1
1

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?

@mt_caddi

【2026年最新】クラウドトレンド5選とCNAPP入門｜Security Hubの進化、Wiz・Cortex Cloud比較、PoCの進め方まで今さら聞けない目線でまとめた

1
Posted at

全体要約

2026年のクラウドは「移行」の時代を終え、AI基盤・FinOps・ソブリンクラウド・CNAPP・マルチクラウド運用の5つが主戦場です。FinOpsではAI費用を管理するチームが98%に到達。セキュリティでは、GoogleがWizの買収を完了し、AWS Security HubはAzureの監視やアタックパス分析まで広がりました。CNAPPの仕組み、標準機能と専業製品の使い分け、コスト試算の落とし穴、3週間PoCの進め方まで、やさしく整理しました。

この記事を見つけてくださり、ありがとうございます。

平日は障害対応の電話におびえ、週末は技術ニュースを「あとで読む」に放り込んで力尽きる。そんな40代のうだつの上がらない社畜エンジニアが、2026年秋のクラウド事情をまとめました。

調べ始めて最初に出た声は「え、AWSのSecurity HubがAzureを見張るの？」でした。数年前まで「AWS専用のアラートまとめ箱」くらいに思っていた身としては、正直ついていけていません。

同じように今さら誰かに聞けないと感じている方に向けて、なるべくやさしい言葉で書いていきます。

この記事でわかること

  • クラウドの主戦場は「移行」からAI・コスト・データ主権・セキュリティへ
  • FinOpsでAI費用を管理するチームは98%（FinOps Foundation調べ）
  • CNAPPは、CSPM・CWPP・CIEMをひとつにまとめたクラウドの総合警備システム
  • AWS Security Hubは2026年にAzure監視と影響分析まで拡張。専業CNAPPとの境目はあいまいに
  • 導入前は課金単位と隠れコストを確認し、3週間のPoCで数字をもとに判断する

ひとことで言えば、クラウドの勝負どころは「どれだけ速く作れるか」から「安全に、安く、説明できる形で回せるか」へ移りつつあります。

では、順番に見ていきましょう。

2026年のクラウドトレンドとは？押さえておきたい5つの潮流

クラウドは「とりあえず載せかえる」段階を卒業しました。いま現場に効いている5つの流れを、2026年のニュースと一緒に見ていきます。

2026年のクラウドの主要トレンドは、AI基盤化・FinOps・ソブリンクラウド・CNAPPによるセキュリティ統合・マルチクラウド運用の5つです。

① AIファーストなクラウド基盤（AI-Ready Cloud）

クラウド事業者の競争軸は、サーバーやストレージの貸し出しから生成AIを作って動かすための環境づくりへ移っています。

  • 専用チップの競争：AWSのTrainium／Inferentia、GoogleのTPU、AzureのMaiaなど、各社が独自のAI向けチップを提供
  • モデル連携の標準化：Amazon BedrockやVertex AIなどのマネージド基盤を使い、自社データをAPI経由で安全にRAG（検索拡張生成）へつなぐ構成が一般的に
  • AI資産の棚卸し：AWSはSecurity Hubに、Bedrockのモデル、SageMakerのエンドポイント、AgentCoreで作ったエージェントを一覧化し、関連するネットワークやIAMとひも付ける「AIインベントリ」を加えたと報じられています

筆者の見立てですが、クラウド選びの理由は「VMが安いから」より「どのAIを、どれだけ安全に使えるか」に寄ってきています。AIはもはや、セキュリティ担当が棚卸しすべき資産のひとつです。

② FinOpsの主役は「AI費用の管理」に

FinOps（フィンオプス）は、財務とエンジニアリングが一緒になってクラウド費用を管理する考え方です。2026年、その中身が大きく変わりました。

FinOps Foundationの年次調査「State of FinOps 2026」は、1,192人の回答者、年間830億ドル超のクラウド支出をもとにしています。主な数字は次のとおりです。

