SANSによると、現在ほぼすべての組織が本番ワークロードをクラウドで稼働させている一方、自社のクラウドセキュリティ戦略を「高度」または「最適化済み」と考える組織は40%にとどまり、成熟度に大きなギャップがあることが明らかになりました。
これは、IT・セキュリティ担当者400人を対象に実施した『2026 SANS Cloud Security Survey Insights』レポートによるものです。
SANSの調査では、回答者の51%がエンタープライズ規模（ワークロード、コンテナ、インスタンスが2501〜1万）またはハイパースケール規模（1万超）の環境を運用しており、73%がすでにクラウドセキュリティ専任のチームまたは担当者を置いていました。
レポートはさらに、93%の組織がすでに本番ワークロードをクラウドで稼働させ、65%が複数のプロバイダーを利用していると指摘しています。
SANSは、多くの回答者がクラウドセキュリティの専任チームを持っていることから、組織が十分なリソースを確保していても、成熟度のギャップは解消されていないと分析しています。
全体では、回答者の45%が自社のクラウドセキュリティ戦略を、定義した戦略を部分的に実装している「中間」段階と回答しました。
レポートによると、この部分的な実装が問題であり、セキュリティインシデントを招いています。
重大なクラウドインシデントのほぼ半数は設定ミスが原因
レポートによると、重大なクラウドインシデントの最大の原因は設定ミスで、45%を占めました。2番目に多い認証情報の窃取（22%）のほぼ2倍に当たります。
さらに、設定ミスは長期間放置されることも少なくありません。既知の重大な欠陥を塞ぐのに24時間超を要する組織が、約半数（49%）に上りました。
SANSの主任インストラクターであるSerge Borso氏は、次のように述べています。「設定ミスは特殊な攻撃手法ではありません。すでに自社が保有するアカウントに潜んでいる、既知の欠陥です。これが残り続けるのは攻撃者のせいではなく、欠陥を見つけてから修正するまでに距離があるためです。コンソールが多すぎて、結果に責任を持つ担当者も明確ではありません。だからこそ今は、新たな検知ツールを導入するより、統合と徹底した運用のほうが重要です。業界はクラウド移行を決めたところで終わり、そのスピードのツケを今払っているのです」
セキュリティ成熟度にギャップがあるものの、クラウドセキュリティの予算は大半の組織で増加していました。回答者の28%はAIやCNAPP（Cloud-Native Application Protection Platform）などの新技術の導入・刷新に向けた大幅な投資を報告し、さらに42%が段階的な増額を報告しています。
全体では、70%の組織がクラウドセキュリティへの支出を1年前より増やしました。予算を削減したのは7%にとどまります。
単一の統合型CNAPPプラットフォームを運用していると答えた回答者は、わずか21%でした。一方、31%はCSPM（Cloud Security Posture Management）、CWPP（Cloud Workload Protection Platform）、CIEM（Cloud Infrastructure Entitlement Management）の個別ソリューションを引き続き併用しています。調査対象の23%は、統合への移行を積極的に検討中です。
SANSのデータは、今後1年間にセキュリティチームが取り組むべき3つの優先事項を示しています。
- Infrastructure as Codeのパイプラインに自動ポリシーチェックを適用し、デプロイ前に設定ミスを防ぐことで、クラウドセキュリティを強化する
- セキュリティ態勢管理、ワークロード保護、ID セキュリティの各ツールを統合プラットフォームにまとめ、セキュリティツールの乱立を抑える
- 継続的でコンテキストに基づく制御を採用し、ログイン後にユーザーやワークロードがアクセスできる範囲を制限することで、ゼロトラストを認証の先へ広げる
翻訳元: https://www.infosecurity-magazine.com/news/cloud-security-maturity-lags-sans/
