Managed CNAPP: クラウドネイティブ セキュリティ運用をアウトソース

Managed CNAPPとは何か？

Managed CNAPPは、プロバイダーがお客様に代わってクラウドネイティブアプリケーション保護プラットフォーム（CNAPP）とそのセキュリティ運用を実行するサービスモデルです。プラットフォームの所有権はお客様にあります。説明責任も同様です。変わるのは、その監視を担う人員です。

その監視に求められる基準は、現在では連邦政策に明記されています。2024年12月、CISAのBinding Operational Directive 25-01は、設定ミスのある制御によって攻撃者にデータ流出への経路が与えられたことを受け、連邦民間機関に対し、クラウドの設定ミスを特定して修正し、クラウドテナント全体で継続的な監視を実施するよう命じました。重要なのは「継続的」であることです。運用しているすべてのアカウントにわたってそのレベルのカバレッジを維持するのは、少人数のチームが24時間体制で担える作業ではほとんどなく、そのギャップを埋めるためにManagedモデルが存在します。

Managed CNAPPとサイバーセキュリティの関係

クラウドネイティブセキュリティは、設定、アイデンティティ、ワークロード、Kubernetesにまたがり、各レイヤーは24時間体制で検出結果を生成します。 

CNAPPは、これらのレイヤーを1つのプラットフォームに統合します。Managedモデルでは、その背後に人員配置されたチームが置かれるため、公開されたストレージバケットや過剰な権限を持つロールが、日中と同様に夜間や週末でも攻撃者から到達可能である状況においても、カバレッジが維持されます。プロバイダーが運用を実行しますが、 責任共有モデルの下では、お客様の組織がクラウドセキュリティ態勢と規制コンプライアンスに対する説明責任を引き続き負います。

Managed CNAPPサービスの中核コンポーネント

Managed CNAPPサービスには2つのレイヤーがあります。検出結果を生成するプラットフォームと、それに対応する人員およびプロセスです。

基盤となるCNAPPがカバーする内容

このプラットフォームは4つの機能を統合しており、Managedプロバイダーがそれぞれのレイヤーを運用することで、お客様のチームはビルドからランタイムまで、クラウドリスクを1か所で把握できます。

• Cloud security posture management (CSPM)は、オープンなストレージバケットから緩いファイアウォールルールまで、クラウドインフラ全体の設定ミスとコンプライアンス違反を検出します。
• Cloud workload protection (CWP) は、パブリック、プライベート、ハイブリッド環境全体で、コンテナ、仮想マシン、サーバーレス機能、サーバーをランタイムで保護します。
• Cloud infrastructure entitlement management (CIEM)は、人間および非人間アイデンティティの権限を分析し、過剰な特権を検出して最小権限ポリシーを適用します。
• Kubernetes security posture management (KSPM)は、Kubernetesクラスターに対して 設定ミスのチェックを実行し、コンプライアンス整合性を検証します。

これらを組み合わせることで、お客様のクラウドに関する4つの具体的な問いに答えます。どの設定とコンプライアンス制御がドリフトしたか（CSPM）、どの実行中ワークロードが攻撃を受けているか（CWP）、どの人間および非人間アイデンティティが必要以上のアクセス権を持っているか（CIEM）、そしてどのKubernetesクラスターに設定ミスがあるか（KSPM）です。

プラットフォームはこれらの検出結果を継続的に報告しますが、それらをトリアージしたり、悪用可能性に基づいて順位付けしたり、担当者に割り当てたりはしません。それがManagedサービスが担う作業です。

Managedサービスが追加するもの

ライセンスされたプラットフォームに加えて、プロバイダーは日々の運用を実行する人員配置済みの運用レイヤーを提供します。

プロバイダーの人員体制と定義された対応時間が、このサービスが単独運用可能なプラットフォームに追加する要素です。単独運用が適切な判断かどうかが、次の問いです。

Managed CNAPPの仕組み

Managed CNAPPサービスは、6つのフェーズにわたる継続的なループとして動作します。プロバイダーが運用ステップを担います。お客様のチームは、検出結果が対応すべき作業に変わる地点でこのループに入るため、責任がどこでお客様側に戻るのかを正確に把握できます。