  • AI費用を管理しているチームは98%（2024年は31%、2025年は63%）
  • SaaS費用を管理（予定含む）するチームは90%、ライセンスは64%
  • プライベートクラウドは57%、オンプレミスのデータセンターは48%

この流れを受けて、FinOps Foundationは使命の表現を「クラウドの価値」から「テクノロジーの価値」を管理する人を支える、へと書き換えました。クラウドだけを見ていればよい時代は終わった、というわけです。

あわせて押さえたいキーワードがこちらです。

  • 自律的な最適化：使用量の予測をもとに、クラスタのサイズやスポットインスタンスを自動で調整する方向へ
  • ユニットエコノミクス：「注文1件あたり、クラウド代はいくらか」のように、売上や機能の単位で原価を見る考え方

月末にAIのAPI請求を見て、そっとブラウザを閉じた経験はありませんか。筆者はあります。AI費用はトークン数やGPU時間で動くため、従来のVM中心の見積もりでは読みにくいのが悩みどころです。

③ ソブリンクラウド（データ主権）への対応

ソブリンクラウドとは、データの保管場所・暗号鍵・運用する人を、自国や特定の地域の中に限定するクラウドのこと。法規制や地政学リスクへの備えとして、需要が高まっています。

  • 欧州：AWSは2026年1月15日、EU域内に閉じた独立クラウド「AWS European Sovereign Cloud」の一般提供を開始。最初のリージョンはドイツのブランデンブルク州です
  • 規模感：投資額は78億ユーロ超とされ、約90のサービスでスタートしたと報じられています
  • 論点：米国のCLOUD Actとの関係から、「本当に完全な主権と言えるのか」という議論もあると伝えられています

国内では、デジタル庁が2026年3月27日、さくらインターネットの「さくらのクラウド」がガバメントクラウドの技術要件305項目をすべて満たしたとして正式に採択しました。対象はAWS、Google Cloud、Microsoft Azure、Oracle Cloud Infrastructureとあわせて5サービスとなり、国産クラウドとしては初です。

官公庁だけでなく、金融・医療・製造業でもデータ主権を前提とした設計が広がりつつある、と一般的に言われています。

④ CNAPPによるクラウドセキュリティの統合

設定監査、ワークロード保護、権限管理。バラバラだったツールをひとつの基盤にまとめるCNAPPが、業界の標準になりつつあります。2026年は、この分野で大きな動きが続きました。

  • Google × Wiz：Googleは2026年3月11日、クラウドセキュリティ企業Wizの買収を完了。金額は320億ドルで、Wizのブランドとマルチクラウド対応は維持するとしています
  • Palo Alto Networks：Prisma CloudのCNAPP機能と、クラウドの検知・対応機能（Cortex CDR）を統合した「Cortex Cloud」へ移行中
  • AWS：Security Hubがアタックパス分析やAzure監視に対応し、専業製品の領域に近づいてきた

もうひとつの大きな流れが、ネットワーク境界ではなくID（IAMロール）を中心に守るゼロトラストです。最小権限を動的に当てはめる設計が欠かせなくなっています。詳しい仕組みは次の章で見ていきます。

⑤ マルチクラウド／ハイブリッドエッジの抽象化

AWS、Azure、Google Cloud、オンプレミス、エッジ。これらをひとつの運用ルールで扱う技術が成熟してきました。

  • Kubernetes：コンテナとサービスメッシュでアプリを抽象化し、特定ベンダーへの依存（ロックイン）を減らす
  • エッジの一元管理：工場や物流拠点の処理基盤を、AWS OutpostsやAzure Arcなどを使ってクラウド側のコンソールからまとめて管理

象徴的なのが、AWSのSecurity HubがライバルであるAzureの資産まで監視し始めたことです。「マルチクラウドは例外ではなく前提」という空気を、クラウド事業者自身が認めたようにも見えます。

