CIEMとは？クラウドの権限管理とCSPM・CWPPとの違い

設定ミスを防ぐCSPMが広く知られる一方で、「正当な権限」を使った不正な操作への備えが課題になっており、設定の点検だけでは守りきれない領域があります。本記事では、CIEMの本質、なぜ今必要なのか、CSPMやCWPPとの違い、導入・運用時のポイント、ツール選びの観点、そしてその限界と補完策まで、具体例をもとに解説します。

はじめに：過剰な権限が招く危険性

たとえば、次のような状況を想定してみましょう。開発チームが誤って全社員にAWSの管理者権限を付与してしまい、一人の従業員が誤操作で本番データベースを削除してしまう。さらに、同じ権限を持つ外部コンサルタントが、その権限を悪用して顧客データをS3バケット経由で不正に持ち出せる状態になっている――。

このような事態が起きる根本原因は、単なる設定ミスではありません。

注目すべきは、ストレージの公開設定や暗号化といった個々の設定項目に明らかな不備がなくても、「過剰な権限」が付与されていれば、その権限を使った操作は「正当なアクセス」として実行できてしまう点です。

これは、CSPM（Cloud Security Posture Management）による設定の点検だけでは捉えにくい「権限のガバナンス」が、クラウドセキュリティの重要な課題であることを示しています。

CIEMとは何か？—「誰が、何に、何ができるか」を制御する技術

CIEM（Cloud Infrastructure Entitlement Management）とは、クラウド環境における権限を継続的に可視化・分析し、過剰な権限などのリスクを管理する仕組みです。この「エンタイトルメント（権限・特権）」という概念は、クラウドアクセス管理の中核をなすものです。

具体的には、エンタイトルメントには以下のようなものが含まれます。

AWSのIAMポリシー
Azureのロール割り当て（RBAC）
Google CloudのIAMバインディング

つまり、ユーザー・サービスアカウント・ロールに付与された権限の集合のことです。人のアカウントに加え、アプリケーションや自動処理が使うサービスアカウントやロールも対象になります。

また、利用者へ直接付与した権限だけでなく、グループやロールの引き受け、リソース側のポリシーも関係するため、「誰が何にアクセスできるか」は一つの設定画面だけでは判断しにくい場合があります。権限リスクを扱う製品実装の一例としては、MicrosoftのCIEM機能の説明が参考になります。

CIEMの核心：最小権限原則の実現を支える

CIEMが解決する課題は明確です。例えば、次のような状況を考えてみてください。

「仮に、S3バケットへのフルアクセス権限を持つIAMユーザーが100人いるが、過去90日間で実際に使ったのは3人だけだったとする。残り97人は本当にその権限が必要なのか？」

CIEMは、このような「未使用・過剰な権限」を検出し、最小権限原則（Principle of Least Privilege）に基づいて必要最小限の権限へ見直すことで、セキュリティリスクを低減します。ただし、一定期間使われていない権限をすぐに削除してよいとは限りません（後述）。

最小権限原則とは、ユーザーやサービスに対して「必要最小限の権限のみを付与する」というセキュリティの基本原則です。この原則は、

攻撃対象領域の縮小 – 不要な権限が悪用される可能性を減らす
被害の局所化 – 万が一侵害されても影響範囲を最小限にとどめる
管理負荷の軽減 – 必要な権限のみを管理することでガバナンスを簡素化

といった複数のメリットをもたらします。しかし、大規模なクラウド環境では、膨大なIDと権限を手作業で見直し続けるのは現実的ではありません。CIEMは、権限の設定と利用状況を継続的に収集・分析し、見直すべき権限を示すことで、この原則を実務で運用しやすくするアプローチです。

なぜ今、CIEMが必要なのか

クラウド環境の「権限爆発（Permission Sprawl）」

近年、マイクロサービスアーキテクチャの採用やTerraformなどのIaCツールの普及、そして複数クラウドの併用により、権限管理の複雑さは格段に増しています。具体的には

一つのクラウドアカウントの中にも、人・アプリケーション・自動処理ごとに多数のIAMロールやサービスアカウントが作られやすい
AWS、Azure、Google Cloud など複数のクラウド間で複雑に絡み合ったアクセス権限が日常的になり、手作業だけで適切に管理するのは難しい状況に

クラウドの責任共有モデルにおけるユーザーの役割

AWSが提唱する責任共有モデルでは、「クラウド内のセキュリティ」はお客様（利用者）の責任範囲であると明確に述べられています。

つまり「誰にどのような権限を与えるか」はクラウド利用者側の責任であり、クラウドプロバイダーが権限の不適切な付与を自動的に防止してくれるわけではありません。

CIEM・CSPM・CWPPの比較 — 混同されやすい3つの違いを整理

項目	CIEM	CSPM	CWPP
保護対象	アイデンティティと権限（IAM、ロール、ポリシーなど）	クラウド設定（セキュリティグループ、公開バケット、暗号化設定など）	クラウド上のワークロード（VM、コンテナ、サーバーレス関数など）
主な目的	過剰な権限の特定と最小権限原則の実現	設定ミスの検出と修正	ワークロード上の脆弱性や不正プロセスの検出
具体例	「このIAMユーザーには業務に不要なEC2停止権限が付与されている」	「このS3バケットが誤って一般公開設定になっている」	「このEC2インスタンスにはLog4j脆弱性が存在する」

