Microsoft Defender for Cloud／Defender CSPMに関する「Microsoft highlights five cloud security posture management trends from the 2025 Frost Radar」を見て、「新しい設定が自動適用されるのか」「すぐに対処しなければならないのか」と気になった管理者も多いでしょう。
結論として、この公式情報は脆弱性やインシデントの緊急告知ではなく、CSPMの今後の方向性を整理した戦略的な解説です。 記事そのものを理由に、緊急パッチの適用や設定変更を行う必要はありません。
一方で、Foundational CSPMだけを利用している環境、AWSやGCPを接続している環境、AIアプリやAIエージェントを運用している環境では、現在のプラン、コネクタ権限、攻撃パス分析、監査体制を確認する価値があります。特に「推奨事項は表示されているが、誰も対応していない」という組織は、今回示されたCSPMの方向性と運用実態に大きな隔たりがあります。(Microsoft)
Microsoft Defender for Cloud／Defender CSPMの「Microsoft highlights five cloud security posture management trends from the 2025 Frost Radar」とは
2026年7月7日時点で確認できるMicrosoft公式情報では、Microsoft Security Blogが7月6日付で、Frost & Sullivanの「2025 Frost Radar for Cloud Security Posture Management」から5つの重要な傾向を紹介しています。
中心となるメッセージは、CSPMが単なるクラウド設定チェックやコンプライアンス確認のツールから、クラウド全体のリスクを継続的に管理するガバナンス基盤へ変化しているというものです。Microsoftは、この変化に対してMicrosoft Defender for Cloudと有償プランのDefender CSPMを位置付けています。(Microsoft)
ただし、Frost Radar 2025本体は2025年11月に作成され、ベンダー評価には2025年9月時点の情報が使われています。したがって、2026年7月時点における全製品の最新機能を比較した資料ではありません。製品選定では市場の方向性を把握する資料として使い、実際の対応可否、料金、プレビュー状態、対応クラウドは最新のMicrosoft Learnで確認する必要があります。(Microsoft CDN)
今回の情報に対する判断を先に整理すると、次のとおりです。
| 確認項目 | 判断 |
|---|---|
| セキュリティインシデントの告知か | いいえ。市場動向と製品戦略の解説です |
| 緊急の管理者作業があるか | 公式ブログには期限付き作業や強制変更は示されていません |
| 設定が自動で変更されるか | このブログ公開を理由とする自動変更の案内はありません |
| 主な確認対象 | Defender CSPMの有効範囲、AWS・GCP・DevOpsコネクタ、攻撃パス、AI資産、対応責任者 |
| 対応優先度が高い組織 | マルチクラウド、規制対象、AI利用、インターネット公開資産が多い組織 |
なお、Frost & SullivanはMicrosoftの広い対応範囲やMicrosoftセキュリティ製品との統合を評価する一方、競合製品と比べてAzure中心の製品として認識されることがある点も指摘しています。AWS・GCP比率が高い組織は、レポート上の位置だけで判断せず、自社のリソース種類、権限構成、攻撃パスの見え方を使ったPoCが必要です。(Microsoft CDN)
Frost Radar 2025から読み取れる5つのCSPMトレンド
Microsoft公式ブログが示した5つの傾向を、管理者が確認すべき内容に置き換えると次のようになります。(Microsoft)
| トレンド | 実務上の変化 | 管理者が確認すべきこと |
|---|---|---|
| CSPMがCNAPPのガバナンス層になる | 構成不備だけでなく、ID、データ、脆弱性、実行時情報を関連付ける | 推奨事項がSOCやワークロード保護と分断されていないか |
| コンプライアンス中心からリスク中心へ移行する | 重大度だけでなく、悪用可能性や事業影響で優先順位を決める | 攻撃パス、外部公開、権限、機密データを含めて判断しているか |
| Code-to-Cloudの可視性が必須になる | デプロイ後ではなく、IaCやCI/CDの段階で問題を発見する | GitHub、Azure DevOps、GitLabを接続し、開発者に戻せるか |
