SSPMとは？SaaSセキュリティ管理の種類（専用型・CASB/SSE一体型・SaaS管理一体型）と、価格・見る設定の選び方

この記事の答え

SSPMは、社内で使うSaaSの設定と権限を見張り、不備を見つけて直すための製品です。設定を深く見るなら専用型、CASBやSSEを使っているなら一体型、二要素認証や管理者権限から始めるならSaaS管理一体型で足ります。公式に価格を出しているのはfreee IT管理とマネーフォワード Adminaの2製品です。

SSPMとは

SSPMはSaaS Security Posture Managementの略で、SaaSセキュリティ態勢管理とも呼びます。Microsoft 365やGoogle Workspaceのような業務のSaaSは、共有の範囲や認証、管理者権限の設定を会社が決めます。SSPMは、その設定を継続して確かめ、不備を知らせる製品です。

比較ページには、自社で開発して自社のブランドで提供している会社の製品を載せています。海外製品を扱う代理店の取り扱い、SSPMを使う診断や運用のサービス、IaaSやPaaSの設定を見るCSPMは載せていません。

3つの種類

専用型：SaaSの設定と権限を見ることを主な役目にした型です。例はCrowdStrikeのFalcon Shieldです
CASB・SSE一体型：CASBやSSEと同じ基盤で設定も見る型です。例はNetskope One SSPM、パロアルトネットワークスのSaaS Security、Microsoft Defender for Cloud Appsです
SaaS管理一体型：アカウント管理や棚卸しのツールの中で設定のリスクも見る型です。例はfreee IT管理、Josys、マネーフォワード Adminaです

CSPM・CASBとの違い

CSPMは、主にIaaSやPaaSの設定を見ます。SSPMが見るのはSaaSの設定です
CASBは、ユーザーとクラウドの間でアクセス制御やデータ保護を行います。SSPMは、設定が正しいかどうかを見ます
Netskope One SSPMやSaaS Securityのように、同じ基盤で両方を扱う製品もあります

見る設定の違い

Falcon Shieldは、200以上のSaaSアプリを3,500以上の組み込みチェックで見ます
Netskope One SSPMは、CIS、NIST、ISOなどの業界ベンチマークと設定を比べます
freee IT管理は、二要素認証の未設定や特権管理者の多すぎを知らせます
Josysは、MFAの不備、過剰な管理者権限、孤立したアカウントを見つけます
マネーフォワード Adminaは、クラウドストレージの公開ファイル設定を一覧にします

見つけたあとの動き

SaaS Securityは、設定ミスを自動で検出して修正すると案内しています
Netskope One SSPMは、アラートと修復手順を出し、ServiceNowやJiraへアラートを送れます
Microsoft Defender for Cloud Appsは、推奨事項と実用的なガイダンスを出します
freee IT管理は、通知をSlackにも送れます

価格

freee IT管理の価格は、1ユーザー年間3,600円で、最低50IDです
マネーフォワード Adminaの価格は、300円/月額1IDです。従業員数50名まで使える永年無料のプランもあります
ほかの製品は公式ページで価格を確かめられなかったので、問い合わせて確かめます

選ぶときの順番

選ぶときは「使っているSaaS」「見たい設定」「直す担当」の3つを先に決めます。

使っているSaaSが対象に入るかを、製品ごとに公式の案内で確かめます
二要素認証や権限だけで足りるのか、業界基準に照らして細かく見るのかを決めます
見つけた不備を誰が直すかを決めます。通知の先がServiceNowやJira、Slackのどれかも確かめます