ハイブリッドクラウドのセキュリティソリューション：ベンダーの比較方法
- ハイブリッドクラウドのセキュリティソリューションは、SSE、CNAPP、ネットワーク、データ、およびIDセキュリティの各分野にまたがっています。
- 導入の柔軟性、データ保護、ポリシー管理、統合、移行、および耐障害性の観点から、各ベンダーを比較してください。
- 最も重要な検証点は、オンプレミスとクラウドのポリシー適用が、同じポリシーエンジンを共有しているかどうかです。
- 自社のトラフィックと障害シナリオを用いて、概念実証（PoC）においてベンダーの主張を検証してください。
- 復号化されたデータ、ログ、およびインシデントの証拠が、どこで処理、保存、およびアクセスされるかを確認してください。
ハイブリッドクラウドのセキュリティソリューションは、オンプレミスインフラストラクチャとクラウドサービスにまたがるユーザー、アプリケーション、データを保護します。各プロバイダーは、まったく異なる製品に対して同じ用語を使用しているため、ベンダー間の比較は困難です。本ガイドでは、ソリューションのカテゴリー、最も重要な要件、およびハイブリッドクラウドセキュリティベンダーを並べて評価するための採点方法について解説します。
この記事は、「ハイブリッドクラウドのセキュリティ」ガイドの一部です。
ハイブリッドクラウドのセキュリティソリューションの種類
ハイブリッドクラウドのセキュリティソリューションは、主に6つのカテゴリーに分類され、ほとんどのハイブリッド環境では、そのうちのいくつかを必要とします。
ベンダーが実際にどのカテゴリーの商品を販売しているかを把握しておけば、不適切な比較を防ぐことができます。
| カテゴリ | 保護対象 | 代表的な機能 |
|---|---|---|
| Security Service Edge (SSE) および SASE プラットフォーム | Web、SaaS、およびプライベートアプリへのユーザーアクセス | SWG、CASB、ZTNA、DLP、RBI；SASEにSD-WANが追加 |
| クラウドネイティブ・アプリケーション保護（CNAPP） | クラウドワークロードとインフラストラクチャ | 姿勢管理、ワークロード保護、IaCスキャン |
| ネットワークセキュリティ | ゾーン間およびサイト間のトラフィック | ファイアウォール、セグメンテーション、侵入防止 |
| データセキュリティ | 保存場所を問わず、機密データ | DSPM、分類、DLP、暗号化および鍵管理 |
| IDセキュリティ | ユーザー、デバイス、およびマシンID | IDプロバイダー、多要素認証（MFA）、特権アクセス、ガバナンス |
| ハイパースケーラー専用ツール | 1つのクラウドプロバイダー内のリソース | プロバイダー固有のセキュリティおよび監視サービス |
本ガイドでは、第1および第4のカテゴリー、すなわち、クラウド環境とオンプレミス環境の間でユーザーやデータが移動する際のセキュリティを確保するソリューションに焦点を当てています。ハイブリッドアーキテクチャの設計判断が、日々のリスクに最も大きな影響を与えるのはこの部分です。アーキテクチャ全般については、『ハイブリッドクラウドのセキュリティ：アーキテクチャとベストプラクティス』を参照してください。
比較するための5つの要件
ハイブリッドクラウドのセキュリティベンダーを、導入の柔軟性、データ保護、ポリシー管理、統合、移行という5つの要件に基づいて比較します。
1. 導入の柔軟性
ハイブリッドは単なる選択肢の一つではありません。エンフォースメントがどこで実行可能か、またベンダーのクラウドに何が依存しているかを正確に確認してください。
- 各モードではどのような機能が利用可能で、トラフィックの検査場所にかかわらずベンダーのクラウドから提供される機能はどれですか？
- オンプレミスのコンポーネントは、物理アプライアンス、仮想マシン、コンテナ、あるいはそのすべてに該当しますか？
- オンプレミス環境で実行する場合、どの機能についてベンダーのクラウドへの接続が依然として必要となりますか（ライセンス、更新、脅威インテリジェンス、管理など）？
- エアギャップ方式またはネットワークから切り離された状態での動作はサポートされていますか？
- リモートユーザーは、データセンターを経由するヘアピン接続を行わずにプライベートアプリにアクセスできますか？また、オンプレミスのユーザーは、クラウドを経由するヘアピン接続を行わずにそれらにアクセスできますか？
ガートナーの用語集における security service edge によると、SSEは主にクラウド経由で提供されるが、オンプレミス型やエージェントベースのコンポーネントが含まれる場合もある。ベンダーがこれらのコンポーネントをどの程度サポートしているかは、大きく異なる。
2. データ保護
データ保護の分野こそ、ハイブリッドソリューションの最大の違いが表れるところです。
- 1つのDLPポリシーエンジンで、Web、SaaS（インラインおよびAPI）、プライベートアプリケーション、エンドポイント、電子メール、および生成AIツールをすべてカバーできますか？
- 分類はすべてのチャネルで共通ですか、それとも製品ごとに個別に設定されますか？
- DSPMは統合されているため、保存データの検出結果がインラインポリシーに反映されるのでしょうか？
- トラフィックの復号化はどこで行われ、DLPインシデントのコピーはどこに保存されますか？
