クラウドセキュリティは、もはや単にセキュリティポスチャを確認するだけのものではありません。サービス、アイデンティティ、コードが絶えず変化し続ける環境において、攻撃者の一歩先を行くことが求められます。
従来のツールでは、短命なインフラ、拡大し続けるアイデンティティの乱立（スプロール）、そしてDevOpsのスピードに追随できません。セキュリティチームが必要としているのは、シグナルを統合して真の脆弱性を把握し、エンジニアリングの速度を落とすことなく迅速な修復を可能にするプラットフォームです。
こうした背景からCNAPPが誕生しました。開発から本番運用まで、インフラ、ワークロード、アイデンティティ、データのすべてにわたってクラウドセキュリティを統合するためです。しかし、すべてのCNAPPが同等の性能を持つわけではありません。多くは買収したツールを寄せ集めて作られています。また、文脈を欠いたまま過剰なアラートを表示してしまう製品もあります。
本ガイドでは、複雑さを解消し、フルスタックの可視性、ランタイム保護、開発者に優しいワークフローによって、チームに真のセキュリティへの道筋を与えるCNAPPの選び方をご紹介します。
さらに、グラフベースのリスク分析、エージェントレススキャン、code-to-cloudのトレーサビリティなど、最新のCNAPPのリーダーが実践している差別化のポイントも解説。
Gartner® Market Guide for CNAPP
The Gartner® Market Guide for Cloud-Native Application Protection Platforms (CNAPP) explores this shift and outlines what security leaders should consider as the market matures.
CNAPPの中核機能
最新のクラウドネイティブアプリケーション保護プラットフォーム（CNAPP）は、個別のセキュリティツールの枠を超え、統合された高度な防御アプローチを採用する必要があります。手動による相関分析やエージェントに依存する従来型のCNAPPとは異なり、最新のプラットフォームは文脈に基づく分析と統合リスクグラフを用いて、本当に重要なごく一部の問題を浮き彫りにし、進行中の脅威をリアルタイムでブロックします。
最も先進的なCNAPPは、グラフベースのリスクモデルを用いて、アイデンティティ、データ、インフラをまたぐシグナルを紐付けます。これにより、真のアタックパス（たとえば、過剰な権限を持つIAMロールを介してアクセス可能で、機微データに到達できてしまう脆弱なコンテナなど）の特定が可能。その結果、大量のアラートへの対応に追われることなく、本当に重要なリスクに優先順位を付けられます。
ここからは、CNAPPの中核機能を詳しく見ていきましょう。
1. クラウド開発のセキュリティ確保（シフトレフトセキュリティ）
クラウド開発のセキュリティを確保することは、CNAPPに欠かせない機能です。これは、コードから本番環境に至るまでアプリケーションのリスクを継続的に特定・対処し、深刻度に基づいて優先順位を付けることを意味します。アプリケーションセキュリティポスチャ管理（ASPM）は、アプリケーションコードやinfrastructure as code（IaC）から、サードパーティコンポーネント、CI/CDパイプラインに至るまであらゆるものをスキャン。リスクを相互に関連付けて、実際にビジネスへ影響する問題を明らかにします。
シフトレフトセキュリティにおけるもう1つの中核要素が、ソフトウェアサプライチェーンのセキュリティ確保です。サプライチェーンセキュリティへの万全なアプローチは、侵害されたビルドアーティファクトに起因するような攻撃の未然防止に寄与します。主な手順としては、コードリポジトリをスキャンしてハードコードされたシークレットを検出すること、安全なIaCを導入すること、そしてサードパーティライブラリの既知の脆弱性について依存関係を確認し、デプロイ前に安全性を担保することが挙げられます。
2. クラウドインフラのセキュリティ確保（予防的コントロール）
優れたCNAPPであれば、クラウドインフラのセキュリティを確保し、設定が堅牢であるという安心感をもたらします。その方法は次のとおりです。
クラウドセキュリティポスチャ管理（CSPM）は、必要なポリシーに準拠していない箇所を特定して是正。時間の経過とともに生じる構成ドリフトのリスクを低減するとともに、規制遵守を確実にします。
クラウドインフラストラクチャ権限管理（CIEM）は、通常とは異なるユーザーの挙動を検出し、複数のクラウドプラットフォームにわたるすべての権限に対する可視性を提供。クラウドシステムを危険にさらしかねない露出したシークレットを発見します。