| マルチクラウドの複雑化で統合が進む | Azure、AWS、GCPを共通のポリシーと画面で管理する | 未接続アカウントや権限不足のコネクタがないか |
| AIが運用支援と新しい保護対象の両方になる | AIによる優先順位付けに加え、AIアプリやモデルも保護する | AI資産の棚卸し、外部公開、認証、データアクセスを把握できるか |
CSPMは構成チェックではなくガバナンス基盤になる
従来のCSPM運用では、月に一度レポートを出し、設定ミスの件数やセキュアスコアを確認するだけになりがちでした。
Frost Radarが示しているのは、構成不備、脆弱性、ID権限、ネットワーク接続、機密データ、実行時情報を関連付け、クラウドリスクを継続的に管理する方向への変化です。CSPMの推奨事項が、開発チーム、クラウド運用チーム、SOCの業務へ引き渡されて初めて、ガバナンス基盤として機能します。(Microsoft)
管理者は、推奨事項の件数だけでなく、次の状態まで確認する必要があります。
- 対応責任者が設定されている
- 期限と優先度が定義されている
- 対応状況を追跡できる
- SOCが攻撃パスや関連資産を参照できる
- 開発段階の修正が必要な問題は開発者へ戻せる
重大度ではなく、実際に悪用されやすい問題を優先する
「Criticalから順番に直す」という運用だけでは、現実の攻撃経路を十分に反映できません。
Defender CSPMのリスク優先順位付けでは、リソースの設定、ネットワーク接続、外部公開、権限、周辺資産との関係などを考慮して推奨事項を並べ替えます。攻撃パス分析では、外部から侵入可能な起点と、そこから重要資産へ到達する経路をグラフ上で確認できます。(Microsoft Learn)
例えば、同じ重大度の脆弱性が2件あっても、次の条件を持つ資産を先に修正すべきです。
- インターネットから到達できる
- 強い権限を持つマネージドIDが割り当てられている
- 機密データを保存するデータベースへ接続できる
- 漏えいしたシークレットと関連付いている
- 横展開によって複数のサブスクリプションへ到達できる
リスク優先順位付けとガバナンス機能は、Foundational CSPMではなくDefender CSPMで提供されます。(Microsoft Learn)
Code-to-Cloudで本番投入前に問題を止める
Microsoft Defender for CloudのDevOpsセキュリティは、Azure DevOps、GitHub、GitLabのリポジトリやCI/CD環境を対象に、IaCの構成不備、公開されたシークレット、コードや依存関係の脆弱性を可視化します。(Microsoft Learn)
重要なのは、検出することではなく、修正できる担当者へ戻すことです。
例えば、Terraformの設定によってストレージが外部公開される場合、クラウド管理者が本番環境で設定を戻すだけでは不十分です。IaCを修正しなければ、次回のデプロイで問題が再発します。
高度なCode-to-Cloud関連付け、IaCのプルリクエスト注釈、攻撃パスへのDevOps情報の取り込みなどには、Defender CSPMが必要です。(Microsoft Learn)
マルチクラウドでは接続数より「見えている範囲」が重要になる
Defender for CloudはAzureだけでなく、AWSとGCPの資産も接続できます。ただし、コネクタが作成されているだけでは十分ではありません。
権限不足、古いCloudFormationテンプレート、古いGCPオンボーディングスクリプト、対象リージョンの除外などにより、一部の資産だけが見えていない場合があります。管理者は「接続済み」という表示ではなく、Connectivity status、対象アカウント数、リソースインベントリ、推奨事項の生成状況まで確認する必要があります。(Microsoft Learn)
AIは運用支援だけでなく保護対象にもなる
CSPMにおけるAIの役割は、推奨事項の要約や修正支援だけではありません。生成AIアプリ、モデル、データ、エージェント、外部公開されたAIエンドポイント自体が保護対象になります。
Defender CSPMのAIセキュリティ態勢管理では、Azure OpenAI Service、Azure AI Foundry、Azure Machine Learning、Amazon Bedrock、Google Vertex AIなどのAIワークロードを継続的に検出し、外部公開、認証、権限、データアクセスなどのリスクを評価します。(Microsoft Learn)
ただし、2026年7月1日以降、Microsoft FoundryエージェントやサードパーティークラウドのAIエージェントを対象とするエージェント単位の検出・セキュリティ態勢管理には、Microsoft Agent 365ライセンスが必要です。Defender CSPMだけで従来と同じエージェント可視性が得られるとは限らないため、AIを利用している組織はライセンスと表示範囲を確認してください。(Microsoft Learn)