3. ポリシー制御
- オンプレミスとクラウドでのポリシー適用には、単一のポリシーエンジンが使用されるのでしょうか、それとも、別々のエンジンを統合した単一のコンソールが使用されるのでしょうか？
- ポリシーは「コードとして」管理し、バージョン管理を行い、ロールバックすることは可能でしょうか？
- ポリシーの変更は、各適用ポイントにどのように反映されるのでしょうか。また、ドリフトはどのように検出されるのでしょうか。
- ポリシーでは、ID、デバイスの状態、データ分類、およびリスクシグナルを組み合わせて利用することは可能でしょうか？
1つのコンソールで管理される別々のエンジンでも、依然としてドリフトが発生します。デモ中にベンダーに1つのルールを変更してもらい、そのルールがオンプレミスのゲートウェイとクラウドのPoPの両方で適用される様子を確認してください。
4. 統合
- どのIDプロバイダー、エンドポイントエージェント、SIEMおよびSOARプラットフォーム、チケット管理システムがネイティブでサポートされていますか？
- ログをほぼリアルタイムでSIEMにストリーミングすることは可能ですか？また、その送信先を地域ごとに制限することはできますか？
- このソリューションは、既存のハードウェアセキュリティモジュールやサンドボックス機能と連携しますか？
- APIのドキュメントは、自動化を行うのに十分なほど充実しているでしょうか？
5. 移行
購入者の多くは、何か（多くの場合、旧来のプロキシ）を置き換えるために購入しています。
- 既存のポリシーを引き継ぐための明確な方法はありますか？どの程度が自動化されており、どのような項目を手動で検証する必要がありますか？
- 検証期間中、新しいソリューションは既存のシステムと並行して稼働させることができますか？
- どのような専門サービスが含まれており、移行計画の責任者は誰ですか？
- 交換対象となる製品の残存契約額を相殺してくれる商用プログラムはありますか？
「Secure Web Gateway への移行：カットオーバーおよびロールバックのチェックリスト」を参照してください。
ハイブリッドクラウドのセキュリティ要件チェックリスト
ベンダーを評価する前に、これらのハイブリッドクラウドのセキュリティ要件を「合格・不合格」の判断基準として扱うこと：
- 1つのポリシーエンジンにより、オンプレミスとクラウドの両方で適用が可能
- 規制対象トラフィックに対するローカルTLS検査オプション
- リモートおよびオンサイトのユーザー向けの、アプリケーションごとのprivate access （ZTNA）
- Web、SaaS、プライベートアプリ、エンドポイント、AIツールを横断した統合型DLP
- ベンダーのクラウドに接続できない場合の動作について
- ログおよびデータの保存場所に関する管理措置
- 関連する認証および認可（例：FedRAMP、SOC 2 Type II、ISO 27001、地域ごとの認証制度など）
- 並行実行による移行のサポート
評価スコアカード
自社の環境に応じて各要件の重要度を評価し、ベンダーに1から5までの点数を付けます。
| 基準 | 重量の例 | ベンダーA | ベンダーB | ベンダーC |
|---|---|---|---|---|
| 導入の柔軟性と対応範囲（オンプレミス、クラウド、ハイブリッド） | 25% | |||
| データ保護（DLP、DSPM、機密分類） | 25% | |||
| ポリシー制御（シングルエンジン、ポリシー・アズ・コード、ドリフト検出） | 20% | |||
| 統合（ID管理、SIEM、API） | 10% | |||
| 移行（ポリシーの引き継ぎ、並行運用、サービス） | 10% | |||
| 耐障害性（クラウドまたはWANの障害発生時の動作） | 10% |
規制対象の組織は、データ保護や導入の柔軟性をより重視することが多い。一方、オンプレミスでの検査要件がない「クラウドファースト」の組織は、統合性やユーザーエクスペリエンスをより重視する傾向がある。
ハイブリッドクラウドのセキュリティプロバイダーに尋ねるべき質問
適切な質問を投げかけることで、ベンダーは、ポリシーの一貫性、データ処理、および障害時の挙動について、単に説明するのではなく、実際に実証せざるを得なくなります。
- オンプレミスのゲートウェイとクラウドのPoPの両方に適用されるポリシー変更を1つ示してください。
- 私たちの通信データは、具体的にどこで復号化されるのでしょうか。また、復号化されたコンテンツには誰がアクセスできるのでしょうか。
- 当社のログ、インシデントの証拠、およびテレメトリデータは、どの国に保存されるのでしょうか。また、その保存先を制限することは可能ですか？
- クラウドサービスに4時間アクセスできない場合、検査やprivate access はどうなるのでしょうか？
- オンプレミスのコンポーネントはどのように更新されるのでしょうか。また、更新を段階的に実施することは可能ですか。
- AIツールやエージェントで使用されるWebSocketやその他の長期接続については、どのように扱っていますか？
- 私たちが購入しようとしている特定のコンポーネントについては、どのような独立系アナリストによる評価や認証が行われているのでしょうか？
- 当社の現行製品からの一般的な移行には、通常どれくらいの期間（週単位）がかかりますか？また、顧客が最も見落としがちな点は何か教えてください。