クラウド上で稼働するリソースを保護するため、クラウドワークロード保護プラットフォーム（CWPP）は、脆弱性チェックとリアルタイム監視を組み合わせてコンテナや仮想マシンの保護に注力。触れてはならないリソースへの攻撃試行をより容易に検知できるようにします。
データセキュリティポスチャ管理（DSPM）は、機微データの保護に特化しています。重要な情報がどこに保存されているかを突き止め、クラウド内での移動を監視して、ストレージ設定が正しく適用されているかを確認します。さらに、攻撃者がそのデータに到達しようとする経路も特定し、問題が生じる前に開発チームがギャップを塞ぐ機会を提供します。
最後に、APIセキュリティもCNAPPが真価を発揮する領域です。APIはサービス間の接続点となることが多く、適切に保護されていないと、攻撃者にとって格好の侵入口になりかねません。CNAPPはAPIの問題を早期に発見し、クラウド構成における隠れた弱点とならないようにします。
3. ランタイムでの保護（クラウド検知・対応：CDR）
クラウド検知・対応（CDR）は、マルウェア、クリプトマイニング、リモートコード実行など、クラウド環境への攻撃に対して、自動応答を伴うリアルタイムの脅威検知を提供。CDRは包括的な可視性をもたらし、クラウドのアクティビティ、監査ログ、シグナルから情報を収集して攻撃者の動きを追跡します。これによりアタックパスを可視化し、セキュリティチームによる迅速な対応を確実なものにします。
ここまで取り上げてきたカテゴリー（セキュアな開発、予防的コントロール、ランタイムでの保護）全体にわたって、PCI DSS、GDPR、NISTなどの標準に対するクラウドガバナンスとポリシー適用を簡素化する、統合されたコンプライアンス機能も備わっています。これらの機能は、継続的なコンプライアンスを維持しながら、監査の負担と手作業を削減します。
IDC MarketScape for CNAPP
Wiz was named a Leader in the IDC MarketScape: Worldwide Cloud-Native Application Protection Platforms (CNAPP) 2025 Vendor Assessment
組織のCNAPP要件を見極めるためのステップバイステップのアプローチ
組織に適したCNAPPを選ぶプロセスは、現状を明確に把握することから始まります。その進め方は次のとおりです。
ステップ1：クラウド環境を評価する
CNAPPを選定する前に、自社のクラウドアーキテクチャとすべてのワークロードの依存関係を必ず理解しておきましょう。次の点を自問してください。
自社はAWS、Azure、GCP、あるいは複数プロバイダーの組み合わせ（マルチクラウド）で運用しているか。
アプリケーションは仮想マシン、サーバーレス関数、コンテナのいずれで稼働しているか。
インフラはIaCツールを用いてプロビジョニングされているか。
チームはアプリケーションとインフラのデプロイにCI/CDツールを利用しているか。
適切な評価はクラウドフットプリントの明確なマップを提供し、どのCNAPP機能が最も重要かを判断するのに役立ちます。
ステップ2：既存のセキュリティのギャップを評価する
このステップでは、現在のセキュリティ戦略を評価し、クラウドネイティブアプリケーションを保護するうえでどこに不足があるかを特定します。
次の重要な領域を確認してください。
可視性のギャップ：設定ミスや露出したAPIに関するリアルタイムのインサイトが必要か。
アイデンティティとアクセスのリスク：クラウド環境内に、未使用の認証情報や、脆弱もしくは過剰な権限を持つIAMポリシーが存在するか。
連携されていない個別のポイントソリューション：CSPM、CWPP、CIEMのソリューションがうまく連携しておらず、そのためにブラインドスポットが生じていないか。
セキュリティ上の弱点の評価によって、システムのギャップが明らかになり、全体をカバーするうえで最適なCNAPPを特定しやすくなります。
ステップ3：ビジネス上の優先事項を定義する
適切なCNAPPを選ぶには、組織のセキュリティおよび運用上のニーズと整合させる必要があります。次の基準を用いて優先事項を評価してください。
コンプライアンス：主眼はコンプライアンスの要件を満たすことか、それともリアルタイムの攻撃防御のみに注力しているか。
DevSecOpsとの統合：本番環境へプッシュする前に脆弱性を防ぐためのIaCスキャン機能が必要か。
コスト：そのソリューションは、クラウドフットプリントの拡大に合わせて無理のないコストで拡張できるか。
2025年においてCNAPPを真に差別化するものは何か