Microsoft Defender for Cloud／Defender CSPMの保護対象と影響範囲
現行のMicrosoft Learnに記載された機能範囲を基に、保護対象と必要なプランを整理すると次のようになります。機能の提供状況はクラウド、リージョン、リソース種類、プレビュー状態によって異なります。(Microsoft Learn)
| 対象領域 | 主に確認できる内容 | 必要なプラン・条件 | 管理者の確認ポイント |
|---|---|---|---|
| Azure、AWS、GCPのクラウド資産 | 資産インベントリ、構成不備、基本的な推奨事項、セキュアスコア | Foundational CSPMでも基本機能を利用可能 | 未接続アカウント、除外リージョン、コネクタ異常がないか |
| VM、コンテナ、Kubernetes | 脆弱性、シークレット、ネットワーク露出、攻撃パス | 高度な分析はDefender CSPMと各Agentless機能が必要 | スキャナーやKubernetes検出が実際に有効か |
| GitHub、Azure DevOps、GitLab | IaC、コード、依存関係、公開シークレット、DevOps構成 | 高度な関連付けやPR注釈はDefender CSPM | 組織全体が接続され、担当開発者へ戻せるか |
| AIアプリ、モデル、AIエージェント | AI資産、外部公開、認証、権限、データアクセス、攻撃パス | AI SPMはDefender CSPM。エージェント単位ではAgent 365が必要な場合あり | AIサービスの利用実態とインベントリが一致しているか |
| API | APIインベントリ、認証不備、非アクティブAPI、機密情報、攻撃パス | APIセキュリティ態勢管理はDefender CSPMの拡張機能 | Defender for APIsによる実行時検知と混同しない |
| サーバーレス | Azure Web Apps、Azure Functions、AWS Lambdaなどの構成や依存関係 | 対応クラウドとプランを確認 | インベントリに表示されない関数やアプリがないか |
| 実行中のワークロード | 不審な通信、マルウェア、攻撃操作、異常アクセス | Defender for Servers、Containers、Storage、Databasesなどが別途必要 | CSPMだけでリアルタイム検知できると考えない |
APIセキュリティ態勢管理は、Defender CSPMの設定画面から拡張機能を有効化します。一方、APIトラフィックを監視して攻撃を検知する機能は、ワークロード保護であるDefender for APIsの領域です。(Microsoft Learn)
Foundational CSPMとDefender CSPMはどう使い分けるか
Defender for Cloudには、基本的なFoundational CSPMと、有償のDefender CSPMがあります。Foundational CSPMは、Defender for Cloudへオンボードされたサブスクリプションやアカウントで既定で有効になります。(Microsoft Learn)
| 利用目的 | Foundational CSPM | Defender CSPM |
|---|---|---|
| 資産インベントリを確認する | 対応 | 対応 |
| 基本的なセキュリティ推奨事項を見る | 対応 | 対応 |
| Microsoft Cloud Security Benchmarkを使う | 対応 | 対応 |
| セキュアスコアを確認する | 対応 | 対応 |
| 攻撃パスを分析する | 非対応 | 対応 |
| リスクに基づいて推奨事項を並べ替える | 非対応 | 対応 |
| Cloud Security Explorerで横断的に検索する | 非対応 | 対応 |
| 推奨事項に担当者と期限を自動設定する | 非対応 | 対応 |
| Agentless脆弱性・シークレットスキャンを使う | 原則として非対応 | 対応 |
| AIセキュリティ態勢管理を使う | 非対応 | 対応 |
| 高度なCode-to-Cloud連携を使う | 制限あり | 対応 |
| APIセキュリティ態勢管理を使う | 非対応 | 対応 |
Azure中心の小規模な環境で、基本的な構成評価とセキュアスコアの確認が目的なら、Foundational CSPMから始める方法があります。
一方、次のいずれかに該当する場合は、Defender CSPMの導入効果を評価する価値があります。
- AWSやGCPを含むマルチクラウド環境である
- 推奨事項が多く、重大度だけでは優先順位を決められない
- インターネット公開された重要資産がある