概念実証の実施
有用な概念実証とは、ベンダーの最高の機能ではなく、最もリスクの高い仮定を検証するものである。
- トラフィック：パイロットグループからの実際のトラフィックを使用し、スループットの高いサイトも含める。
- TLS インスペクション：想定される本番環境のトラフィック量において、インスペクションを有効にした状態でレイテンシとスループットを測定します。
- データ保護：テスト文書に独自の機密データパターンを組み込み、Web、SaaS、AIツールへのアップロードにおいて、一貫した検出が行われることを確認します。
- 障害：ベンダーのクラウドへの接続が切断された状態をシミュレートし、どの機能が引き続き動作するかを観察する。
- 運用：ポリシーの変更やアクセスがブロックされたサイトのトラブルシューティングは、ベンダーのエンジニアではなく、自社の管理者に行わせる。
危険信号
こうした警告サインは、通常、ベンダーのハイブリッドサポートが、マーケティングで謳われているほど充実していないことを意味します。
- 「ハイブリッド」とは、単にベンダーのクラウドがお客様のデータセンターに接続できることを意味するに過ぎません。
- オンプレミス製品とクラウド製品では、ポリシーの構文やDLP辞書がそれぞれ異なります。
- ベンダーは、復号化されたデータがどこで処理されているかについては明言できません。
- Private access オンプレミスのユーザーの場合、クラウドを経由した往復通信が必要となります。
- 移行とは、検証手順を伴わないファイルのインポートと定義されています。
Skyhigh Security の活用場面
Skyhigh Security 単一のポリシーエンジンによって管理されるオンプレミス環境とクラウド環境の両方でのポリシー適用を必要とする組織に適しています。
Skyhigh Hybrid SSE Mesh は、オンプレミスの SWG アプライアンス、ローカル ZTNA、およびセキュアブラウザ制御を、クラウド上の CASB、DSPM、DLP、RBI と統合し、単一のコンソールと単一のポリシーエンジンで一元管理します。ローカル TLS 検査は組織独自のインフラストラクチャ上で実行され、関連するトラフィックはクラウド上で適用されるサービスへと転送されます。ポリシーは「コード」として、物理、仮想、およびクラウド上の適用ポイントにプッシュされます。
Skyhigh Security 2026年のガートナー®『Critical Capabilities forSecurity Service Edge 』（発表）において、「Advanced SSE Use Case」部門で第1位にランクインしました。同プラットフォームは、FedRAMP Highの認定を取得しており、IRAP、BSI C5、SOC 2 Type II、CSA STAR Level 2などの追加認証も取得しています（ Skyhigh Securityによると、このプラットフォームはFedRAMP Highの認可を取得しており、IRAP、BSI C5、SOC
出典
- ガートナー。Security Service Edge （SSE）、情報技術用語集。https://www.gartner.com/en/information-technology/glossary/security-service-edge-sse
- NSAおよびCISA。「クラウドセキュリティ対策トップ10」（2024年3月7日）。https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/3699169/nsa-releases-top-ten-cloud-security-mitigation-strategies/
- NIST.SP 800-215: 安全な企業ネットワーク環境の構築ガイド（2022年11月）。https://csrc.nist.gov/pubs/sp/800/215/final
- Skyhigh Security. 「Skyhigh Security 、2026年ガートナー『Critical Capabilities forSecurity Service Edge』の『Advanced SSE Use Case』部門で第1位にランクイン」（2026年8月5日）。https://www.globenewswire.com/news-release/2026/08/05/3339504/0/en/skyhigh-security-ranked-1-in-advanced-sse-use-case-in-2026-gartner-critical-capabilities-for-security-service-edge.html
- Skyhigh Security. Symantec Edge SWG の最新化 (Blue Coat)。https://www.skyhighsecurity.com/bluecoat-modernize.html
GARTNER は、米国および国際的に Gartner, Inc. および／またはその関連会社が所有する登録商標およびサービスマークであり、本資料では許可を得て使用されています。すべての権利は留保されています。Gartner は、自社の調査報告書に記載されているいかなるベンダー、製品、またはサービスについても推奨するものではありません。