// シス担のミカタ
クラウドセキュリティ

CIEM（Cloud Infrastructure Entitlement Management） しえむ

クラウド権限管理最小権限の原則IAM過剰権限CSPMゼロトラスト
CIEMについて教えて

簡単に言うとこんな感じ！

クラウド上の「誰が・何に・どこまでアクセスできるか」を一括管理して、余分な権限を自動で見つけてくれるツールだよ！「あのユーザー、もう退職したのに管理者権限が残ったまま…」なんて怖い状況を防いでくれるんだ！

CIEMとは

CIEM（Cloud Infrastructure Entitlement Management）とは、クラウド環境におけるユーザー・サービス・アプリケーションの「権限（エンタイトルメント）」を一元的に可視化・管理・最適化するセキュリティソリューションのことです。「シエム」と読まれることが多く、2020年代に急速に注目を集めたクラウドセキュリティの新領域です。

クラウドを使い始めると、開発者・運用担当・外部サービスなど、膨大な数の「誰か」がクラウドリソースにアクセスするようになります。その結果、「とりあえず強い権限を与えておこう」という運用が積み重なり、実際には必要以上に広い権限（過剰権限）が放置される問題が世界中で起きています。CIEMはこの”権限の肥大化”を自動で検出・修正し、最小権限の原則（必要最低限の権限のみ付与する考え方）を実現します。

AWS・Azure・Google Cloudなど複数のクラウドを使うマルチクラウド環境では、権限の管理が各クラウドのダッシュボードに分散してしまい、人手での把握は困難です。CIEMはこれらを横断的に統合管理し、リスクのある権限設定を自動検出してアラートや修正提案を出すことで、情報漏えいや不正アクセスのリスクを下げます。

CIEMの核心：「誰が・何に・どこまで」を管理する

CIEMが管理する「権限」は非常に多岐にわたります。人間のユーザーだけでなく、サービスアカウントやアプリケーションまで対象となるのが特徴です。

対象（誰が）例
人間のユーザー社員、外部委託先、退職者
サービスアカウントLambda関数、EC2インスタンスのIAMロール
アプリケーションSaaSツール、CI/CDパイプライン
フェデレーションIDGoogleアカウントでSSOするユーザーなど
機能（何をするか）例
読み取りS3バケットのファイル閲覧
書き込みデータベースへのレコード追加
削除ストレージのオブジェクト削除
管理者操作IAMポリシーの変更・ユーザー追加

覚え方：「CIEM ＝ クラウドの警備員」

CIEMは、クラウドという広大なビルの「警備員」です。「このカードキーで入れる部屋が多すぎないか？」「もう辞めた人のカードが有効なままでは？」を常時チェックして、おかしな権限設定を報告・修正してくれます。

CIEMの主要機能

機能内容
権限の可視化誰が何にアクセスできるかをグラフで一覧表示
過剰権限の検出「付与されているが90日間使われていない権限」などを自動検出
リスクスコアリング権限の危険度をスコアで評価し、優先対応すべき問題を提示
修正提案・自動修正不要な権限を削除する推奨ポリシーを自動生成・適用
マルチクラウド対応AWS・Azure・GCPなど複数クラウドを横断して一元管理
コンプライアンスレポートSOC2・ISO27001などの基準への準拠状況をレポートとして出力

歴史と背景

  • 2010年代前半 — クラウド採用が加速。AWSのIAM（Identity and Access Management）など各クラウドが独自の権限管理機能を提供し始める
  • 2010年代後半 — マルチクラウド・マイクロサービスの普及により、管理すべき権限の数が爆発的に増加。手動管理の限界が顕在化
  • 2019年 — Gartnerがクラウドセキュリティの新領域として「CIEM」という用語を定義・命名。独立したカテゴリとして認識される
  • 2020年 — コロナ禍によるリモートワーク急拡大でクラウド移行が加速。権限管理の問題がセキュリティインシデントの主因として注目される
  • 2021〜2022年 — Ermetic・CloudKnox（Microsoftが買収）・Authomize など専業ベンダーが台頭。CSPM（クラウド構成管理）製品との統合が進む
  • 2023年以降 — CNAPPと呼ばれる統合型クラウドセキュリティプラットフォームにCIEM機能が統合される流れが主流に。Palo Alto・Wiz・Orcaなど大手が対応を強化

CIEM・CSPM・IAMの違いと関係

クラウドセキュリティには似た用語がいくつか登場します。CIEMの位置づけを理解するために比較します。

製品カテゴリフルネーム管理対象主な役割
IAMIdentity and Access Managementユーザー・権限の設定権限を設定・付与する仕組み自体
CIEMCloud Infrastructure Entitlement Management権限の状態・リスク設定された権限の過剰・リスクを検出
CSPMCloud Security Posture Managementクラウド設定全般S3の公開設定ミスなどクラウド構成のリスク検出
CNAPPCloud-Native Application Protection Platformクラウド全体CIEM・CSPM・CWPPを統合したプラットフォーム

IAMは「権限を設定する道具」、CIEMは「設定された権限を監視・最適化する目付け役」と覚えると分かりやすいです。

CIEMとクラウドセキュリティ関連ツールの関係 IAM 権限の設定・付与 （AWS IAM など） CIEM 権限の監視・最適化 過剰権限の検出 CSPM クラウド設定の監視 構成ミスの検出 CNAPP（統合プラットフォーム） CIEM ＋ CSPM ＋ CWPPなどを一つに統合 Wiz / Palo Alto Prisma Cloud / Orca など ※ CNAPPはCIEM・CSPMなどを包含する上位カテゴリ

実務での使われ方

システム発注・選定の立場から見ると、CIEMは以下のような場面で必要になります。

  • AWS・Azureなど複数クラウドを使い始めたとき — 権限管理が各クラウドに分散し、全体像を把握できなくなる
  • コンプライアンス対応（SOC2・ISO27001）のとき — 「最小権限の原則を守っているか」の証跡が必要になる
  • セキュリティ監査で指摘を受けたとき — 「不要な管理者権限が多い」という指摘への対策として導入
  • 退職者・異動者が多い組織 — 不要な権限が残り続けるリスクを自動検出で管理

関連する規格・RFC

規格内容
NIST SP 800-207ゼロトラストアーキテクチャの定義（最小権限の原則を含む）
ISO/IEC 27001情報セキュリティマネジメントシステム（アクセス制御要件を含む）
CIS Controls v8クラウド環境を含むセキュリティ実装ガイドライン（Control 5: Account Management）

関連用語

  • IAM — Identity and Access Management。ユーザーの認証・認可・権限設定を管理する仕組み
  • CSPM — Cloud Security Posture Management。クラウド構成設定のミスや脆弱性を検出するツール
  • CNAPP — Cloud-Native Application Protection Platform。CIEM・CSPMなどを統合したクラウドセキュリティプラットフォーム
  • ゼロトラスト — 「すべてを信頼しない」を前提としたセキュリティモデル。CIEMの思想的基盤
  • 最小権限の原則 — 必要最低限の権限のみ付与するセキュリティ原則。CIEMが実現しようとする目標
  • マルチクラウド — 複数のクラウドサービスを併用する構成。CIEMの必要性が高まる環境
  • SOC2 — セキュリティ・可用性などを評価するコンプライアンス基準。権限管理の証跡としてCIEMが活用される