- 担当者と対応期限を自動的に割り当てたい
- 規制対応や監査向けに継続的な評価が必要である
- IaCやCI/CDの段階で問題を発見したい
- AIアプリ、API、サーバーレスを利用している
ただし、Defender CSPMを有効にしても、各ワークロードのリアルタイム脅威検知がすべて有効になるわけではありません。 VM、コンテナ、ストレージ、データベース、APIなどの実行時保護には、対応するDefenderワークロード保護プランが別途必要です。(Microsoft Learn)
管理者が確認すべき設定
対象スコープでDefender CSPMを有効化する
Defender CSPMを利用する場合は、必要なAzureサブスクリプション、AWSアカウント、GCPプロジェクトごとに有効状態を確認します。
基本的な確認手順は次のとおりです。
- Azure portalで「Microsoft Defender for Cloud」を開く
- 「Environment settings」を開く
- 対象のAzureサブスクリプション、AWSアカウント、GCPプロジェクトを選択する
- 「Defender plans」でDefender CSPMをオンにする
- 保存後、Defender CSPMの「Settings」を開く
- 必要なAgentless scanningやKubernetes検出などのコンポーネントを確認する
Defender CSPMは課金対象となるため、管理グループ全体へ一括展開する前に、対象リソース数と費用を見積もってください。(Microsoft Learn)
Subscription Ownerで有効化し、Agentless scanningを確認する
特に失敗しやすいのが、Defender CSPMのトグルはオンになっているものの、Agentless scanningが有効になっていない状態です。
Microsoft Learnでは、Defender CSPMの全機能を利用するにはSubscription Ownerがプランを有効化する必要があると説明されています。権限の低いユーザーでもプラン自体をオンにできる場合がありますが、Agentless scannerは既定で有効にならず、攻撃パス分析やCloud Security Explorerに脆弱性情報が反映されないことがあります。(Microsoft Learn)
確認時は、プランのオン・オフだけでなく、次のコンポーネントも確認します。
- Agentless scanning for machines
- Agentless discovery for Kubernetes
- Agentless container vulnerability assessments
- Serverless Containers関連の設定
- API security posture management
- 対象外タグや除外設定
AWS・GCPコネクタの健全性と権限を確認する
AWSとGCPでは、Defender CSPMを有効にした後もコネクタ権限が不足していると、資産や推奨事項が完全には収集されません。
Azure portalの「Defender for Cloud」から「Environment settings」を開き、Connectivity statusを確認します。問題がある場合は、詳細画面に不足権限や構成上の問題が表示されます。(Microsoft Learn)
次の場合は、コネクタ設定の更新も検討してください。
- 接続後にDefender CSPMを追加で有効化した
- 新しい機能に必要な権限が追加された
- AWSのCloudFormationテンプレートが古い
- GCPのオンボーディングスクリプトが古い
- Least privilege accessを選択しており、追加権限が必要になった
- 一部のアカウントやプロジェクトだけ推奨事項が生成されない
既存のAWSコネクタでLeast privilege accessを使用している場合、AIセキュリティ態勢管理に必要な権限を追加するため、コネクタの再構成が必要になることがあります。(Microsoft Learn)
DevOpsコネクタと修正担当者を設定する
DevOpsセキュリティで重要なのは、リポジトリを接続するだけでなく、発見した問題を誰が修正するかを決めることです。
Microsoft Defender for Cloudが対応する主な環境は、Azure DevOps Services、GitHub Enterprise Cloud、GitLab SaaSです。接続にはAzure側だけでなく、各DevOpsサービス側の管理権限も必要です。(Microsoft Learn)
最低限、次の運用を定義します。
- IaCの問題はリポジトリ所有チームへ割り当てる
- 本番で悪用可能な問題を優先する
- プルリクエスト注釈を有効化する