1. オンボーディングと統合。 プロバイダーは、AWS、Azure、GCP、およびお客様が利用するその他のプロバイダー全体のクラウドアカウントに接続します。開発者アカウントを含むすべてのアカウントへの完全な導入により、チューニング開始前のベースラインを設定します。
2. エージェントレススキャンとランタイムカバレッジ。 プロバイダーは2つの可視化レイヤーを有効化します。エージェントレススキャンは、ワークロードにソフトウェアをインストールすることなく、クラウドプロバイダーのAPIを照会して設定、権限、脆弱性を評価します。エージェントベースまたはセンサーベースのカバレッジは、Kubernetesクラスターおよびコンテナまたは仮想マシン（VM）内のワークロードに対してリアルタイムのランタイム保護を追加します。
3. 継続的監視。 スキャンは継続的に実行されるため、新しいアカウント、ワークロード、設定変更は出現次第カバレッジに組み込まれます。態勢と脆弱性の状況は、チェックポイント間でも最新の状態に保たれます。
4. アラートのトリアージと優先順位付け。 プロバイダーは誤検知を除外し、確認済みの検出結果を悪用可能性と露出度に基づいて順位付けし、その順位にはビジネスへの影響も反映されます。
5. 修復とインシデントレスポンスへの引き継ぎ。 プロバイダーは、対応に必要なコンテキストを添えて、優先順位付けされた検出結果を責任を持つチームに割り当てます。プロバイダーは検出、トリアージ、ルーティングを担います。お客様のチームは修復の実行を担います。
6. レポート作成。 プロバイダーは、定義された頻度で、セキュリティ指標をビジネス成果に関連付けたレポートを提供します。

このループは止まりません。唯一の問いは、誰がそれを運用すべきかということです。自社チームか、プロバイダーか。 

クラウドネイティブセキュリティ運用をアウトソースすべきタイミング

CNAPP運用を社内で実行するか、プロバイダーに委ねるかの選択は、お客様のチームの人員体制、専門性、カバレッジ要件、およびコントロール要件によって決まります。

アウトソースのスペクトラムには、3つのサービスモデルがあります。

• Self-managed CNAPPは、プラットフォームをライセンスし、社内で運用することを意味します。お客様のアナリストが監視を担当し、検出結果をチューニングし、アラートをトリアージし、修復を推進します。
• Co-managed CNAPPは、プロバイダーがプラットフォームと運用上の専門性を提供し、オンボーディング、チューニング、アラートの優先順位付け、エスカレーション支援を担うことを意味します。調査と修復判断の主たる所有権はお客様が保持します。
• Fully managed CNAPPは、プロバイダーが監視、トリアージ、調査、修復調整に関する運用責任を負うことを意味します。お客様はガバナンス権限と、割り当てられた検出結果に対する修復実行を保持します。

このスペクトラムのどこに位置するかによって、何に対して費用を支払い、何を引き続き自社で担うのかが決まります。次の問いは、特定のプロバイダーがお客様のクラウド環境全体にわたってそれを提供できるかどうかです。

Managed CNAPPプロバイダーを評価する際のポイント

Managed CNAPPプロバイダーは、2つのカテゴリで評価されます。契約を規定するサービスレベルのコミットメントと、クラウド環境全体をカバーできるかを左右する技術的統合です。

SLAに関する考慮事項

測定可能なサービスレベル契約（SLA）は、具体的で期限の明確なコミットメントを定義します。曖昧なSLAは、「迅速な対応」を約束しても、その迅速さが何を意味するかを示しません。MITREの クラウドSLA分析では、パフォーマンスレベルの定義方法や、プロバイダーと利用者の間でリスクがどのように分担されるかに大きなばらつきがあることが示されました。形容詞ではなく、定義を確認してください。

SLAを評価する際は、運用リスクに対応するコミットメントに注目してください。

• 確認済み検出結果に対する対応時間とオンコールのエスカレーションモデル
• 対応時間帯とアラートトリアージのターンアラウンドタイム
• 誤検知の処理率と修復ルーティングの速度
• レポート頻度