なお、IDの認証やアクセス制御を設定するのはIAMの役割です。CIEMは、IAMなどで設定された権限の関係や利用状況からリスクを評価する点で、IAMそのものとは役割が異なります。

また、製品によって機能は重なります。CSPMに権限点検の項目があっても、権限の利用履歴や間接的なアクセス経路まで分析できるとは限りません。名称より、必要な調査ができるかを確認します。

補足：CNAPPという統合アプローチ

CNAPP（Cloud-Native Application Protection Platform）は、CSPM、CIEM、CWPPなどの機能を組み合わせ、クラウドで動くアプリケーションを開発から運用まで横断して保護するための考え方・製品群です。

CIEMは、CSPMやCWPPと並んでCNAPPに含まれる主な機能の一つに数えられます。ただし、CNAPPという名称だけで全製品の対応範囲が揃うわけではなく、権限をどこまで分析できるかは製品ごとに異なります。詳しくは『CNAPPとは？CSPM・CWPP・CIEMとの関係と選定のポイント』で解説しています。

CIEMを導入・運用する際のポイント

未使用の権限を削除する前に

一定期間使われていない権限でも、月次処理や障害復旧時だけに使われる場合があります。先ほどの「90日間で3人しか使っていない」という例でも、残りのユーザーが定期処理や障害対応のときだけ権限を使っている可能性を確認する必要があります。観測期間、対象業務、権限の所有者を確認し、削除候補をそのまま本番へ適用しないことが大切です。

たとえばバッチ用ロールを見直すなら、通常処理だけでなく、再実行や例外処理も動くかを検証します。段階的に権限を減らし、失敗時に戻す方法も用意します。自動修正の有無と、修正前の承認方法は別々に確認してください。

ツール選びで確認する項目

利用するクラウドとIDの種類を扱えるか。
評価に必要な情報を、どの権限と頻度で取得するか。
推奨する変更の理由と影響する資産を確認できるか。
例外、承認、再評価を運用に組み込めるか。

CIEMの限界と統合セキュリティの必要性

CIEMは強力な仕組みですが、これだけで企業のセキュリティを完全に守ることはできません。ここでは、CIEMの主な限界と、それを補完するアプローチを紹介します。

限界1：シャドーITの把握が困難

各部門が独自に契約した「見えないクラウドアカウント」はCIEMの監視範囲外になります。この問題に対処するには、ASM（Attack Surface Management）を導入して、企業全体の外部公開リソースを可視化することが効果的です。

限界2：アプリケーションレベルの脆弱性には対応できない

権限管理が完璧であっても、アプリケーション自体に脆弱性があれば攻撃は成功してしまいます。この課題に対しては、SBOM（ソフトウェア部品表）による構成把握とDAST（動的分析）による脆弱性検出を組み合わせることが重要です。

限界3：正規認証情報の不正取得を完全には防げない

フィッシングなどのソーシャルエンジニアリング攻撃による認証情報の窃取は、権限管理だけでは防ぎきれません。多要素認証（MFA）で盗まれたパスワードだけではログインできないようにし、UEBA（ユーザー行動分析）で不審なアクセスパターンを検知する、といった対策を組み合わせる必要があります。

こうした限界を克服するためには、CIEM・CSPM・ASM・アプリケーションセキュリティを統合したプラットフォームが理想的です。これらの要素が連携することで、クラウド環境全体を「多層防御」で保護できます。

統合セキュリティプラットフォームの利点は、セキュリティチームの業務効率化にあります。単一のダッシュボードでリスクを一元管理できれば、複数ツールからの膨大なアラートに疲弊することなく、本当に重要な脅威への対応に集中しやすくなります。

まとめ

クラウドセキュリティの焦点は、「設定ミス」の防止に加えて、「誰が何にアクセスできるか」という権限管理へと広がっています。

CIEMは、組織内に潜む過剰な権限を可視化し、最小権限原則を実務レベルで運用するための有力な手段です。

ただし、包括的な防御体制を構築するには、CIEMをCSPM、ASM、SBOM、DASTなどと組み合わせた統合的なセキュリティ管理が必要不可欠です。

弊社のSecurifyでは、外部公開資産を把握するASM、クラウドの設定ミスを検出するCSPM、ソフトウェアの構成と脆弱性を管理するSBOM、WebサイトやAPIの脆弱性を調べる脆弱性診断を提供しています。Securify CSPMは、AWS・Google Cloud・Microsoft Azureなど6つのクラウドに対応し、公開設定や過剰な権限、MFAの未設定といった設定リスクを継続監視して、修正手順を示します。

権限の利用状況の分析や最小権限ポリシーの自動生成など、CIEMとして必要な機能がある場合は、具体的な要件と対応範囲を個別にご確認ください。詳細については、お気軽にお問い合わせください。

SecurifyのCSPM機能についてはこちらでご紹介しております。併せてご覧ください。

参考文献

AWS Shared Responsibility Model: https://aws.amazon.com/compliance/shared-responsibility-model/
Microsoft Learn（Microsoft Defender for CloudのCIEM機能）: https://learn.microsoft.com/en-us/azure/defender-for-cloud/permissions-management