LASSIC Media らしくメディア
CSPM人材(クラウドセキュリティ)不足を外注で補う
LASSIC IT事業部｜元請（プライムベンダー）としてシステム保守・運用を受託
この記事のポイント
- CSPM（クラウドセキュリティ態勢管理）を担えるエンジニアは国内で著しく希少であり、採用だけでは設定統制の空白が生じやすい
- 外注・委託を活用することで、ツール導入・ポリシー設計・アラート運用・是正対応の4領域を段階的に補完できる
- 委託先の選定では、CSPM対象クラウド（AWS/Azure/GCP）の対応実績とCIS Benchmarks準拠の体制確認が判断の中心軸となる
目次
CSPMとは——クラウドの設定統制を継続的に担う仕組み
CSPM（Cloud Security Posture Management、クラウドセキュリティ態勢管理）とは、クラウド環境における設定ミス・コンプライアンス逸脱・過剰権限付与を自動検知し、継続的に是正する仕組みおよびその運用体制を指します。AWSのSecurity Hub、Microsoft Defender for Cloud（旧Azure Security Center）、Google Security Command CenterのいずれもCSPMを中核機能として位置づけています*1*2*3。
CSPMは単なるツール導入にとどまらず、ポリシー設計・アラートのトリアージ・是正手順の整備まで含んだ継続的な運用プロセスです。総務省は2024年4月に「クラウドの設定ミス対策ガイドブック」を公開しており*4、クラウドの設定不備への対策が重要なテーマとして取り上げられています。CSPMをどのように運用するかが企業のセキュリティ水準を左右します。
CSPM対象となる主な設定リスクは、ストレージの公開設定・IAM（Identity and Access Management、クラウドの認証・認可管理）の過剰権限・ネットワークポートの不要な開放・ログ取得の無効化などです。これらはCSPMツールが自動的に検知し、CIS Benchmarks（Center for Internet Security（インターネットセキュリティセンター）が策定した国際的なセキュリティ基準）やNIST（米国国立標準技術研究所）のフレームワークと照合してリスクを評価します*1。
CSPM人材が希少な理由：複合スキルと市場動向
CSPMを担うクラウドセキュリティエンジニアには、クラウドアーキテクチャ知識・セキュリティポリシー設計・コンプライアンス対応・自動化スクリプティングという複合スキルが必要です。しかし、これらをすべて備えた人材は国内で著しく希少な状況にあります。
経済産業省の「IT人材需給に関する調査」（2019年3月公表）では、2030年にIT人材が約79万人（高位シナリオ）不足すると試算されています*5。なかでも同調査ではサイバーセキュリティ対策を担う人材の不足が特に深刻であることが指摘されており、2020年時点ですでに約19.3万人の不足が見込まれていました*5。
国際調査でも同様の傾向が確認されています。ISC2の「2025 Cybersecurity Workforce Study」（2025年12月公表・世界16,029名回答）では、回答者の88%が「スキル不足に起因する重大なセキュリティ上の影響を過去1年で経験した」と回答しています*6。スキル不足の影響を複数回経験した組織は69%に上り、セキュリティ人材の質的な不足が採用強化だけでは解消できない状況を示しています。
CSPMエンジニアに求められるスキルセット
CSPM運用に必要な主な知識領域は次の通りです。AWS Security Hub・Microsoft Defender for Cloud・Google Security Command CenterなどのCSPMプラットフォームの操作知識が前提となります。これにCIS Benchmarksやコンプライアンスフレームワーク（PCI DSS（Payment Card Industry Data Security Standard、クレジットカード業界のセキュリティ基準）・NIST SP 800-53等）の適用知識が加わります。
さらに、IaC（Infrastructure as Code、コードによるインフラ定義）を活用した設定是正の自動化と、SOC（Security Operations Center、セキュリティ監視センター）やCSIRT（Computer Security Incident Response Team、インシデント対応チーム）との連携運用が実務では求められます。採用市場で即戦力人材を確保するには、半年から1年規模のリードタイムを要することが実務上見られます。
外注・委託で補完できる4つの領域
CSPM運用を外注・委託することで補完できる領域は大きく4つあります。各領域の役割と外注で得られる効果を整理します。
| 補完領域 | 具体的な委託内容 | 内製で担う場合の課題 |
|---|---|---|
| ツール導入・設定 | CSPMプラットフォーム（AWS Security Hub/Defender for Cloud/SCC）の有効化・スコープ定義・統合設定。 マルチクラウド環境の一元管理構成も含む。 |
複数クラウドのAPIと設定体系を把握した人材が必要。 初期設定の誤りが検知漏れに直結するリスクがある。 |
| ポリシー設計 | CIS Benchmarks・NIST・社内セキュリティ規程に基づく検知ルール・除外条件・重要度分類の設計。 業種固有コンプライアンス要件への対応も担う。 |