出典

CNAPPとは？CSPM・CWPP・CIEMの違いと仕組みをやさしく解説

横文字の略語が3つも並ぶと、それだけで帰りたくなりますよね。ここでは家の防犯にたとえて、ひとつずつほどいていきます。

CNAPP（Cloud-Native Application Protection Platform）は、開発から本番運用までのクラウドのリスクを、ひとつの画面と共通のルールで守る統合セキュリティ基盤です。

CSPM・CIEM・CWPPを家の防犯でたとえると

機能 ひとことで 家の防犯にたとえると 主にチェックするもの
CSPM 設定ミス探し 窓やカギの閉め忘れチェック S3の公開設定、セキュリティグループ、暗号化漏れ
CIEM 権限の棚卸し 合鍵を誰が何本持っているか IAMロール、SCP、AssumeRoleの関係
CWPP 動いているものの見張り 家の中の防犯カメラ コンテナやVMの不審な動き
相関分析 危険な組み合わせ探し 「窓が開いていて、合鍵も玄関前に置いてある」状態の発見 攻撃につながる経路（アタックパス）

もう少しだけ補足します。

  • CSPM（Cloud Security Posture Management）：クラウドのAPIやイベントを見て、意図しない公開や暗号化漏れを、CIS Benchmarkなどの基準に照らしてチェック
  • CIEM（Cloud Infrastructure Entitlement Management）：権限の関係をグラフにして、使われていない高い権限や、権限を乗っ取って昇格できる経路を見つける
  • CWPP（Cloud Workload Protection Platform）：eBPFという仕組みを使い、OSの奥（カーネル）でコンテナやVMの動きを記録。リバースシェルや不審なプログラムの実行を検知して止める

eBPFは、ざっくり言えばOSの中にそっと置ける小さな見張り番プログラムです。アプリを書きかえずに動きを観察できるため、コンテナ監視でよく使われます。

CNAPPの全体像：Shift-LeftからRuntimeまで

CNAPPの特徴は、開発段階（Shift-Left）と本番稼働（Runtime）を同じ文脈でつなぐことです。全体像を図にすると、次のようになります。

[ 開発環境 (Shift-Left) ]
  CI/CD パイプライン (GitHub Actions / GitLab CI)
     ├──> IaCスキャン (Terraform / CloudFormation / Bicep の設定チェック)
     └──> コンテナイメージスキャン (脆弱性・シークレット検知)

[ 本番環境 (AWS Organizations / Azure テナント) ]
  ├── 各アカウント / サブスクリプション
  │    ├── IAM・リソース設定 (CSPM / CIEM：エージェントレスでAPI収集)
  │    └── EKS / AKS / VM (CWPP：eBPFエージェントで動きを監視)
  │
  └── CNAPP コントロールプレーン (SaaS)
       ├── 相関分析エンジン (アタックパス解析)
       └── 通知・チケット連携 (Jira / Slack / PagerDuty / SIEM)

ポイントは3つです。

  • 設定や権限の情報は、エージェントを入れずにAPIで集めるのが主流
  • 動いているコンテナの監視だけは、必要に応じてeBPFエージェントを入れる
  • 集めた情報をまとめて分析し、本当に危ないものだけを担当者に通知する

Toxic Combination（危険な組み合わせ）とは？

CNAPPの真価は、ひとつずつ見ると「まあ大丈夫そう」なリスクの組み合わせを見抜くところにあります。代表的なのが、次の3つが1台のサーバーに重なった状態です。

  1. インターネットに公開されたポートがある（CSPMの領域）
  2. 既知の脆弱性が残っている（CWPPの領域）
  3. 強い管理者権限のIAMロールがついている（CIEMの領域）

これがToxic Combinationです。外から入られて、脆弱性を突かれ、強い権限で被害が一気に広がる。そんな最悪のシナリオを、CNAPPは優先度の高い1件として示してくれます。

アラートが1日に数百件届いて、全部に「既読」をつけるだけで1日が終わる。そんな日々を過ごした身としては、本当に危ない数件だけを教えてくれることのありがたさは身にしみます。

