世界のクラウドセキュリティポスチャ管理（CSPM）およびCNAPP市場は86.0億ドルに達しました。クラウドセキュリティ障害の99.0%は顧客の構成ミスに起因し、クラウド環境の32.0%が有害なリスクの組み合わせを抱え、付与されたIAM権限の85.0%は全く使用されておらず、ボットスキャナーは漏洩したクラウドキーを8分で悪用します。 企業の89%がマルチクラウド環境を運用し、本番コンテナの68%で既知のCVEが実行されている中、企業の74%がエージェントレススナップショットスキャンを導入し、証拠収集の自動化により監査準備期間が-78%短縮されています。以下の数値はGartner、IDC、Wiz、Palo Alto Networks Unit 42、Datadog、Cloud Security Allianceの調査に基づいています。
TL;DR
- 世界のクラウドセキュリティポスチャ管理（CSPM）およびCNAPPソフトウェア市場規模は86.0億ドルに達した（Gartner/IDC）
- 企業のクラウドセキュリティインシデントおよびデータ漏洩の99.0%は顧客の設定ミスに起因する（Gartner）
- 企業のクラウド環境の32.0%に、重大なリスク経路が交差する「有害な組み合わせ」が少なくとも1つ存在する（Wiz）
- 企業のクラウドストレージバケット（AWS S3、Azure Blob）の18.5%が意図せずインターネットに公開された状態になっている
- 攻撃者の自動ボットは、漏洩したクラウド認証情報を平均わずか8分で検出して悪用を試みる（Datadog）
- AWS、Azure、GCP全体で付与されたクラウドIAM権限の85.0%は割り当てられたユーザーやサービスロールに全く使用されていない
- 企業組織の89.0%が2つ以上のパブリッククラウドハイパースケーラーにまたがってインフラを管理している（Flexera）
- 本番Kubernetesクラスターにデプロイされたコンテナイメージの68.0%に高または重大な未修正CVEが含まれている（Sysdig）
- 検出されたクラウドセキュリティ設定ミスの平均修復時間（MTTR）はDevOpsチーム全体で14.2日である
- 企業のクラウド環境の74.0%がリアルタイムCSPMセキュリティ検査のためにエージェントレスAPIスナップショットスキャンを導入している
- 企業のハイブリッドまたはパブリッククラウドインフラが関与する重大なデータ侵害の平均コストは445万ドルである（IBM）
- 本番環境のクラウドセキュリティ設定ミスの46.0%は、IaCドリフトを引き起こす手動のコンソール編集に起因する
- CSPMによる継続的なコンプライアンス自動化により、SOC 2およびISO 27001の監査準備時間が-78.0%削減される
1. 市場規模：86億ドル産業と構成ミスに起因する99%の事故
エフェメラルなコンテナライフサイクルとマイクロサービスの急速な展開により、クラウド構成監査は継続的な自動ガバナンスへと進化しました。Gartnerはこの市場を86.0億ドルと評価しています。
責任共有：クラウドセキュリティ障害の99.0%は顧客の構成ミスに起因しており（CNAPPのCAGRは+26.8%、IDC）、リアルタイムのインフラストラクチャグラフ分析が不可欠となっています。
| 指標 | 数値 | 出典 |
|---|---|---|
| クラウドセキュリティポスチャ管理（CSPM）、CNAPP、クラウドインフラセキュリティの世界市場評価 | 世界のCSPMおよびCNAPPセキュリティ市場規模 86.0億ドル | Gartner / IDC / Fortune Business Insights |
| クラウド事業者側の欠陥ではなく顧客の設定ミスによって引き起こされた企業インシデントの割合 | クラウドセキュリティ障害の99.0%は顧客の構成ミスに起因 | Gartner Cloud Security Predictions / Palo Alto Unit 42 |
| 統合型クラウドネイティブアプリケーション保護プラットフォーム（CNAPP）の年間成長率 | 年間複合成長率（CAGR）+26.8% | IDC Worldwide Cloud Security Forecast |
クラウドコンピューティングのホスティングおよびサーバーインフラは当サイトのクラウドコンピューティング統計に関連しています。出典：Gartner Research。
2. 有害な組み合わせとS3の公開：32%のリスク経路と8分の悪用時間
公開されたワークロードが高権限のIAMロールを保持している場合、個々の軽微な設定不備が重大な侵害経路へと結びつきます。クラウドの32.0%に有害な組み合わせが存在します。
公開ストレージ：バケットの18.5%が公衆インターネットに露出しており（Palo Alto）、自動ボットスキャナーは流出したAPIキーを8分で悪用します（Datadog）。
| 指標 | 数値 | 出典 |
|---|---|---|
| クラウド環境における有害な組み合わせ：交差する高リスクの欠陥（パブリック公開＋root権限＋既知のCVE）を持つワークロード | クラウド環境の32.0%に少なくとも1つの「有害な組み合わせ」リスク経路が存在 | Wiz State of Cloud Security Report |
| 公開されたクラウドストレージバケット：認証なしで露出しているAmazon S3バケット、Azure Blob、GCPストレージ | 企業のクラウドストレージバケットの18.5%が意図せずインターネットに公開 | Palo Alto Networks Unit 42 Cloud Threat Report |
| 露出した認証情報が悪用されるまでの平均時間：シークレットがオンラインに漏洩してから自動攻撃者が発見するまでの時間 | 自動ボットスキャナーが漏洩した認証情報を発見・悪用するまでの平均時間は8分 | Datadog State of Cloud Security Telemetry |