フレームワーク知識と自社業務の両方を理解した人材が必要。 ポリシーが過広だと誤検知でアラート疲弊が起きやすい。 |
| アラート運用 | CSPMが生成するアラートのトリアージ・優先付け・チケット管理・エスカレーション対応。 定期レポートの作成と経営層向けダッシュボード整備も含む。 |
アラートが大量に発生しやすく、対応ルーティンが整備されていないと放置が起きる。 24時間監視体制は中規模以下の企業では構築が難しい。 |
| 是正・改善支援 | 検知した設定逸脱の修正手順作成・IaCによる是正自動化・再発防止のためのポリシー更新支援。 コンプライアンスレポートの対外提出対応も担う。 |
是正作業には本番環境の変更権限と慎重な手順が必要。 自動化には追加のスクリプト・IaC知識が求められる。 |
4領域すべてを一度に委託する必要はありません。自社のリソースと優先課題に応じて、まず「ツール導入とポリシー設計」を委託し、アラート運用と是正支援を段階的に移管するアプローチが実務上有効です。
内製 vs 外注：判断を分ける3つの比較軸
CSPM運用を内製するか外注するかは、コスト・スピード・リスク感度の3軸で判断できます。各軸の特徴を整理します。
| 比較軸 | 内製体制 | 外注・委託 |
|---|---|---|
| 立ち上げまでの期間 | 採用・育成を要するため半年〜1年規模のリードタイムが必要。 即戦力採用でも市場競争が激しく採用難が続く。 |
委託先が既存の知識・ツール・手順を持つため、数週間〜数か月で運用開始が可能。 |
| コスト構造 | 採用費・給与・教育費・ツールライセンスが固定費として発生する。 退職時のナレッジ流出リスクも考慮が必要。 |
業務範囲に応じた変動費化が可能。 ツール費用は委託先が吸収するケースもある。 |
| ノウハウの蓄積 | 自社固有の業務・システム文脈を深く理解した運用が育まれる。 長期的なセキュリティ内製化のベースになる。 |
委託先のナレッジを得られる一方、自社内への知識移転には意識的な設計が必要。 委託範囲外の判断力は育ちにくい。 |
クラウドを主要なインフラとして利用している企業では、CSPMの運用空白が設定ミスの放置につながります。総務省「クラウドの設定ミス対策ガイドブック」（2024年4月）でも、設定ミスは適切な監視体制があれば防げるものが多いと示されています*4。内製化を将来の目標としつつ、当面の設定統制を外注で維持するハイブリッド方針が現実的な選択肢です。
委託先を選ぶ際の実務的な確認ポイント
CSPM委託先の選定では、以下の観点を確認することが実務上重要です。
対象クラウドの対応実績と範囲
AWS Security Hub・Microsoft Defender for Cloud・Google Security Command Centerのうち、自社が使用するプラットフォームへの対応実績を確認します。マルチクラウド環境では、複数プラットフォームを横断した一元管理の実績があるかを問い合わせましょう。
各CSPMツールはAPI仕様や検知ロジックが異なり、AWS・Azure・GCPの3社でそれぞれ異なる設定体系を持ちます。委託先がどのプラットフォームに深い知見を持つかを、RFP（Request for Proposal、提案依頼書）の段階で明示して確認することが大切です。
CIS Benchmarks準拠の設計体制
CSPMの検知ルールがCIS Benchmarks（CIS AWS Foundations Benchmark、CIS Microsoft Azure Foundations Benchmark等）に準拠しているかを確認します。AWS Security HubもMicrosoft Defender for Cloudも、CIS BenchmarksをCSPMの標準評価基準として採用しています*1。
準拠体制が整っている委託先であれば、コンプライアンス証跡の取得や監査対応もスムーズに進められます。
アラート運用フローと是正の責任分界
委託先がアラートを検知した際の通知タイミング・エスカレーション先・是正作業の責任範囲を、契約前に明文化しておくことが求められます。是正作業（クラウドリソースの設定変更）を委託先が担うのか、自社担当者が担うのかを明確にしないと、アラートが発生しても修正が放置されるリスクがあります。
外注でCSPMを補完する際に生じやすいリスクと対策
CSPMを外注する際には、委託に伴う固有のリスクを把握しておく必要があります。
設定変更権限の管理：最小権限の原則を維持する
委託先にクラウド環境の設定変更権限を付与する場合、IAMロールは業務範囲に必要な権限に絞った最小権限設計（Principle of Least Privilege）にすることが欠かせません。AWS・Azure・GCPはいずれも、ロールベースのアクセス制御（RBAC）により細粒度の権限付与が可能です*1*2*3。
委託先への権限付与を広範にすると、委託先内部での設定ミスや不正アクセスが自社環境に波及するリスクが生じます。「CSPMアラートの閲覧と是正手順の提案は委託先が担い、本番環境への設定変更は自社が最終承認する」という役割分担が一つの実務的な対策です。
ナレッジ移転の設計：社内に知識が残らないリスク
委託期間が長くなると、CSPM運用のナレッジが委託先に集中し、自社内の知識が形成されないリスクがあります。委託契約の中に「定期的な運用レポートの提供」「是正手順書の自社への開示」「担当者引き継ぎドキュメントの整備」を明記することで、内製化や委託先切り替えのときのリスクを下げられます。