- 本番設定だけを直接修正せず、IaC側も修正する
- リポジトリと実行中リソースの関連付けを確認する
コンプライアンス標準の割り当てと監査範囲を確認する
規制コンプライアンス標準の割り当てやポリシー設定は、Azure portal側で管理します。Microsoft Defender portalは、割り当て済み標準の進捗や評価結果を確認する用途が中心です。(Microsoft Learn)
監査担当者は、緑・赤の評価結果だけでなく、灰色で表示される自動評価不能なコントロールも確認してください。Defender for Cloudが自動評価できない項目については、手順書、承認記録、アクセスレビュー結果など、別の監査証跡を用意する必要があります。
ガバナンスルールで担当者と期限を割り当てる
Defender CSPMでは、推奨事項の重大度、リスクレベル、カテゴリ、特定の推奨事項を条件として、担当者と期限を自動設定できます。
設定場所は「Microsoft Defender for Cloud」から「Management」「Environment settings」「Governance rules」です。期限には7日、14日、30日、90日などを指定でき、既定では担当者へ週次メールが送信されます。(Microsoft Learn)
運用例としては、次のように分けると管理しやすくなります。
| 対象 | 期限の目安 | 担当 |
|---|---|---|
| 外部公開され、攻撃パスに含まれるCritical・High | 7日 | クラウド基盤責任者 |
| 漏えいシークレット、過剰権限 | 7～14日 | ID・開発チーム |
| 本番環境の高リスク構成不備 | 14日 | ワークロード所有者 |
| 中リスクのベースライン逸脱 | 30日 | 各システム担当 |
| 事業上すぐに修正できない項目 | 個別判断 | リスク承認者 |
これは一律の基準ではありません。インターネット公開、扱うデータ、停止影響、代替統制の有無に応じて調整してください。
AIエージェントのライセンスと表示範囲を確認する
AIアプリやAIエージェントを利用している組織は、Defender CSPMを有効にしているだけで安心しないことが重要です。
2026年7月1日以降、Microsoft Foundryエージェントやサードパーティークラウドのエージェント単位の検出とセキュリティ態勢管理には、Microsoft Agent 365ライセンスが必要です。Defender CSPMは引き続きMicrosoft Foundryのアカウントやプロジェクトを検出しますが、エージェント単位の可視性はライセンスによって変わります。(Microsoft Learn)
実際に利用しているAIエージェント数と、Defender portalのAI agent inventoryに表示される数を照合してください。
監査・検知・セキュアスコアへの影響
公式ブログの公開だけでアラートが増えるわけではない
今回のMicrosoft Security Blogは、新しい検知ルールや脅威アラートのリリース通知ではありません。そのため、この記事が公開されたことだけを理由に、セキュリティアラートやインシデントが新たに生成されるものではありません。(Microsoft)
ただし、Defender CSPMのプランやコンポーネントを新たに有効化した場合は、これまで収集していなかった脆弱性、シークレット、構成不備、外部公開情報が検出され、推奨事項や攻撃パスが増える可能性があります。
AWS・GCPの推奨事項増加でセキュアスコアが変わる可能性がある
今回のブログとは別の直近更新として、Microsoftは2026年6月30日にAWS・GCPのマルチクラウド評価範囲を拡張しました。約90種類のリソースと200件を超える推奨事項が追加され、一般提供後はCloud secure scoreにも影響します。(Microsoft Learn)
セキュアスコアが下がった場合でも、直ちに環境の安全性が悪化したとは限りません。従来は評価されていなかった資産が新たに評価対象となり、未対応項目が可視化された可能性があります。
確認時は次の順番で原因を切り分けます。
- Cloud secure scoreの「View updates」を確認する
- 「New」タグが付いた推奨事項を抽出する
- AWS・GCPの新規評価対象資産を確認する
- 実際の設定変更と評価範囲の拡張を分けて記録する
- 監査報告では、スコア低下の理由を説明できるようにする
また、旧来のグループ化された推奨事項は廃止が進んでおり、2026年7月31日にAzure portalから削除される予定です。推奨事項名や集約形式に依存した手順書、API処理、CSV加工、監査レポートがある場合は、新しい個別推奨事項形式へ対応させてください。(Microsoft Learn)
AWSでは読み取りAPI呼び出しが監査ログへ記録される
