2026年版CIEMツール12選比較:機能と料金

結論: CIEMの料金体系は「アイデンティティ単位」または「クラウドリソース単位」が基本ですが、実際に価格を左右するのは非人間アイデンティティ(NHI)の数です。マシンは人間の数を大きく上回るため、これが見積もりを急激に膨らませる要因になります。

Tenable(Ermetic)とWizはプラットフォーム型CIEMをリードしており、Britiveは単体型JITの料金設定に強みがあります。CyberArkは権限行使(エンフォースメント)機能で収益を上げています。注目すべき動き: Microsoft Entra Permissions Managementは提供終了となりました。今問われているのは更新の是非ではなく、移行先の選定です。

権限の乱立は積み重なっていくリスクです。スプリントが進むたびに新しいロール、キー、サービスアカウントが生まれ、その一つひとつが次のCIEM見積書の行項目になると同時に、次の侵害の侵入経路にもなり得ます。

Dataprivacy consulting

本記事では、購入担当者の視点から12種類のCIEM製品を比較しました。料金の仕組み、アイデンティティ数による価格変動、バンドル契約の活用余地を整理し、古い比較記事では見落とされがちな市場の変化に関する警告も取り上げます。まず注目すべきは、MicrosoftによるEntra Permissions Managementの提供終了で、これによって多数の導入企業が移行を迫られることになりました。なお、スコアは編集部独自の評価であり(独立・非スポンサー・ラボ検証なし)、料金については仕組みのみを説明しています。

評価方法について

購入担当者の視点に立ち、5つの重み付け基準で評価しました。権限分析の深さ(25%)、JIT/エンフォースメントの価値(25%)(単に報告するだけか、実際に修正するか)、NHI対応力(20%)(見積価格を左右する要素)、料金の予測可能性(15%)、バンドル契約の活用余地(15%)(既存顧客に対するアタッチ販売の経済性)です。あくまで編集部の評価であり、実際の導入検討では自社環境でのPOC(概念実証)を行ってください。

スコアカード

ベンダー	分析力	JIT/エンフォース	NHI	料金予測性	バンドル活用余地	加重評価	料金体系
Tenable(Ermetic)	5	5	5	4	4	4.70	リソース単位/バンドル1種
Wiz	5	3	5	3	4	4.10	ワークロード単位
CyberArk	4	5	5	3	4	4.25	見積(プラットフォーム)
Britive	4	5	5	4	2	4.10	アイデンティティ単位
Sonrai	5	4	5	3	2	4.05	アカウント単位/見積
Prisma Cloud	4	3	4	3	5	3.80	クレジット制
SailPoint	4	3	4	3	4	3.65	アイデンティティ単位(IGA)
Saviynt	4	3	4	3	4	3.65	アイデンティティ単位(統合型)
Microsoft(Entra PM)	—	—	—	—	—	提供終了	販売終了
Zscaler(Canonic系)	3	3	3	3	4	3.20	SSEアドオン
Uptycs	4	3	4	4	3	3.65	アセット単位
Stack Identity	4	4	4	3	2	3.60	見積 [要確認]

12ベンダー:機能と料金の仕組み

1. Palo Alto(Prisma Cloud)

提供内容: 実効権限の算出、未使用権限の検出、権限の適正化提案を、最も広範なCNAPPの中に統合して提供します。

料金体系: CIEM機能はPrismaクレジットを消費する形で利用します。

購入担当者へのメモ: 既にPrismaを導入している企業にとっては、CIEMは最も安価に追加できる機能となることが多く、余っているクレジットを他社製品購入前に使い切る選択肢になります。

導入を検討すべき場合: Prismaを既に導入している企業。

注意すべき点: モジュールごとのクレジット消費が不透明な点。

2. Microsoft(Entra Permissions Management)— 提供終了

提供内容: 新規提供はありません。MicrosoftはEntra Permissions Management(CloudKnox買収由来のサービス)の販売を終了し、サービス自体も終了させました。既存顧客は更新ではなく移行を検討する必要があります。