契約上拘束力のあるSLAを求めてください。プロバイダーがSLAパフォーマンスを透明性高く報告するか、またSLA未達時に何が起こるかを確認してください。

マルチクラウド統合要件

お客様のプロバイダーは、運用しているすべてのクラウド環境に接続できなければなりません。エージェントレスのオンボーディングを評価してください。プロバイダーがどれだけ迅速にAWS、Azure、GCPの各アカウントに接続し、スキャンを開始できるかを確認します。さらに、利用している追加のクラウドプロバイダーにもカバレッジが拡張されるかを確認してください。たとえば、 SentinelOne's Singularity™ Cloudは、単一のコンソールからAWS、Azure、GCP、Oracle Cloud Infrastructure (OCI)、Alibaba Cloudをカバーします。

コンテナおよび Kubernetesのカバレッジを評価してください。プロバイダーの基盤となるCNAPPは、お客様のKubernetesクラスター、コンテナレジストリ、サーバーレス機能をカバーしていますか。どのデータが環境外に出るのか、どこに保存されるのか、そしてプロバイダーのアーキテクチャがお客様の規制要件を満たすかを確認してください。

CIEMは、アイデンティティおよびアクセス管理（IAM）ポリシーにおける設定ミスの評価と修復をカバーすべきです。

Managed CNAPPの課題と制限

クラウドネイティブセキュリティ運用のアウトソースは、契約が適切に運用されている場合でも継続する構造的制約をもたらします。

1. 直接的な可視性の低下。 お客様のCNAPPを運用するプロバイダーは、お客様のチームと生の検出結果の間に位置します。Carnegie Mellonの Software Engineering Institute (SEI)は、このリスクをクラウドアウトソーシングにおいて文書化しています。組織は引き渡した資産と運用に対する可視性とコントロールを失い、それを回復するには、オンプレミスのネットワークログが以前提供していた監視と分析が必要になります。
2. 責任境界の曖昧さ。  責任共有モデルはここに組み込まれています。Managedプロバイダーはお客様の責任レイヤー内で運用し、お客様の組織はクラウドプロバイダーおよび規制当局に対する説明責任を引き続き負います。
3. プロバイダー依存とロックイン。標準化されていないデータ形式、独自API、プロバイダー固有ツールへの依存により、プロバイダー切り替えのコストと労力は当初の想定より高くなります。
4. サプライチェーンリスクとしてのプロバイダー。サードパーティにクラウド環境への運用アクセスを付与すること自体が、管理すべきリスクです。英国の NCSCは、制御されず監視されないサードパーティアクセスはアンチパターンであると指摘しています。管理または運用機能をアウトソースすると、システムの安全性維持を別組織に依存することになります。そのアクセスを制限してください。スコープ境界を定義し、プロバイダーの活動を監視し、そのスタッフ、プロセス、技術を継続的にレビューしてください。
5. アラートから対応までの引き継ぎにおける遅延。 お客様のチームの対応を必要とするすべての検出結果は、プロバイダーのトリアージおよびルーティングプロセスを通過します。この引き継ぎが修復を遅らせる可能性があります。
6. 変化の速い環境におけるカバレッジ遅延。新しいアカウントやワークロード、サービスはオンボーディングサイクルの合間に出現し、プロバイダーのカバレッジは最後の統合チェックポイント時点で構成されていた環境を反映します。

これらはいずれも既知の障害モードです。既知の障害モードは設計可能です。以下のプラクティスは、それらが損失を生む前に塞ぎます。

Managed CNAPPのベストプラクティス

うまく機能する契約には、いくつか共通する運用習慣があります。それぞれが、アウトソースされたセキュリティ業務を停滞させる障害モードを塞ぎます。

プロバイダーが1件でも検出結果を割り当てる前に、責任共有の境界を書面で定義してください。クローズの所有権が検出結果の種類ごとに割り当てられていない場合、双方が相手の責任だと想定する間に、結果は未解決のまま残ります。同じ明確さは、お客様自身の説明責任も保護します。プロバイダーが運用を実行し、お客様の組織は引き続きクラウドセキュリティ態勢、規制コンプライアンス、および修復実行を担います。

