Cloud Compliance Explorer―セキュリティ管理策の自動評価

Cloud Compliance Explorerは、クラウド環境とツールチェーン全体を横断的に解析し、セキュリティ管理策の準拠状況を可視化します。クラウド設定、ログ、パイプライン、アクセス制御などを解析し、PwC独自の評価ノウハウに基づいて判定を行います。これにより、セキュリティ管理策を迅速かつ効率的に説明可能にします。

セキュリティ評価の現状と課題

現代のIT開発・運用ではクラウドネイティブ化が進み、ツールチェーンが高度化しています。しかしセキュリティ評価においては評価者が依然としてアナログな証跡収集や旧来のチェックリストに依存しているため、現場とのギャップが拡大し、以下のような課題が存在します。

評価期間の長期化や評価コストの肥大化
評価期間の長期化による意思決定の遅延
評価者の能力差による評価品質のばらつき

また、FedRAMPやCloud Security Allianceなどがセキュリティ評価の自動化を推進しており、日本企業もセキュリティ評価自動化によるコンプライアンス対応の効率化が急務となっています。

主要機能と特徴

Cloud Compliance Explorerは、シンプルな操作でセキュリティ管理策を分析できます。

インストール・設定

分析対象のクラウド環境とツールを選択し、参照権限を設定するだけ
デスクトップアプリケーションであるため、設定や分析結果データはユーザーが100％管理可能
大手クラウドサービス以外のツールにも対応

セキュリティ管理策選択

準拠状況を分析したいセキュリティガイドラインおよび該当条文を選択
関連するツールのガイド表示
FISC安全対策基準、NIST-CSF、JVCEA、経済産業省のサプライチェーン強化のためのセキュリティ対策評価制度等、国内外のメジャーなセキュリティガイドラインに対応予定

分析結果表示

既存の評価チェックリストを意識した、3段階（説明可能、部分的に説明可能、説明不能）のシンプルな結果表示
チェック結果の根拠となる証跡（設定値）や改善提案も表示
結果をCSV形式でエクスポートし、既存のチェックリストへ貼り付けて最終化可能

導入メリット

工数・コスト削減：自動化によりアナログ作業が削減され、内部工数や外部委託費用が低減されます。
スピード向上：評価処理の高速化により結果報告までの期間が短縮され、サービスリリースにも影響を与えません。
品質均質化：担当者による評価ばらつきを抑制し、標準化されたプロセスに基づく均質な評価が実現します。

Cloud Compliance Explorerの強み

PwCはセキュリティ評価自動化に関し豊富な実績があり、監査ノウハウを活用した独自ルールセットの開発や国際機関との協働、業界への貢献などで多様な知見を蓄積しています。これらの経験とノウハウがCloud Compliance Explorerに集約されている点が最大の特徴です。

また、主要な国内外ガイドライン（FISC、NIST-CSF、JVCEA、METIサプライチェーン強化のためのセキュリティ対策評価制度等）に対応予定であり、変化する規制要件にも柔軟に追従できる構造を備えています。

サービスメニュー

タイトル	説明	備考
Cloud Compliance Explorerライセンス付与	セキュリティ評価を自動化するソフトウェアです。日々進化するツールや最新のセキュリティガイドラインを取り込んだルールライブラリを内包しています。	原則、組織単位での課金となります。ただし、利用者数や利用端末を申込時に特定いただきます。
Cloud Compliance Explorer初期導入アドバイザリー	ソフトウェアの設定・導入補助、セキュリティ評価における利活用をPwCのコンサルタントが支援します	-
Cloud Compliance Explorer専用ルールライブラリ開発	専用、独自のルールや特殊な環境設定に対応するためのライブラリをお客様とPwCのコンサルタントが協働で開発します。	-
Cloud Compliance Explorer基本仕様部分の試用	お客様の環境で実際に動作させるための試用版ライセンスを提供いたします。	申し込みおよび利用規約の締結が必要です。
セキュリティ評価自動化支援	Cloud Compliance Explorerの利用有無にかかわらず、関連するソフトウェア製品やサービスを組み合わせた総合的な自動化企画、実装・展開をPwCのコンサルタントが支援いたします。	-

なお、Cloud Compliance Explorerはデスクトップアプリケーションです。ユーザー側の環境で完結するため、然るべき運用やセキュリティ対策をユーザー側で確実に行うことができます。一部の運用やセキュリティ対策がサービスプロバイダー側に依存することはなく、またクラウド環境やツールの設定データやログをユーザー側の環境内に留めることができます。