料金体系: 現在は販売されていません。

購入担当者へのメモ: 自社環境に導入済みであれば、今すぐ移行計画の予算を確保すべきです。Microsoftはマルチクラウドの権限管理業務をパートナー・エコシステム側に委ねる方向を示しています。この提供終了は、2026年のCIEM選定リストにおいて最も重要な事実と言えます。

移行先候補: Tenable、Britive、CyberArk、Sonrai。

3. Wiz

提供内容: 実効権限分析とセキュリティグラフを融合させ、エクスポージャーの文脈(管理者権限を持つアイデンティティ×インターネット公開ワークロードなど)に基づいてリスクをランク付けした権限リスクを提示します。

Securitysoftware subscription

料金体系: ワークロード単位のプラットフォーム料金プランに含まれます。

購入担当者へのメモ: すでにWizで環境をスキャンしている場合、CIEM分析機能は新規製品ではなく上位プランへのアップグレードとなる可能性があります。表示価格ではなく、差額を確認しましょう。

導入を検討すべき場合: WizをCNAPPとして導入している企業。

注意すべき点: 他社ツールで既に持っているアイデンティティ分析機能に、二重で費用を払ってしまうこと。

4. Zscaler(Canonic系)

提供内容: SaaS/アプリ連携の権限ガバナンスをZscalerのプラットフォームに組み込んで提供します。完全なIaaS向けCIEMというより、SaaSの権限管理に近い位置づけです。

料金体系: SSEのアドオンとして提供されます。

購入担当者へのメモ: スコープを正確に理解しておくべきです。IaaS向けCIEMを置き換えるものではなく、補完するものです。

導入を検討すべき場合: Zscalerへの統合とSaaSアプリの権限管理を重視する企業。

注意すべき点: 本来の対応範囲を超えたIaaS向けCIEMとしての訴求。

5. Sonrai Security

提供内容: アイデンティティからデータへの経路をグラフ化する機能に加え、Cloud Permissions Firewallによる未使用権限の大規模ワンクリック隔離機能を備えています。これは他の多くの分析系ツールにはないエンフォースメントの仕組みです。

料金体系: クラウドアカウント単位、または見積によります。

購入担当者へのメモ: Permissions Firewallが生み出すROIのストーリー(数日で大規模な最小権限化を実現できる点)は数値化できる価値であり、POCの際にはビフォーアフターの指標を要求すべきです。

導入を検討すべき場合: 大規模なエンフォースメントを目的とする企業。

注意すべき点: 組織単位ごとに「アカウント数」の定義が異なる場合があること。

6. Uptycs

提供内容: 統合テレメトリーの基盤内でクラウドアイデンティティ分析を提供し、CIEMの検知情報をエンドポイントやワークロードの挙動と関連付けます。

料金体系: アセット単位です。

購入担当者へのメモ: 価値の源泉は他データとの関連付けにあり、CIEM単体としての深さではありません。プラットフォーム統合の一部として価格を評価すべきです。

導入を検討すべき場合: すでにUptycsへの統合を進めている企業。

注意すべき点: CIEM単体目的での導入。

7. CyberArk(Secure Cloud Access)

提供内容: セッションの文脈を伴った、クラウドコンソールへのJIT・ゼロスタンディング権限アクセスを提供します。CIEMを特権アクセス管理として実行し、監査担当者が既に理解しているプラットフォーム上で実現します。

料金体系: プラットフォーム見積(ユーザー・ワークロード要素を含む)によります。

購入担当者へのメモ: CyberArkの更新契約内でのアタッチ販売の経済性が強く、監査圧力が高い環境ではエンフォースメントの深さがプレミアム価格を正当化します。

導入を検討すべき場合: ゼロスタンディング権限のエンフォースメントとCyberArk導入済み企業。

注意すべき点: 狭い用途に対するプラットフォーム最低契約額。

8. Stack Identity

提供内容: シャドーアクセスの検出とアイデンティティ攻撃経路の分析を提供します。すでに買収された先駆者たちと同じ課題領域に挑む新興の専門企業です。

料金体系: 見積によります。

購入担当者へのメモ: 初期段階の企業ゆえの価格の柔軟性はありますが、リファレンス顧客の存在とロードマップの継続性について確認を求めるべきです。

導入を検討すべき場合: 既存企業と並行してイノベーション枠での評価を行いたい場合。

注意すべき点: 継続性が未実証の状態での複数年契約。

9. SailPoint

提供内容: クラウドの権限をIGAの認証キャンペーンやクラウドロールのライフサイクル管理に組み込んで提供します。監査証跡が購入の決め手となる環境で最も強みを発揮します。