クラウド環境が複雑化するにつれ、CNAPPはセキュリティとプラットフォーム全体の保護の両面で不可欠な存在となっています。2025年には、主要なCNAPPは、ネイティブでエージェントレス、かつ開発者に優しいソリューションを提供することで差別化を図っています。こうしたソリューションは、真のリスクを浮き彫りにするだけでなく、開発ライフサイクル全体にわたってそのリスクを発生源までさかのぼって追跡します。
主な差別化のポイントは次のとおりです。
統合されたプラットフォーム：ネイティブ統合によって、セキュリティポスチャ、ワークロード、アイデンティティ、データの各セキュリティ間のギャップを解消します。優れたCNAPPは、セキュリティチームがシームレスな可視性、より迅速な検知、よりシンプルなワークフローを得られる統合システムを構築します。
すべてをスキャンし、即座に展開するエージェントレスファーストのアーキテクチャ：エージェントレスファーストのアプローチを採用するCNAPPは、エージェントのインストールや管理を必要とせず、即座のオンボーディング、導入、可視性を実現。このアプローチにより、セキュリティチームは設定ミス、露出したAPI、アイデンティティのリスク、脆弱なワークロードを特定できます。さらなる利点として、このアーキテクチャは、パフォーマンスを犠牲にすることなく、またセキュリティチームのボトルネックを生むことなく、IaC、コンテナ、APIの継続的なスキャンをリアルタイムで支援します。
code-to-cloudの相関分析：2025年のトップクラスのCNAPPは、進行中の脅威や脆弱性を、その発生源（設定を誤ったIaCテンプレート、Gitコミット内で露出したシークレット、安全でないCI/CDパイプラインのジョブなど）までさかのぼって追跡。これにより、開発者は問題を早期に修正でき、セキュリティチームは根本原因を迅速に特定できます。
文脈に基づくリスクの優先順位付け：ほとんどのクラウド環境は大量のアラートを生成します。だからこそ、優れたCNAPPは脆弱性を単に列挙するのではありません。データの機微性、アイデンティティの権限、ネットワークの脆弱性の相互関係を分析して点と点を結び付け、真のビジネスリスクをもたらすごく一部の問題に優先順位を付けます。選ぶべきCNAPPは、想定されるアタックパスや横移動（ラテラルムーブメント）も提示し、セキュリティチームがアラートノイズを追いかけるのではなく、より的確なセキュリティ判断に集中できるよう支援するものであるべきです。
IDE、PR、CIジョブと連携する開発者ファーストのワークフロー：開発者の作業速度を落とすことなく、あらゆる開発者ワークフローにセキュリティをシームレスに組み込むべきです。IDE、SCM、CI/CDワークフローとのネイティブ統合を提供し、IaCテンプレートをリアルタイムでスキャン。プルリクエストであらゆるセキュリティ上の欠陥を指摘し、CIパイプラインで厳格なポリシーを適用する必要があります。
クラウドネイティブなカバー領域：仮想マシン、コンテナ、サーバーレスワークロード、Kubernetesクラスターなど、さまざまなコンピュートタイプにわたって、徹底的かつ包括的な保護を提供するCNAPPを選びましょう。
ランタイム監視、ポリシー適用、APIの検出と保護、DSPMによるデータ機微性のマッピング、CIEMによる権限・ロール分析がなければ、包括的な保護とは言えないことを忘れないでください。
リアルタイムの検知と対応：進行中の攻撃、設定ミス、不審な挙動が発生した瞬間にそれらを捉え、リアルタイムで検知・対応すべきです。さらに望ましいのは、横移動を自動的にブロックし、攻撃者が機微データやワークロードを侵害する前に悪用経路を封じ込めることです。
policy-as-code：手動のコンプライアンス手法は、クラウド環境がいかに動的であるかを踏まえると、スケールしません。だからこそ、最新のCNAPPはpolicy-as-codeをサポートし、Open Policy Agent（OPA）のようなツールを用いてコンプライアンスを自動化できます。これにより、環境全体でポリシーをコードとして定義・適用可能。優れたCNAPPは、CISベンチマーク、HIPAA、GDPRなどに対応するout-of-the-boxのポリシーに加え、リアルタイムの構成ドリフト検知も提供すべきです。
Wiz Named a Leader in The Forrester Wave™
Forrester’s CNAPP evaluation rated Wiz with the highest Current Offering category score, which we believe reflects our commitment to protecting everything built and run in the cloud.
