用語比較
CSPMとCWPPの違い
一言でいうと
CSPMはクラウドの設定や権限の状態を評価し、CWPPはVM・コンテナなどのワークロードを保護します。誤公開や過剰権限の把握が課題ならCSPM、稼働中の脅威検知が課題なら対応するCWPP機能を確認します。CNAPPという名称だけで範囲を判断せず、対象クラウド・契約・収集方式・応答手順を照合してください。
CSPMとCWPPの違いを、設定評価・脆弱性評価・実行時の検知で比較。CNAPPとの関係、エージェントレスとセンサーの使い分け、無料機能と契約プランの確認方法を解説します。クラウドごとの対応範囲、未収集資産、費用の見積もり単位を点検できる実務導線付きです。
- 難易度
- 中級
- 想定読者
- クラウド運用・情シス・SecOps担当
- 所要時間
- 約12分
- 最終確認
- 2026-11-08
- 1｜台帳と収集範囲を照合
クラウド・アカウント・資産種別・所有者をそろえる。
- 2｜機能と対象を照合
設定評価、脆弱性評価、実行時検知の対応を確認。
- 3｜是正と応答を試験
承認済み環境でログ・担当・復旧まで確認する。
CSPMとは
Cloud Security Posture Management。クラウド資産の設定や権限、関連するリスクを継続的に評価する仕組みです。機能によってはエージェントレスの脆弱性評価なども含みます。
CWPPとは
Cloud Workload Protection Platform。VM、コンテナなどのワークロードを対象に、脆弱性評価や実行時の脅威検知・保護などを提供します。対応する環境と機能はプランごとに確認します。
違いの比較表
| 比較軸 | CSPM | CWPP |
|---|---|---|
| 主な対象 | クラウド資産の設定・権限・リスクの関連 | VM・コンテナなどのワークロード |
| 優先する課題 | 公開設定や権限の不備、資産の取りこぼし | 稼働中の脅威、ワークロードの脆弱性と保護 |
| 収集方式 | API連携、設定評価、対応するエージェントレス評価 | センサー・ログ・API・エージェントレス評価等。機能別に異なる |
| 確認する出力 | 推奨事項、評価時刻、対象資産と例外 | アラート、対象ワークロード、検知時刻と応答結果 |
| 対応の担当 | クラウド管理者・資産所有者が設定を是正 | SecOpsと業務担当が調査・封じ込め・復旧を判断 |
| 費用の単位 | 評価対象資産と有料機能、ログや連携の費用 | VM・コンテナ等の対象数、稼働時間、保護プランとログ |
公開設定の不備が見つかったら、影響確認へ
公開設定とデータアクセスログを分け、所有者・確認時刻・未確認範囲を記録する。判断表で不足した条件を、次の記録へ引き継げます。
クラウド公開設定・ログの確認へ進む使い分け
- 公開ストレージや過剰権限を把握したい場合は、CSPMの対象範囲と所有者への是正依頼を先に整えます。
- 本番VMやコンテナで脅威検知が必要なら、CWPPの対応OS・実行基盤・センサーの正常性と応答権限を確認します。
- 同じ資産で設定不備と脅威の両方を調べたい場合は、共通の資産IDと時刻でCSPM・CWPPの結果を関連付けます。
CSPM・CWPP・CNAPPの関係と、製品を選ぶ条件
CNAPPはクラウドアプリケーションのライフサイクルを横断して保護する枠組みです。Microsoft Defender for Cloudの公式概要では、CSPM・DevSecOps・CWPPを中核に挙げています。CSPMとCWPPの2機能の有無だけで導入完了を判定せず、開発時から稼働時まで必要な機能を列挙します。
対象クラウド、アカウント、リージョン、VM・コンテナ・ストレージの資産種別、評価項目、収集状態を同じ台帳に記録します。たとえば台帳100台に対して評価結果が80台なら、20台の差分を調べます。80%という割合は編集部の計算例で、安全性の点数ではありません。
無料機能と有料プラン、エージェントレスの確認方法
2026年11月8日に確認したMicrosoftの資料では、Foundational CSPMは無料、有料のDefender CSPMには追加の評価機能があります。一部の推奨事項には個別のCWPPプランも必要です。無料版で表示できた資産が、必要なすべての保護機能の対象とは限りません。
Microsoftのマルチクラウド対応表は、Azure・AWS・GCPごとにプランと機能を分けています。クラウド名、機能のGA・プレビュー、導入前提、必要な権限を確認してください。エージェントレスの資産・脆弱性評価と、センサーを使った実行時の検知を別の試験項目にします。
導入試験の手順と、是正・封じ込めの判断
編集部の試験例は、①許可されたテスト資産が台帳に載る、②承認済みの設定変更が評価に反映される、③ベンダーが案内する無害な検知テストの結果を担当へ渡せる、の3段階です。評価時刻とデータ取得時刻を記録し、未取得・権限不足を正常扱いしません。
公開設定の不備には資産所有者が公開目的と業務影響を確認して対応します。稼働中の侵害が疑われるアラートはCSIRT等へ連絡し、承認された封じ込めを進めます。定期評価の次回実行や全件棚卸しの完了を、緊急対応の待機条件にしません。
費用比較では、資産数と保護機能をそろえる
見積もりにはアカウント数だけでなく、保護対象の種類と数、稼働時間、追加ログ、データ保管、連携保守を記載します。たとえば「100台のVM」と「100人の利用者」の単価を直接比較せず、同じ100台で必要な機能が使える条件をそろえます。
見積日、通貨、契約プラン、対象資産、試用終了後の課金、除外した機能を残します。要件を満たすプランが分かった段階で公式料金表や販売窓口に照会し、評価結果から使えない機能を除外してください。
よくある誤解
- CSPMの健全性スコアが高くても、未接続のアカウントや未収集のワークロードまで評価済みにはなりません。
- エージェントレス評価が有効でも、連続したプロセス挙動の監視が有効とは限りません。
- CNAPPの統合画面があっても、クラウド別・機能別の契約と導入条件を確認する必要があります。
よくある質問
CSPMとCWPPはどちらから導入すべきですか？
誤公開や設定・権限の不備が課題ならCSPM、稼働中のワークロードの脅威検知が課題なら対応するCWPP機能を優先して確認します。両方必要な環境では同じ資産台帳で管理します。
CSPMがあれば脆弱性評価もすべてできますか？
対応する製品・プランでは脆弱性評価を含みますが、対象クラウド・資産・収集方式で範囲が変わります。必要な資産が実際に評価されているか照合してください。
エージェントレスならセンサーは不要ですか？
必要な機能によります。スナップショット等の評価と、実行時の連続的な挙動検知は分け、要求する検知に必要なセンサーやログを確認します。
CNAPPを契約すればCSPMとCWPPは使えますか？
製品名だけでは決まりません。契約プラン、対象クラウド、導入状態、権限、取得データを照合し、必要な評価と検知を試験します。
編集・確認情報
CyberLens編集部がMicrosoftの現行概要・CSPM機能・マルチクラウド対応表を照合しました。製品機能は当該製品の例です。台数・受入試験・見積もり項目は編集部の設計例で、製品の導入試験や専門家監修は実施していません。 最終確認日は 2026-11-08 です。
参考資料は用語・設計・機能例の確認先です。製品ごとの範囲は異なり、特定製品の推奨や比較全体の公式認定ではありません。資料の公開時点と現行の公式案内も合わせて確認してください。
新しい解説を見逃さない
CVE・KEVの初動対応や実務チェックリストは随時追加しています。使いやすい方法で更新を受け取れます。