Defender CSPMはAWSリソースの状態を確認するため、AWS Resource APIへ1日に複数回、読み取り専用の呼び出しを行います。CloudTrailで読み取りイベントを記録している場合、これらの呼び出しも監査ログに残ります。(Microsoft Learn)
CloudTrailを外部SIEMへ転送している環境では、ログ取り込み量やコストが増える可能性があります。MicrosoftはDefender for Cloudの既定ロールによる読み取り呼び出しをフィルタリングする方法を案内していますが、監査要件上必要な記録まで除外しないよう注意が必要です。
攻撃パス分析とリアルタイム検知は別の機能
攻撃パス分析は、クラウド資産、ネットワーク接続、権限、脆弱性、外部公開などを関連付け、悪用可能な経路を見つける機能です。実行中のプロセスや通信を監視して、不審な挙動をアラートとして通知する機能とは異なります。(Microsoft Learn)
例えば、次のように使い分けます。
- Defender CSPM：外部公開された脆弱なVMから機密データへ到達できる経路を発見する
- Defender for Servers：VM上の不審な実行や攻撃活動を検知する
- Defender for Containers：Kubernetesやコンテナの実行時脅威を検知する
- Defender for Storage：不審なストレージアクセスやマルウェアを検知する
- Defender for APIs：APIトラフィック上の攻撃や異常を検知する
CSPMだけを導入し、リアルタイム検知も完了したと判断するのは危険です。
例外設定はスコア改善のために使わない
業務上修正できない推奨事項や、別製品ですでに対策している項目には例外を設定できます。例外には「別のサービスで軽減済み」または「リスク受容」といった理由を付け、説明や有効期限を記録できます。(Microsoft Learn)
ただし、例外設定によって推奨事項がセキュアスコアへ影響しなくなる場合があります。スコアを上げるためだけに例外を増やすと、実際のリスクと監査指標が乖離します。
例外を設定する場合は、最低限次の情報を残してください。
- 例外とする理由
- 影響を受ける資産
- 代替統制
- リスク承認者
- 見直し期限
- 恒久対応の予定
対応要否を判断する基準
自社環境での対応優先度は、次の表を目安に判断できます。
| 自社の状況 | 優先度 | 推奨する対応 |
|---|---|---|
| 公式ブログを確認しただけで、既存設定や検知に問題がない | 低 | 緊急変更はせず、今後のCSPM方針として記録する |
| Foundational CSPMで基本的な推奨事項だけを利用している | 中 | 攻撃パス、ガバナンス、AI、監査の必要性を評価する |
| 推奨事項に担当者や期限が設定されていない | 高 | ガバナンスルールと責任分界を設定する |
| AWS・GCPコネクタに警告や権限不足がある | 高 | テンプレートやスクリプトを更新し、収集範囲を検証する |
| インターネット公開された重要資産が多い | 最優先 | 攻撃パスと外部公開を基準に修正順序を決める |
| AIアプリやAIエージェントを利用している | 最優先 | AI資産、外部公開、Agent 365ライセンスを確認する |
| IaCやCI/CDを利用しているがDevOps未接続 | 高 | リポジトリを接続し、本番設定とコードを関連付ける |
| CSPMだけで実行時アラートも得られると考えている | 最優先 | 必要なワークロード保護プランを確認する |
| AWS・GCP中心で製品統合を検討している | 高 | 自社リソースを使ったPoCで可視性と費用を確認する |
次の質問に1つでも「いいえ」がある場合は、Defender for Cloudの設定または運用手順を見直す余地があります。
- すべてのAzure、AWS、GCP環境がインベントリに表示されているか
- Defender CSPMを有効にしたスコープを把握しているか
- Agentless scanningが実際に動作しているか
- 上位の攻撃パスを定期的に確認しているか
- Critical・Highの推奨事項に担当者と期限があるか
- セキュアスコア変動の理由を説明できるか
- AIアプリとAIエージェントを棚卸しできているか
- CSPMと実行時脅威検知の役割を分けているか
優先順位を付けた対応手順
当日中に確認すること
- Environment settingsで対象スコープを一覧化する
- Foundational CSPMとDefender CSPMの有効状態を確認する
- AWS・GCPコネクタのConnectivity statusを確認する
- Agentless scanningの有効状態を確認する
