マルチクラウドのデータセキュリティのためのDSPM：AWS、Azure、GCPを横断した統合的な可視性

マルチクラウドがデータセキュリティの問題をどう変えるのか

クラウドチームが単一のエコシステムだけで運用されることはめったにありません。AWSは、その幅広いサービスラインナップと成熟したストレージ制御機能から、よく利用されています。Azureは、マイクロソフトを中核とする企業で一般的です。GCPは、分析、データエンジニアリング、機械学習の分野で広く採用されています。各クラウドは柔軟性を提供しますが、それぞれ異なるセキュリティモデルも備えています。

AWSでは、S3バケットポリシー、IAMポリシー、アクセス制御リスト（ACL）、アクセスポイント、サービス制御ポリシーなど、複数の重複する制御レイヤーを基盤としてデータアクセスを構成しています。そのデータ境界モデルでは、組織が「信頼できるID」、「信頼できるリソース」、および「想定されるネットワークパス」を定義することが求められます。Azureでは、ストレージセキュリティを、ロールベースのアクセス制御、ストレージアカウントの設定、匿名アクセス防止、およびプライベートエンドポイントの設定と統合しています。 Azure ストレージに関する Microsoft のゼロトラストガイダンスでは、最小権限のアクセス原則と継続的な検証を適用しつつ、保存中、転送中、使用中のすべての状態におけるデータの保護を重視しています。Google Cloud は、Cloud IAM、組織ポリシー、統一されたバケットレベルのアクセス制御、およびパブリックアクセス防止の制約を通じてストレージセキュリティを実装しています。また、Google Cloud は、ストレージバケットへのパブリックアクセスを自動的に防止し、一貫した権限モデルを強制する制御機能など、より強力な「デフォルトでセキュア」な組織ポリシーへの移行を進めています。

機密ファイルへの一般ユーザーのアクセスを防ぐという同じデータ保護要件であっても、プラットフォームごとに異なる実装アプローチが必要となります。そのため、クラウドごとに手動で審査を行うプロセスは、規模が大きくなると機能しなくなってしまうのです。

DSPMがもたらすもの

DSPMは、セキュリティチームに対し、クラウド環境全体にわたる以下の4つの疑問に答える、データ中心のレイヤーを提供します：

データはどこにあるのか？どのようなデータなのか？どのように公開されているのか？誰がアクセスできるのか？

効果的なDSPMソリューションは、クラウドデータリスクの4つの重要な側面、すなわち「保存場所」、「機密性」、「露出状況」、および「アクセス経路」にわたって、継続的なインベントリ管理を実現します。

最新のDSPMプラットフォームは、オブジェクトストレージ、マネージドデータベース、データレイクリポジトリ、バックアップシステム、仮想マシンのスナップショット、AIトレーニングデータセットにまたがる機密情報を特定することができます。高度な分類エンジンは、PII、財務記録、知的財産、認証情報、APIキー、規制対象のデータタイプを特定すると同時に、ビジネス上のコンテキストも考慮します。露出のコンテキストには、パブリックインターネットへのアクセス、匿名アクセス権限、過度に広範なIAMロール、レガシーACL、アカウント間の共有、および過度な権限を持つサービスプリンシパルなどが含まれます。 アクセスパスのマッピングにより、直接的な権限、ロールの継承、または権限昇格の経路を通じて機密データにアクセス可能な、人間ユーザー、サービスアカウント、アプリケーション、およびフェデレーテッドIDが特定されます。

MITRE ATT&CKでは、権限の悪用や権限昇格を伴うクラウド関連の手法が記載されており、DSPMがデータの保存場所だけでなくアクセスコンテキストも評価しなければならない理由を裏付けています。

継続的な可視性が重要な理由

特定の時点での評価だけではもはや不十分です。マルチクラウド環境では、ストレージ構成、共有設定、およびID間の関係が絶えず変化しています。月曜日に非公開だったデータセットも、設定ミスや許可範囲の広いポリシーへの変更、あるいは新たな連携経路によって、火曜日には公開されてしまう可能性があります。

継続的な発見は、リスクが顕在化したその時点で捕捉できるため、特定の時点での評価よりも優れています。また、リスクの優先順位付けを行うことで、チームが最も重要なリスクに注力できるようになり、運用上の負担を軽減できます。DSPMは、同じ深刻度を持つ発見事項を長々とリストアップするのではなく、データの機密性とリスクの深刻度を関連付けることで、チームが影響の最も大きい問題を優先的に是正できるようにします。

これは技術的な面だけでなく、運用面でも重要な意味を持ちます。ベライゾンの「2026年データ侵害調査報告書」によると、脆弱性の悪用がデータ侵害の最大の侵入経路となり、全侵害事例の31％を占めていることが明らかになりました。攻撃者が、露出しているシステムや設定ミスの弱点をますます狙うようになっているのであれば、データの露出状況を可視化することは、単なる報告機能にとどまらず、実用的な防御策となるのです。

IBMの「2025年データ侵害コスト報告書」によると、世界平均のデータ侵害コストは444万米ドルと報告されており、分散環境全体におけるデータ可視性と管理体制の強化がビジネス上不可欠であることが改めて裏付けられた。

DSPMがコンプライアンスとガバナンスをどのように支援するか

DSPMは、クラウドプラットフォーム全体における規制対象データの取り扱い状況を継続的に可視化することで、コンプライアンスとガバナンスを強化することができます。また、規制対象データがどこに保存されているか、誰がアクセスできるか、そしてアクセス制御がコンプライアンス要件にどのように準拠しているかを示すレポートを生成することも可能です。