コンプライアンスの責任は自社に残る点の認識
CSPM運用を委託しても、情報セキュリティに関するコンプライアンスの最終責任は自社に帰属します。AWS・Microsoft・Googleのいずれのプラットフォームも、クラウドサービス自体のセキュリティはプロバイダが担うものの、その上で動作するリソースの設定はユーザー責任（責任共有モデル）であることを明記しています*1*2。委託先が是正を提案しても自社が承認・実施しなければ設定逸脱は残ります。
まとめ：CSPM補完外注の3つの判断軸
本稿では、CSPM（クラウドセキュリティ態勢管理）の概要から、担い手となるクラウドセキュリティエンジニアの希少性、外注・委託で補完できる4領域、委託先の選定ポイントまでを整理しました。要点を3つに集約すると次の通りです。
第一に、CSPMはツールを導入するだけでなく、ポリシー設計・アラート運用・是正の3プロセスを継続的に回す人材が必要です。経産省・ISC2のデータが示す通り、この複合スキルを持つ人材は国内で著しく希少であり、採用だけで解決するには時間とコストがかかります。
第二に、外注・委託は「全部任せる」ではなく、ツール導入・ポリシー設計・アラート運用・是正支援の4領域を段階的に分担する形で活用することが実務上有効です。内製化を目指す場合も、まず外注で設定統制の空白を埋めることが優先されます。
第三に、委託先の選定では対象クラウドの対応実績・CIS Benchmarks準拠体制・アラートから是正までの責任分界を契約前に明確にすることが、後工程のトラブルを防ぎます。クラウドのコンプライアンス最終責任は委託後も自社に残るため、承認フローの設計は自社が主体的に行う必要があります。
よくある質問
CSPMと既存のセキュリティアーキテクト・SOC・CSIRTとの違いは何ですか？
CSPMはクラウドの設定統制（設定ミス・コンプライアンス逸脱・過剰権限の継続検知）に特化した仕組みです。セキュリティアーキテクトが全体設計を担い、SOCがログ・イベントの監視、CSIRTがインシデント対応を担うのに対し、CSPMはクラウドリソースの設定状態そのものを継続的にスキャンして逸脱を是正することに集中します。既存のSOC/CSIRTと連携させることで、設定起因の脆弱性を早期に除去し、インシデント発生件数を減らす効果が期待できます。なお、SOC/CSIRTを担うセキュリティ人材の不足についてはセキュリティ人材不足（CSIRT/SOC）を外注で補う進め方で解説しています。
CSPM外注の費用感はどのくらいですか？
委託範囲・対象クラウド数・アカウント数・アラート対応の深さによって幅があり、公開された業界統一の費用相場は現時点では確認できていません。一般的に、ツール導入のみの単発支援よりも、ポリシー設計＋月次アラート運用を含む継続契約のほうが総合的なコストパフォーマンスが高いとされています。自社の対象クラウド・アカウント数・コンプライアンス要件を整理した上で複数社へ見積もりを取ることをお勧めします。
CSPMはAWS・Azure・GCPのどのクラウドでも利用できますか？
はい、いずれの主要クラウドでもCSPM機能が提供されています。AWSではSecurity Hub*1、Microsoft AzureではDefender for Cloud*2、GCPではSecurity Command Center*3がCSPMの中核プラットフォームです。複数クラウドを横断した一元管理が必要な場合は、マルチクラウド対応のCSPMツールや、各クラウド公式ツールをAPI連携で統合する方法があります。委託先選定時はマルチクラウド対応の可否と実績を確認してください。
CSPM委託を始めるにあたり、最初に整理すべきことは何ですか？
まず自社のクラウド利用状況（クラウド種別・アカウント数・主要リソース構成）と、コンプライアンス上の要件（PCI DSS・NIST・社内セキュリティポリシー等）を文書化することがスタートです。次に、現状で最もリスクが高い設定領域（ストレージ公開設定・IAM権限等）を絞り込み、優先順位をつけた委託範囲を定義します。これにより、委託先へのRFPが具体的になり、見積もり精度が上がります。
CSPM運用を外注した後、将来的に内製化することはできますか？
できます。外注期間中に委託先からの運用レポート・是正手順書・ポリシードキュメントを受け取り続けることで、自社内のCSPM知識を段階的に育てられます。内製化移行のポイントは、委託開始時から「ドキュメント開示」「定期勉強会」「権限の段階的移管」を契約条件として明記することです。委託先の知識を自社へ移転する意識的な設計がなければ、依存が深まるリスクがあります。
著者：テレリモ総研編集部 鈴木 亮佑
ご不明な点はお問い合わせフォームからもご連絡いただけます。
- *1 出典：Amazon Web Services「What is AWS Security Hub CSPM? – AWS Security Hub」（2024年確認）
- *2 出典：Microsoft「Microsoft Defender for Cloud の概要」（2026年4月更新）
- *3 出典：Google Cloud「Security Command Center | Google Cloud」（2024年確認）
- *4 出典：総務省「クラウドの設定ミス対策ガイドブック」（2024年4月）
- *5 出典：経済産業省「IT人材需給に関する調査 調査報告書」（2019年3月）
- *6 出典：ISC2「2025 ISC2 Cybersecurity Workforce Study」（2025年12月公表）