料金体系: ガバナンス対象アイデンティティ単位(IGAモデル)です。

購入担当者へのメモ: すでにSailPointで従業員のガバナンスを行っている場合、クラウドアイデンティティを数に追加するのが、監査対応可能なCIEMを安価に実現する道です。

導入を検討すべき場合: コンプライアンス主導のCIEM導入。

注意すべき点: 認証のみのニーズに対して、分析プラットフォーム相当の料金を支払ってしまうこと。

10. Britive

提供内容: 単体型JIT/一時アクセスの専門ツールです。マルチクラウド・SaaS全体でチェックアウト式の一時的権限を提供し、NHI時代に特化して生まれました。

料金体系: アイデンティティ単位で、公開された料金体系が使いやすい点が特徴です。

購入担当者へのメモ: この分野で最もシンプルな単体型の料金体系であり、プラットフォームバンドルとの見積比較の強力な基準になります。

導入を検討すべき場合: プラットフォームへの縛りを避け、JIT優先の戦略を取る企業。

注意すべき点: 料金プランにおけるコネクタ数の制限。

11. Tenable(Ermetic)

提供内容: 最も深い専業CIEMの系譜を持ち、実効権限分析、危険な権限組み合わせの検出、JITワークフローを提供します。現在はTenable Oneのエクスポージャー料金体系に統合されています。

料金体系: リソース単位の単体提供、またはTenable One内での提供です。

購入担当者へのメモ: 既存のTenable VM顧客は、Oneバンドルの料率を必ず適用させるべきです。単体見積では損をする可能性があります。

導入を検討すべき場合: 分析の深さを重視する場合(そしてEntra PMからの移行先としても)。

注意すべき点: すでにライセンスを持つスキャン機能に対する二重支払い。

12. Saviynt

提供内容: IGA、CIEM、アプリケーションGRCを1つのSaaSに統合し、権限分析と認証・職務分離(SoD)を同一のデータモデル内で提供します。

料金体系: アイデンティティ単位で、統合プラットフォームの料金プランによります。

購入担当者へのメモ: 統合によりプラットフォームの数を減らせますが、既にライセンス済みの人間のアイデンティティがクラウドアイデンティティの料金に二重計上されないよう確認が必要です。

導入を検討すべき場合: ガバナンスとクラウド権限管理を1つのプラットフォームで実現したい企業。

注意すべき点: 統合というアピールを損なうようなモジュール別の料金分割。

購入検討比較表

ベンダー	提供状況	課金単位	エンフォースメント(JIT/ZSP)	Entra PMからの移行先になり得るか
Prisma Cloud	提供中	クレジット	部分対応	はい(既存顧客向け)
Entra PM	提供終了	—	—	移行元、移行先にはならない
Wiz	提供中	ワークロード	部分対応	はい
Zscaler	提供中	SSEシート	部分対応	SaaS範囲のみ
Sonrai	提供中	アカウント	はい(Firewall機能)	はい
Uptycs	提供中	アセット	部分対応	プラットフォーム適合時のみ
CyberArk	提供中	プラットフォーム見積	最上位クラス	はい
Stack Identity	要確認	見積	はい	まず精査が必要
SailPoint	提供中	アイデンティティ	ライフサイクル経由	コンプライアンス主導
Britive	提供中	アイデンティティ	最上位クラスのJIT	はい
Tenable(Ermetic)	提供中	リソース/One	はい	最有力
Saviynt	提供中	アイデンティティ	ライフサイクル経由	コンプライアンス主導

購入ガイド

見積を取る前にNHIの数を把握しましょう。 サービスアカウントやワークロードアイデンティティはアイデンティティ単位の料金を左右します。事前にこれらを棚卸ししておかないと、実際の利用実績に基づく調整(トゥルーアップ)の際に予算が破綻します。

