CNAPP（Cloud Native Application Protection Platform）はアメリカのガートナー社が提唱している概念である。クラウド環境のリスクを継続的に把握・対処する統合型セキュリティ基盤で、クラウド開発の初期段階から稼働中のシステムまで幅広い対象を保護している。昨今急速にクラウドツールの利用が拡大していることに伴い、クラウド上のセキュリティが課題になるケースが増え、その解決策として、多くの企業で導入の検討が進んでいる。

CNAPPの主要構成要素について、以下の5点を解説する。

Container Image Scanning

Container Image Scanningとは、Dockerなどでパッケージ化されたアプリケーションのイメージに潜む脆弱性を検出する手法である。開発からデプロイまでの過程に組み込むことで、潜在的セキュリティリスクを早期に洗い出せる。

CSPM

CSPM（Cloud Security Posture Management）は、クラウド環境の設定状態を継続的にチェックする仕組みである。権限設定やポリシーに不備がないかを確認することで、セキュリティリスクを抑える。設定の一貫性を保つことで、ベストプラクティスに沿った運用を実現できる点もメリットである。

IaC Scanning

IaC Scanning（Infrastructure as Code Scanning）は、インフラの構成をコードとして管理する仕組みに着目し、そのコード自体にセキュリティスキャンを行う手法である。デプロイ前に問題を洗い出せるため、本番環境でリスクを軽減できる。

CIEM

CIEM（Cloud Infrastructure Entitlement Management）は、クラウド上のIDとアクセス権限状況について正確に管理する仕組みである。IDや権限の付与状況を適切に管理することで、メンバーへの過剰な権限の付与に伴うリスクを抑制する。

CWPP

CWPP（Cloud Workload Protection Platforms）は、仮想マシンやコンテナなどクラウドワークロードを保護する仕組みである。稼働中の環境で不審な挙動がないかを検知し、ネットワーク制御も行う。これにより、ワークロード実行時のセキュリティを総合的に確保できる。

システム開発の高速化や運用の多様化に伴い、クラウド環境には特有のリスクが潜んでいる。CNAPPが具体的にどのようなビジネス課題を解決するのか、四つのポイントに分けて解説する。

設定ミスに伴うトラブル

クラウド環境では、設定ミスによるセキュリティインシデントが多い。ストレージの公開設定やアクセス制御の誤りなど、利用者側のミスで発生するケースが大半を占め、設定ミスから重大な脆弱性につながることもある。

権限管理の難しさ

開発速度を重視した結果、各メンバーに必要以上の権限を付与してしまうケースも少なくない。特に、マイクロサービスが増えると権限管理は一層複雑化し、わずかな設計ミスであっても、そこを足がかりに攻撃を受けるリスクがある。

シャドーIT

CI/CDパイプラインの自動化が進んだことで、管理者が把握しないうちにクラウドサービスで新しい実行環境が立ち上がってしまうケースがある。このようなシャドーITは監視の目が行き届かず、セキュリティリスクの温床になりかねない。

望まない情報拡散

クラウド上では、情報を正しく制御しないと瞬時に拡散される。そのため、本来公開すべきではない情報を誤って公開してしまった場合、第三者によってスキャンされてセキュリティインシデントの原因になりかねない。また、世界中のどこからでも情報にアクセスできるため、自分たちが認知しない間に被害が出ている可能性すらある。

開発の初期段階から本番環境までを一気通貫でカバーするCNAPPは、企業に強固な防衛力をもたらす。導入によって現場が享受できる具体的なメリットを、三つの視点からひもといていく。

リスクの可視化

CNAPPは、複数のセキュリティ機能を一つの基盤にまとめることで、インフラ・ワークロード・アプリケーションに至るまでクラウド環境の現状を幅広く可視化できる。これにより、クラウド全体のリスクを数値で評価でき、セキュリティ担当者は対応の優先度をつけながら順番に対応できる。

クラウドセキュリティの複合化

CNAPPは、インフラの構築から権限管理、アプリケーションやデータの保護まで、これまで別々のツールで担っていた機能をまとめて実行できる。複数ツール間で情報をやり取りする手間がなくなるため、人的なミスが減り、リスクを発見してから修復までにかかる時間も大幅な短縮が期待される。

ソフトウェア開発の安全性確保

CI/CDを取り入れる開発チームでは、CNAPPをそのパイプラインに組み込むことでセキュリティ向上に大きく貢献する。インフラの構成をコードとして記述するIaCの変更内容をスキャンすることで、設定ミスを検知できるうえに、安全性を満たさないまま本番環境が展開される事態を防げる。

CNAPPはアメリカのガートナー社が提唱している概念で、CSPMやCWPPなどでクラウドセキュリティを包括的かつ継続的に把握・対処する概念である。

クラウド環境には、設定ミスに伴うトラブルやシャドーITなどセキュリティ上の課題も多い。CNAPPは、クラウドセキュリティの統一やソフトウェア開発の安全性を確保することでクラウド環境のセキュリティ対策に寄与する。

自社のクライアントには、クラウド環境の安全性を高める手段として、CNAPPの活用を提案してみるのもよいだろう。