プロバイダーを、すでに運用しているワークフローに組み込んでください。各エスカレーションタイプを既存のIR runbooks内の社内担当者にマッピングし、プロバイダーの検出結果が、お客様のプロセスに組み込める構造化された対応作業として届くようにします。 

また、CNAPPコンソールとプロバイダーのレポート出力への自社アクセスも維持し、プロバイダー自身の数値に対して独立してパフォーマンスを検証できるようにしてください。契約の残りの部分についても、定められた頻度で確認する数値に基づいて管理してください。

• 契約したSLAを追跡し、定義されたスケジュールでレビューしてください。誰も測定しないSLAには運用上の重みがありません。
• レポートをビジネス成果に結び付け、各レビューがセキュリティ指標とそれが保護する業務を関連付けるようにしてください。
• 開発者アカウント、ステージング環境、新規にプロビジョニングされたクラウドアカウントを含め、稼働中の環境に対してカバレッジ監査を実施してください。

カバレッジより先に価格で選ぶのは高くつく近道です。環境の一部しか監視しない低コストのプロバイダーは、残りを未監視のままにします。

CNAPPバイヤーズ・ガイド

お客様の組織に最適なクラウドネイティブ・アプリケーション保護プラットフォームを見つけるために必要なすべての情報をご覧ください。

ガイドを読む

SentinelOneでManaged CNAPPを強化する

Singularity Cloud SecurityはSentinelOneのCNAPPです。ビルド時からランタイムまで動作し、エージェントレスの態勢管理とリアルタイムのワークロード保護を、クラウドアカウント、コンテナ、Kubernetes、AIサービス、サーバーレス全体で提供します。1つのコンソールでAWS、Azure、GCP、OCI、Alibaba Cloudをカバーします。 

エージェントレスレイヤーである Singularity Cloud Native Securityは、Verified Exploit Pathsを通じて、どの検出結果が実際に悪用可能かを確認するため、プロバイダーは価値の高い検出結果を適切な担当者に割り当て、ノイズに費やす時間を減らせます。ランタイムでは、プロセス停止、ネットワーク分離、ファイル隔離、pod切断を含む自動対応アクションにより、アナリストが介入する前にインシデントを封じ込めます。Singularity Platformは、エンドポイント、クラウド、アイデンティティのテレメトリーを1つのエージェント、コンソール、データレイクに統合します。2024 MITRE ATT&CK® Evaluationsでは、100%の識別率でアラート数が88%少ないという結果を記録しました。

 Purple AI™により、自然言語による脅威ハンティングとエージェント型調査によって、アナリストが証拠収集に費やす時間を削減できます。IDCの2025年4月のsnapshotでは、脅威特定が63%高速化し、修復が55%高速化したとされています。プロバイダーはこれらすべてをお客様に代わって運用できます。少人数の社内チームでも直接運用できます。

SentinelOneのデモを予約して、Singularity Cloudがチームの負担をどのように軽減するかをご確認ください。

クラウド・セキュリティ・デモ

SentinelOne製品のエキスパートとの1対1のデモで、AIを活用したクラウドセキュリティがどのように組織を保護できるかをご覧ください。

デモを見る

重要なポイント

Managed CNAPPは、クラウドネイティブアプリケーション保護プラットフォームの運用負荷を、監視、トリアージ、修復ルーティングをお客様に代わって担うプロバイダーに移転します。アウトソースするかどうかの判断は、お客様のチームの人員体制、必要なカバレッジ、およびクラウド環境の複雑性によって決まります。 

成功する契約は、明確に定義された責任境界、測定可能なSLA、インシデントレスポンスのワークフローへの統合、そして継続的なカバレッジ検証に支えられています。この4つを正しく実施すれば、アウトソースはコントロールの喪失ではなくなります。境界を定めるのはお客様であり、ガバナンスを保持するのもお客様です。そして、午前3時にアラートをトリアージする役割から解放されます。