AWS Security Hubと専業CNAPPはどう違う？Wiz・Cortex Cloudとの比較と使い分け

「AWSに最初からついている機能で十分じゃないの？」。稟議でいちばん聞かれる質問です。2026年は、この問いへの答えが少し変わりました。

Security Hubは「アラート集約箱」から卒業しつつある

かつてのSecurity Hubは、GuardDutyやInspectorの検出結果を一覧に並べるハブという印象でした。攻撃経路は自分でつなげて考える必要があったわけです。いまは次のように進化しています。

  • Exposure findings：Security Hub CSPM、Inspector、GuardDuty、Macieなどの信号を自動で相関させ、危険な組み合わせを検出。攻撃経路をグラフで可視化
  • 影響分析（2026年7月）：さらされたリソースに関係するIAMの実効権限を分析し、その先で被害が広がりうる経路を表示。影響範囲は重大度の判定にも反映
  • Azure監視（2026年7月）：AzureのVM、コンテナイメージ、Function Apps、IDを検出し、CIS Microsoft Azure Foundations Benchmarkなどで評価。AWSと同じ形式・同じ優先順位で表示
  • 料金の考え方：報道によると、AzureのリソースもAWSの同等リソースと同じ料金で、上乗せのプラットフォーム料はないとのこと
  • MCP App（プレビュー）：Claude Desktopから、自然言語でExposure findingsや攻撃経路を調べられるローカルMCPサーバーも登場。ツールはすべて読み取り専用とされています

一方で、2026年7月時点の報道では、Google Cloudへの対応は発表されていません。対応はAzureまでという点は押さえておきましょう。

「Security HubはAWS専用・アラートの一覧表示が中心」というイメージは、少し古くなったと考えたほうがよさそうです。

専業CNAPPの強み：Wiz・Cortex Cloudほか

では、専業CNAPPの出番はなくなったのか。筆者はそうは考えていません。各製品には、それぞれ得意分野があります。

Wiz（Google Cloud傘下）

  • エージェントレスで素早く接続し、インフラ・ID・脆弱性をグラフでつなげて分析するスタイル
  • Googleは買収後も、Wizのブランドと主要クラウドすべてへの対応を続けると表明
  • 本番の設定不備から「どのリポジトリの、どのIaCの行が原因か」をたどるCode to Cloudの考え方に強み

Cortex Cloud（旧Prisma Cloud／Palo Alto Networks）

  • CSPM・CWPP・CIEM・DSPM（データ保護）・コードセキュリティまで守備範囲が広い
  • 検知・対応のCortex製品群と統合され、SOC（セキュリティ監視チーム）の運用につなげやすい
  • 比較記事では「機能がいちばん広い反面、運用はやや重め」と評価されることもあり、専任チームがある組織ほど力を発揮しやすいと言われています

そのほかの選択肢

比較記事では、Microsoft Defender for Cloud、CrowdStrike Falcon Cloud Security、Orca Security、Sysdig、Aqua Security、FortiCNAPP（旧Lacework）などもよく名前が挙がります。Azure中心ならDefender for Cloud、EDRとの連携重視ならCrowdStrikeと、すでに使っている製品との相性で選ぶ考え方も現実的です。

AWS Security Hub・Wiz・Cortex Cloudの比較表

比較項目 AWS Security Hub Wiz Cortex Cloud（旧Prisma Cloud）
位置づけ AWS標準のセキュリティ統合ハブ 専業CNAPP（Google Cloud傘下） 専業CNAPP＋SOC基盤（Palo Alto）
優先順位づけ Exposure findingsで相関・攻撃経路を可視化 グラフ分析によるアタックパス抽出 アタックパス分析＋検知・対応と連携
対応クラウド AWS＋Azure（2026年7月〜） 主要クラウド全般 主要クラウド全般
シフトレフト CI/CD連携は個別の作り込みが必要になりやすい IaC連携・Code to Cloudに強み IaCスキャン（Checkov系）など幅広い
導入方式 AWSでの有効化のみ（エージェントレス） エージェントレス中心＋任意のセンサー エージェントレス＋エージェント
課金の考え方 リソース単位の従量課金 年間サブスクリプションが一般的 クレジット制と報じられている
向いている組織 AWS中心で、Azureも少し使う マルチクラウドで素早く全体を見たい Palo Alto製品をすでに使っている