- 攻撃パスとCritical・Highリスクの推奨事項を確認する
- AI利用部門がある場合は、AI資産の表示状況を確認する
この段階では、すべての推奨事項を直す必要はありません。まず「何が見えていて、何が見えていないか」を把握します。
1週間以内に行うこと
- 外部公開された重要資産を優先する
- 上位の攻撃パスを修正する
- 推奨事項の担当者と期限を設定する
- AWS・GCPコネクタの不足権限を修正する
- セキュアスコア変動の理由を記録する
- AIエージェントのライセンスとインベントリを照合する
- 実行時検知が必要なワークロードのDefenderプランを確認する
1か月以内に行うこと
- IaCスキャンとプルリクエスト注釈を導入する
- リポジトリ所有者とクラウド資産所有者を関連付ける
- 規制コンプライアンス標準を必要なスコープへ割り当てる
- 自動評価できない監査項目の証跡を整備する
- 例外設定の理由と期限を見直す
- AWS・GCPを含む費用とカバレッジを評価する
- SOC、クラウド運用、開発部門の対応フローを一本化する
失敗しやすいポイント
ブログを製品更新通知と誤解する
今回の情報は、期限付きの変更作業を求める告知ではありません。逆に「製品更新ではないから関係ない」と無視するのも適切ではありません。
重要なのは、CSPM運用が単なるスコア確認で止まっていないかを見直す材料として使うことです。
Defender CSPMをオンにしただけで完了と判断する
プランを有効化しても、権限不足でAgentless scanningが無効な場合があります。攻撃パスに脆弱性情報が表示されず、Defender CSPMの効果を十分に得られません。
プラン、個別コンポーネント、コネクタ権限の3点をセットで確認してください。(Microsoft Learn)
セキュアスコアの数字だけを追う
セキュアスコアを上げるため、簡単な低リスク項目だけを大量に修正しても、外部公開された重要資産の攻撃パスが残っていればリスクは下がりません。
スコアとともに、攻撃パス、資産の重要度、外部公開、権限、機密データを確認してください。
CSPMをEDRや実行時防御の代わりにする
CSPMは主に、構成不備、脆弱性、権限、露出状況を継続的に評価する機能です。マルウェア、不審なプロセス、異常なAPIアクセスなどの実行時検知は、対応するワークロード保護プランが担います。(Microsoft Learn)
マルチクラウドならすべて同じ深さで見えると考える
機能によって対応クラウド、リソース、リージョンが異なります。Microsoftのエコシステムと深く統合できることは強みですが、AWS・GCP中心の環境では、必要なリソース種類が実際に評価されるかを確認する必要があります。
Frost Radar自体も、MicrosoftがAzure中心の製品として認識される場合があることや、クロスクラウド対応のさらなる強化余地を指摘しています。(Microsoft CDN)
レポート上の評価だけで製品を統合する
Frost Radar 2025の評価データは2025年9月時点です。その後の機能追加、料金変更、ライセンス変更は別途確認しなければなりません。(Microsoft CDN)
特に大規模な製品統合では、次の内容をPoCで検証してください。
- 自社が利用するAWS・GCPリソースの対応状況
- 攻撃パスの分かりやすさ
- 推奨事項の重複やノイズ
- 既存SIEM・SOAR・チケット管理との連携
- DevOpsチームへの修正依頼の流れ
- Agentless scanningに必要な権限
- リソース数に基づく費用
- AI・API・サーバーレスの対応範囲
まとめ
「Microsoft highlights five cloud security posture management trends from the 2025 Frost Radar」は、Microsoft Defender for Cloud／Defender CSPMに緊急の設定変更を求める情報ではありません。CSPMが、定期的なコンプライアンス確認から、リスクに基づく継続的なクラウドガバナンスへ移行していることを示す内容です。
管理者が最初に行うべきことは、製品を追加購入することではありません。まず、Environment settingsを開き、次の3点を確認してください。
- 保護すべきAzure、AWS、GCP、DevOps環境が接続されているか
- Defender CSPMとAgentless scanningが必要な範囲で有効か
- 上位の攻撃パスと推奨事項に担当者・期限が設定されているか
そのうえで、攻撃パス分析、ガバナンス、AIセキュリティ態勢管理、Code-to-Cloud連携が必要ならDefender CSPMを評価します。実行時の脅威アラートが必要な場合は、対象ワークロードに対応するDefenderプランも別途確認することが重要です。
コメント