Entra PMの提供終了は、市場を揺るがす出来事として捉えるべきです。 影響を受ける企業は、Tenable、Britive、CyberArk、Sonraiの比較検討を今すぐ始めるべきですし、すべての購入担当者にとって、プラットフォームベンダーがこの分野へのコミットメントをどこまで持ち続けるのかを問い直す警鐘となるはずです。

報告機能よりもエンフォースメント機能を優先すべきです。 JITや権限の隔離機能(Britive、CyberArk、Sonrai、Tenable)は、リスクと将来の費用の両方を減らします。分析機能だけでは、権限の乱立を記録するだけに終わってしまいます。

既存の導入実績を活用しましょう。 Prismaのクレジット、Wizの料金プラン、Tenable One、SailPointのアイデンティティ数など、既に利用しているものへのアップグレードが、最も安価なCIEM導入の道になることが多いです。

無料の選択肢もあります。 AWS IAM Access Analyzer、GCP Policy Intelligence、Entraの標準推奨機能は無料で利用でき、ベンダーによる課金対象となる前に問題自体を縮小できます。

コストに関するFAQ

CIEMの料金はどのように決まりますか?

アイデンティティ単位(Britive、SailPoint、Saviynt)、リソース単位(Tenable)、アカウント単位(Sonrai)、CNAPP内でのワークロード/クレジット単位(Wiz、Prisma)、あるいはプラットフォーム見積(CyberArk)といった形態があります。どの製品においても、非人間アイデンティティの数が見積価格を左右する要素となるため、まずその数を棚卸しすることが重要です。

Microsoft Entra Permissions Managementはどうなりましたか?

Microsoftはこのサービスを提供終了としました。CloudKnox系のマルチクラウドCIEMは販売終了となり、サービス自体も終了となりました。既存顧客は移行計画を立てる必要があり、Tenable、Britive、CyberArk、Sonraiが自然な移行先候補となります。

最も安価で現実的なCIEM導入方法は何ですか?

無料のネイティブツール(Access Analyzer、Policy Intelligence)と、すでにライセンスを持つプラットフォームのCIEM機能プラン(Prismaのクレジット、Wizのアップグレード、Tenable One)を組み合わせる方法です。単体製品への投資は、エンフォースメント機能(Britiveクラスのjit)向けに取っておくのが賢明です。

なぜ非人間アイデンティティがCIEMの見積を膨らませるのですか?

非人間アイデンティティは人間の数を大きく上回り、IaCやCI/CDによって継続的に生成され続けます。NHIの上限やティア分けの条項がないアイデンティティ単位の料金設定は、無制限に膨らむリスクとなるため、定義について交渉すべきです。

分析機能とエンフォースメント機能、どちらに価値がありますか?

エンフォースメント機能です。未使用権限の隔離(Sonrai)や、常時アクセスをJITに置き換える機能(Britive、CyberArk、Tenable)は、侵害の可能性と将来の監査指摘事項の両方を減らします。レポートだけでは時間の経過とともに価値が薄れていきます。

CIEMは今も単独の市場として成立していますか?

ほぼ成立していません。先駆的企業は買収され(Ermetic→Tenable、Authomize→Delinea、CloudKnox→提供終了)、残りはCNAPPに統合されました。単体で生き残っている企業(Britive、Sonrai、Stack Identity)は、エンフォースメントの深さと料金の柔軟性で勝負しています。

結論

2026年のCIEM選定は、アイデンティティ数の計算に加え、1つの大きな見出しに集約されます。Entra Permissions Managementはもうありません</strong。その移行需要が市場をリセットしています。

Tenable(Ermetic)は分析力とJITを兼ね備えたベンチマーク的存在であり、主要な移行先です。BritiveとSonraiは最もシンプルな単体型の経済性でエンフォースメント機能を提供しています。CyberArkは監査担当者の目が厳しい環境でゼロスタンディング権限を収益化しています。WizとPrismaは既存顧客にとってCIEMをアップグレード項目にしています。SailPointとSaviyntはコンプライアンス主導の数を対象にしています。Stack Identityは精査を前提とした検討対象です。

自社のNHIを数え、その定義に上限を設け、権限をただグラフ化するだけでなく実際に削除してくれるツールを選びましょう。