※機能や料金体系は頻繁に変わります。導入前には必ず各社の公式情報と見積もりで確認してください。

使い分けの目安：どれが正解ではなく、得意分野が違う

どの製品も優れていて、向いている場面が違うだけです。迷ったときは、次の目安で考えてみてください。

AWS Security Hubが向いているケース

  • インフラがAWS中心で、Azureは一部だけ使っている
  • まずは低コストでCIS Benchmarkなどの基本的なガードレールを敷きたい
  • AWSの組織管理（Organizations）と自動で連動させたい

専業CNAPPが向いているケース

  • Google CloudやOCIも含む、本格的なマルチクラウド環境がある
  • 大規模なEKS／AKSのコンテナ環境で、ランタイム保護まで一元化したい
  • CI/CD段階でのIaC自動修正を、全社の開発チームに広げたい

ここからは筆者の見立てです。今後は「Security Hubで全体の土台を固め、専業CNAPPで深掘りする」組み合わせ型の構成も増えるかもしれません。どちらか一方を否定するより、自社の環境と人員に合うかどうかで選ぶのが近道です。

出典

CNAPP導入で失敗しないためには？コスト試算の注意点と3週間PoCの進め方

製品選びより怖いのは、契約したあとに届く「思っていたのと違う」請求書です。財布の薄い社畜目線で、見積もりとPoCのツボをまとめます。

CNAPP導入で失敗しないコツは、課金単位と隠れコストを契約前に確認し、3週間ほどのPoCで「アラート削減率」や「負荷」を数字で確かめることです。

専業CNAPPのコスト試算で確認したい課金単位

専業CNAPPの多くは「ワークロード」単位で課金されます。ただし、この言葉の定義が製品ごとに違うのが落とし穴です。

  • VM：基本は「1台＝1ワークロード」。ただしvCPU数で係数がかかる場合もある
  • コンテナ：Kubernetesのノード数で数えるのか、動いているPod数で数えるのかを必ず確認
  • サーバーレス：Lambda関数の数や実行回数で換算されることがあり、マイクロサービス構成では膨らみやすい

オートスケールで台数が増減する環境なら、次の点もチェックしましょう。

  • ピーク時の最大値で数えるのか、月平均や95パーセンタイル値で丸めるのか
  • 年間契約では、新規開発や利用増を見越して15〜20%程度の余裕を持たせるのがひとつの目安

見落としがちなクラウド側の隠れコスト

CNAPPのライセンス料とは別に、スキャンの動きそのものがAWSやAzure側の費用を生むことがあります。

  • スナップショット費用：エージェントレススキャンでは、ディスクの一時的なコピーを作るため、ストレージ料金やAPI呼び出しの費用がかかる
  • データ転送料：解析エンジンが別リージョンで処理する場合、リージョン間の転送料金が発生するおそれがある
  • 運用の手間：これは筆者の経験からですが、アラートを確認・対応する人の時間も立派なコストです

3週間でできるPoCのロードマップ

PoC（概念実証）は、だらだら続けると誰も結論を出せなくなります。3週間で区切るのがおすすめです。

週 テーマ やること
1週目 接続と棚卸し AWS OrganizationsとAzureテナントをエージェントレスで接続（30分以内が目標）。資産台帳と実際のリソースを突き合わせ、課金対象の数を確定
2週目 深掘り検証 検証用アカウントにわざと設定ミスや脆弱性を仕込み、危険な組み合わせを見抜けるかテスト。EKS／AKSにeBPFセンサーを入れて負荷を測定。CI/CDとのIaCスキャン連携も確認
3週目 運用評価と判定 開発・運用チームを交えてJiraやSlackへの通知と修正の流れを確認。スナップショット費用などを実測し、投資対効果をまとめて報告