これは、より広範なコンプライアンス・プログラムに取って代わるものではありませんが、資産の棚卸し、分類、証拠収集といった手作業の負担を軽減します。その結果、データリスクに関するより最新の状況を把握できるようになり、監査や内部ガバナンスのレビューを支援するための、より実用的な手段となります。

DSPMは、発見されたデータを関連する規制や社内ポリシーの要件に照らし合わせて整理するのに役立ちます。その真価はラベルそのものにあるのではなく、発見、分類、アクセス分析を組み合わせることで、ガバナンス上の意思決定の信頼性を高める点にあります。

ネイティブクラウドコントロールを基盤として

DSPMは、各クラウドプロバイダーがすでに提供しているネイティブの制御機能を解釈できる場合に、その真価を発揮します。

AWSは、データ境界の管理とIDベースのアクセス境界を重視しています。そのストレージガバナンスモデルは、多層的なポリシー適用に基づいており、S3の「Block Public Access」機能が、不注意による情報漏洩を防ぐための基本的な基盤として機能しています。Azureのストレージに関するガイダンスは、特に最小権限の原則、プライベート接続、および匿名アクセスの防止といった点において、ゼロトラストの原則と密接に整合しています。Google Cloudでは、「デフォルトでセキュア」な組織ポリシー、統一されたバケットレベルのアクセス制御、およびパブリックアクセス防止機能をますます活用し、一般的な情報漏洩パターンが拡大する前に未然に防ぐよう努めています。

優れたDSPMプログラムでは、こうした固有の安全対策を理解した上で、実際の設定が意図したセキュリティ態勢と整合しているかどうかを評価する必要があります。

より広範なセキュリティ・スタックにおけるDSPM

DSPMは単独で機能するようには設計されていません。

CNAPPは、ワークロードのセキュリティ、脆弱性管理、インフラストラクチャの設定ミス、および実行時保護に重点を置いています。DSPMは、データの保存場所、機密性、およびアクセスパターンに重点を置いています。SSEは、SWG、CASB、およびZTNAの機能を通じて転送中のデータを保護するのに対し、DSPMはクラウドインフラストラクチャサービスにおける保存中のデータと露出状況に重点を置いています。DLPはデータの移動を監視し、不正な共有を防止することに優れている一方、DSPMは資産の把握とリスクの状況を把握します。CASBはSaaSガバナンス、ユーザー行動分析、およびインラインでのポリシー適用に重点を置いているのに対し、DSPMはクラウドインフラストラクチャサービスへの可視性を拡大します。

これらのツールはそれぞれ異なる課題を解決するため、統合することで最大の効果を発揮します。Skyhigh Security、SWG、CASB、ZTNA、DLP、RBI、およびデータセキュリティ機能を統合しており、これにより組織は一貫したポリシーを適用し、セキュリティドメイン間の検知結果を相互に関連付け、是正措置のワークフローを効率化することができます。 SkyhighはSecurity Service Edge 2025年版「ガートナーMagic Quadrant Security Service Edge 」において「ニッチ・プレーヤー」として評価されSecurity Service Edge 2025年版「ガートナーCritical Capabilities 」のデータセキュリティ・ユースケース部門で最高スコアを獲得しましたSecurity Service Edge DSPMの分析結果は、API、SIEMコネクタ、チケット管理システムと連携し、SSEプラットフォームとのポリシー同期が行われる必要があります。

DSPMプログラムを選ぶ際のポイント

実用的なマルチクラウドDSPM戦略では、AWS、Azure、GCPにわたるネイティブサービスの対応範囲、ID統合、ネットワークコンテキスト、およびクラウドネイティブなロギングのサポートを網羅する必要があります。また、許容可能なパフォーマンスとコスト特性を維持しつつ、複数のクラウドアカウント、サブスクリプション、プロジェクトにわたって拡張可能である必要があります。

マルチクラウド対応のDSPMは、Amazon S3、RDS、Redshift、Azure Blob Storage、SQL Database、Synapse、Google Cloud Storage、Cloud SQL、BigQueryなどのサービスとのネイティブ統合をサポートすべきである。また、このソリューションは、中核となるオブジェクトストレージやデータベース以外にも、各クラウド固有のデータリポジトリや分析サービスに対応している必要がある。

高度なデータ分類では、パターンマッチング、機械学習、コンテキスト評価、およびビジネスメタデータの統合を組み合わせる必要があります。クロスプラットフォームのアクセス分析では、異なるクラウドIAMシステム間のIDと権限の関係をマッピングし、アクセス経路や権限昇格の機会を特定する必要があります。

自動修正機能を活用すれば、チームは監査証跡を維持しつつ、一般公開や過度に緩いアクセス制御といった高リスクの脆弱性に対処することができます。最良の結果を得るには、環境を十分に把握する前に完全な自動化を追求するのではなく、修正ガイダンスをレビューワークフローやポリシーの適用と組み合わせることが通常有効です。

実践的な導入アプローチ

実装は「発見」から始め、その後「是正」へと進めるべきです。この順序を踏むことで、プロジェクトを管理しやすい状態に保ち、チームが早期に価値を証明できるようになります。

初期段階では、機密データの棚卸し、リスクが最も高い脆弱性の特定、およびクラウド環境全体にわたるアクセス経路の把握に重点を置くべきである。チームがクラウドデータ資産の全体像を確実に把握したら、ポリシーの整合、ワークフローの統合、および是正措置の計画策定へと進むことができる。

組織では、多くの場合、まず現状把握とリスクの優先順位付けを行い、その後、是正措置や継続的な監視へと段階を移していきます。