認し、数分〜数時間で全環境の評価が終わるとは一律に見積もらず、権限・リソース数・対象サービスに応じてPoCで所要時間を測ります。「自社のクラウドに何があるか」を正確に把握することが第一歩です。
ステップ2: リスクの優先順位付け
CNAPPが検出する脆弱性・設定ミス・権限の問題は数千〜数万件に及ぶため、全てに同時対応するのは不可能です。攻撃パス分析（「この脆弱性がインターネットから到達可能か」「機密データにアクセスできるか」）に基づいてリスクを優先順位付けし、最もインパクトの高い問題から対処します。
ステップ3: ガードレールの設定
新たなリスクの発生を防ぐため、ガードレール（自動修正・自動ブロックのポリシー）を設定します。「パブリックアクセス可能なS3バケットの作成を自動ブロック」「暗号化なしのRDSインスタンスの作成を禁止」などのポリシーをCNAPPで定義・強制します。
ステップ4: シフトレフト統合
CNAPPのIaCスキャン機能をCI/CDパイプラインに統合し、デプロイ前に設定ミスを検出します。「本番環境での事後検出」から「開発時の事前防止」へのシフトレフトを実現します。
ステップ5: ランタイム保護の有効化
本番環境での不審な動作（未知のプロセス起動、ファイルシステムの改ざん、不正なネットワーク通信等）をリアルタイムに検出・ブロックするランタイム保護を有効化します。Sysdigの2025年ガイド解説も実行中の状況を把握する重要性を強調しています。静的スキャンだけでは実行時の挙動を観測できないため、センサー・ログ取得と防御ポリシーを設定し、検知とブロックの対応範囲を実機で確認します。
2026年のCNAPPトレンド
CDR（Cloud Detection and Response）の統合
Palo Alto Networksは2025年2月、Prisma Cloudの次世代としてCNAPPとCDRを統合するCortex Cloudを発表しました。既存Prisma Cloudの全契約に同じ機能がそのまま付くという意味ではなく、移行先テナントの有効化・設定移行と契約する保護範囲を確認します。クラウド環境で発生するリアルタイムの脅威を検知し、自動で対応するセキュリティオペレーションがCNAPPの一部となります。
GoogleによるWiz買収の影響
Googleは2025年3月18日、Wizを現金320億ドルで買収する契約を発表しました。公表された合意額は完了時の調整対象であり、単なる推定額ではありません。買収完了は2026年3月11日で、WizはGoogle Cloud傘下でもブランドとマルチクラウド提供を継続すると説明されています。買収自体は、各クラウドの基本料金にCNAPPの全機能が標準付帯することを意味しません。選定時は資本関係上の独立性と、複数クラウドを管理できる機能を分けて評価します。
AI駆動のリスク分析
AIが数千件のセキュリティアラートからコンテキスト（到達可能性、データの機密性、ビジネスインパクト）を分析し、「今すぐ対応すべき10件」を自動で優先順位付けするAI駆動のリスク分析が標準機能となっています。
よくある質問（FAQ）
Q. CNAPPとCSPMの違いは何ですか？
CSPMはCNAPPの「一部」です。CSPMはクラウドの設定ミスとコンプライアンス違反の検出に特化していますが、CNAPPはCSPMに加えてワークロード保護（CWPP）、権限管理（CIEM）、コンテナセキュリティ、ランタイム保護、IaCスキャンを統合した包括的なプラットフォームです。「CSPMだけでは不十分」であり、CNAPPへのアップグレードが推奨される流れです。
Q. CNAPPの導入コストはどのくらいですか？
主要CNAPPプラットフォームはクラウドリソース数（VM数、コンテナ数）ベースの課金が一般的で、月額数十万〜数百万円（100〜500リソース規模）が目安です。料金体系は提供元や契約条件によって異なるため、最新の公式情報で確認してください。例えばAWS Security HubはEssentialsのリソース単位料金に指定のInspectorスキャン等を含み、Threat AnalyticsやLambda Code Scanning、Extendedの提携製品は追加料金です。プランに含まれないGuardDuty／Inspector等の機能は各サービスの課金が残るため、必要な保護をそろえた総額で比較します。導入前に対象範囲と運用負担を整理し、削減できる作業やリスクと比較して投資対効果を評価します。
Q. マルチクラウド環境ではどのCNAPPを選ぶべきですか？
マルチクラウド（AWS+Azure+GCP）環境では、Wiz、Prisma Cloud／Cortex Cloud、Orca等の対応範囲を比較します。WizはGoogle Cloud傘下なので「独立系」ではなく、マルチクラウド対応という意味で候補にします。クラウド事業者の製品も、AWS Security HubはAzure連携、Microsoft Defender for CloudはAWS/GCP等に対応します。これらやGoogle Cloud Security Command Centerを含め、クラウド数だけで選ばず、必要機能・対象リソース・プラン・運用費を比較してください。単一クラウドなら全範囲を安価にカバーできる、とは限りません。
まとめ：CNAPPでクラウドセキュリティを「点」から「面」に進化させる
CNAPPは、クラウドネイティブ環境のセキュリティを開発から本番運用まで一貫して保護する統合プラットフォームです。CSPM、CWPP、CIEM、コンテナセキュリティ、ランタイム保護の統合で「点の対策」から「面の防御」に進化し、クラウド環境全体のリスクを可視化・管理しましょう。
renueでは、CNAPPの選定・導入からクラウドセキュリティアーキテクチャの設計、セキュリティ運用体制の構築まで、企業のクラウドセキュリティを包括的に支援しています。クラウドセキュリティの強化でお悩みの方は、ぜひお気軽にご相談ください。
株式会社renueでは、AI導入戦略の策定からDX推進のコンサルティングを提供しています。お気軽にご相談ください。