避けるべきCNAPP選定の落とし穴
寄せ集めのCNAPP
ほとんどのベンダーは完全なCNAPPを提供していると謳いますが、実際には統合されたプラットフォームではなく、買収したツールを組み合わせた、サイロ化した継ぎ接ぎのソリューションになっています。連携が不十分なため、こうしたソリューションは可視性にギャップを生み、そこに脅威が潜む余地が生まれることに。セキュリティチームは、一貫性のないデータフローを抱える複数のダッシュボードを扱わざるを得ず、その結果、アラート疲れが生じ、重要なインサイトが見落とされてしまいます。
クラウド環境全体にわたる可視性を提供する、CSPM、CWPP、CIEMを統合した統合型のCNAPPを常に選びましょう。
ランタイム可視性のないCNAPP
ほとんどのCNAPPはランタイムでの保護をおろそかにしており、ワークロードをライブ攻撃にさらしたままにしています。リアルタイムのワークロード監視、自動応答、脅威検知がなければ、セキュリティチームは悪用や横移動に気付けません。もう1つの難点として、ランタイムセキュリティが不十分な場合、攻撃者がシステムを侵害した後に、悪意ある挙動を封じ込めたりブロックしたりする仕組みが存在しないことが挙げられます。
CNAPPを選ぶ際は、リアルタイムのワークロード監視と脅威検知を提供し、被害が深刻化する前に攻撃を防ぐ自動応答機能を備えたものを選びましょう。
セキュリティが開発者の足かせになるとき（そして適切なCNAPPがそれをどう回避するか）
最新のエンジニアリングチームは高速で動きます。セキュリティツールがそれに追随できるように作られていなければ、脇に追いやられるか無視されてしまいます。そのため、セキュリティツールが開発者のワークフローを妨げると、開発者はそれらを回避するか無効化する可能性が高くなります。この場合、セキュリティは組み込みの機能ではなく、デプロイ後の監査へと後退。残念ながら、SDLCの最後にセキュリティを付け足すやり方では、重大な脆弱性が発見される前に本番環境へ到達してしまいます。
その解決策となるのが、開発者に優しく、ネイティブなIDE/CLI連携を提供することで、開発中に開発者が回避することなく活用できるCNAPPです。
Wizで、クラウドに構築し運用するすべてを守る
Wizは、クラウドが実際に機能する仕組みに合わせて構築されたCNAPPです。導入初日から統合されており、設計段階からエージェントレス、そしてデフォルトで文脈を理解します。
重要な事柄に優先順位を付ける：WizのSecurity Graphは、設定ミス、アイデンティティのリスク、脆弱性、データの露出を結び付けます。これにより、単なるスキャン結果の羅列ではなく、真のアタックパスを修正できます。
クラウドの速度でセキュリティを確保する：エージェントを導入することなく、マルチクラウド環境全体を即座にスキャン。処理の遅延もなく、アセット（資産）の見落としもありません。
開発者に力を与える：プルリクエスト、CIジョブ、IDEから直接修復できます。
リアルタイムで脅威を止める：フィードバックループを回すランタイムでの検知と防御を実現します。
Get a CNAPP Demo
Watch how Wiz connects code, cloud, and runtime into a single risk story