合格ラインのチェックリスト（判定基準の例）

以下は、筆者がナレッジとして整理している判定基準の一例です。業界の標準値ではないので、自社の要件に合わせて調整してください。

評価軸 検証項目 合格ラインの例
導入・網羅性 接続のしやすさ 読み取り専用のIAMロールやApp Registrationで、すぐ接続できる
台帳の網羅率 野良VMやテスト用ストレージも含め、95%以上を検出
検知の精度 アタックパス抽出 「外部公開×脆弱性×過剰権限」を1件の重大経路として示せる
アラート削減 単体ツールと比べ、すぐ対応すべき重大アラートを70%以上削減
権限分析 過去90日の実績から、不要な高権限と昇格経路を正しく指摘できる
ランタイム負荷 オーバーヘッド ノードのCPU負荷増が3%未満、メモリ消費が500MB以下
検知の速さ コンテナ内のリバースシェル起動などを1分以内に検知
シフトレフト Code to Cloud 設定不備の原因となったリポジトリとIaCの行を特定できる
修正提案 すぐ使える修正用のIaCスニペットがアラートに含まれる
運用・コスト 通知の最適化 Critical判定だけをJiraやSlackに自動で起票できる
インフラ費用 スキャンによるクラウド側の追加費用が許容範囲に収まる

PoCでありがちな失敗パターン

最後に、泥水をすすって学んだ「やりがちな失敗」を共有させてください。

  • きれいな検証環境だけで試す：本番に近い散らかり具合でないと、本当の検出力はわからない
  • 開発チームを巻き込まない：通知が届いても「誰の仕事？」状態になり、結局だれも直さない
  • 機能の多さだけで決める：使いこなせない機能は、毎月の請求書にだけ姿を見せる

ツールを入れること自体はゴールではありません。直す人まで含めた流れが回るかどうかを、3週間でしっかり見極めましょう。

まとめ：2026年のクラウドトレンドとCNAPP選びの要点

最後に、この記事のポイントをふり返ります。忙しい方は、ここだけ読んでも大丈夫です。

  • クラウドの主戦場は5つ：AI基盤化、FinOps、ソブリンクラウド、CNAPPによるセキュリティ統合、マルチクラウド運用
  • FinOpsはAI費用が主役：AI費用を管理するチームは98%。見るべき範囲はクラウドからテクノロジー全体へ
  • CNAPPは危険な組み合わせを見抜く仕組み：CSPM・CIEM・CWPPの情報をつなげ、本当に危ない経路だけを示す
  • Security Hubと専業CNAPPの境目はあいまいに：Security HubはAzure監視や影響分析まで対応。専業CNAPPはマルチクラウドやCode to Cloudに強み
  • 導入は数字で判断：課金単位と隠れコストを確認し、3週間PoCで削減率や負荷を測る

クラウドもセキュリティも、追いかけ始めるとキリがありません。とはいえ、全部を一度に理解する必要はないと思います。自分の現場でいちばん困っていることをひとつ選び、そこから手をつける。それで十分だと、今日も終電の中から思います。

最後まで読んでいただき、本当にありがとうございました。

「参考になった」「うちもアラートに埋もれてる…」と思っていただけたら、いいねをいただけるととても励みになります。クラウドやネットワーク、セキュリティの最新トレンドを、これからも「今さら聞けない」目線で発信していきます。よければフォローもお願いします。

参考情報・出典一覧

公式情報

専門メディア・比較記事（二次情報）

※本記事の情報は2026年10月6日時点のものです。サービスの機能・料金・提供範囲は変わることがあるため、導入検討の際は各社の公式情報で最新の内容をご確認ください。

1
1
0

Register as a new user and use Qiita more conveniently

  1. You get articles that match your needs
  2. You can efficiently read back useful information
  3. You can use dark theme
What you can do with signing up
Sign upLogin
1
1

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?