データ侵害のフォレンジックと金銭的損失は当サイトのデータ侵害統計に関連しています。出典：Wiz State of Cloud Security。
3. IDの肥大化とコンテナ：85%の未使用IAMと68%の脆弱なイメージ
開発時に広範な管理者ワイルドカード（*）権限を付与することは、クラウドアカウント全体に過剰な特権による広大な攻撃対象領域を生み出します。クラウド権限の85.0%は未使用です。
コンテナの脆弱性：本番コンテナの68.0%で重大なCVEが実行されており（Sysdig）、マルチクラウドを採用する企業の89.0%でセキュリティ管理が複雑化しています（Flexera）。
| 指標 | 数値 | 出典 |
|---|---|---|
| 未使用のID権限（IAM過剰特権）：付与されたクラウドIAM権限のうち人間やサービスロールに使用されていない割合 | AWS、Azure、GCP全体で付与されたクラウド権限の85.0%が完全に未使用 | Microsoft Entra State of Cloud Permissions / Wiz |
| マルチクラウド導入によるセキュリティの複雑化：2つ以上のパブリッククラウドにまたがってインフラを運用する企業組織 | 企業組織の89.0%がマルチクラウド環境で運用 | Flexera State of the Cloud Report |
| コンテナイメージの脆弱性：既知の重大または高い重大度のCVEを抱えたまま稼働している本番Kubernetesおよびコンテナイメージ | 本番環境にデプロイされたコンテナイメージの68.0%に高または重大な脆弱性が含まれる | Sysdig Cloud-Native Security and Usage Report |
IAMおよびアイデンティティガバナンスのアクセス制御は当サイトのiamアイデンティティガバナンス統計に関連しています。出典：Microsoft Entra Cloud Permissions。
4. 修復速度とエージェントレス検査：14.2日のMTTRと74%のエージェントレス採用
プロバイダーAPIを介してブロックストレージの読み取り専用スナップショットを取得することで、エージェントをインストールすることなくOSディスクを検査できます。74.0%がエージェントレススキャンを導入しています。
修復の遅延：クラウド設定ミスの修正には14.2日を要し（CSA）、ハイブリッドクラウドでの侵害は企業に平均445万ドルのコストをもたらします（IBM）。
| 指標 | 数値 | 出典 |
|---|---|---|
| クラウド設定ミスの平均修復時間（MTTR）：DevOpsチームが検出されたCSPM違反を修正するのに要する平均期間 | 重大度の高いクラウドセキュリティ設定ミスを解決するのに平均14.2日が必要 | Cloud Security Alliance (CSA) Benchmark Study |
| エージェントレス vs エージェント型CSPM：エージェントレスAPIスナップショットスキャンを導入している企業クラウド環境の割合 | 企業の74.0%がCSPM/CNAPP向けにエージェントレスクラウドスナップショットスキャンを利用 | Gartner Market Guide for CNAPP |
| クラウドデータ侵害のコスト：パブリッククラウドでの大規模なデータ侵害発生後に企業が被る平均金銭損失 | ハイブリッドクラウド環境が関与するインシデントの平均データ侵害コストは445万ドル | IBM Security Cost of a Data Breach Report |
ゼロトラストアーキテクチャおよび最小特権ポリシーは当サイトのゼロトラストセキュリティ統計に関連しています。出典：Cloud Security Alliance。
5. IaCドリフトとコンプライアンス自動化：46%のコンソールドリフトと-78%の監査準備短縮
本番障害時のコンソールでの手動対応は、コード化されたTerraformテンプレートからのセキュリティドリフトを引き起こします。設定ミスの46.0%はコンソールドリフトに起因します。
継続的コンプライアンス：証拠収集の自動化により監査準備が-78.0%削減され（Vanta）、軽微な欠陥の28.0%は自動化ポリシーにより自己修復されます。
| 指標 | 数値 | 出典 |
|---|---|---|
| Infrastructure as Code（IaC）セキュリティドリフト：元のTerraform/CloudFormation定義から逸脱した本番クラウドリソース | 本番クラウドセキュリティ設定ミスの46.0%は手動のコンソール編集（IaCドリフト）に起因 | Bridgecrew (Palo Alto) State of IaC Security |
| CSPM自動修復率：Policy-as-Code自動修復スクリプトを介して自動的に解決されたセキュリティ設定ミス | 一般的なクラウド設定ミスの28.0%が自動化された自己修復ポリシーによって解決 | HashiCorp State of Cloud Strategy Report |
| クラウドコンプライアンス監査準備期間：CSPM自動証拠収集による監査準備時間（SOC 2、ISO 27001、HIPAA）の短縮 | 継続的コンプライアンス自動化により監査準備時間を-78.0%短縮 | Vanta / Drata State of Continuous Compliance |
APIセキュリティの脆弱性およびOWASPの欠陥は当サイトのapiセキュリティ統計に関連しています。出典：Bridgecrew by Palo Alto Networks。
6. サーバーレスIAMとシャドウ資産の発見：52%のワイルドカードと38%のシャドウリソース
マイクロサービス関数のデプロイでは、デバッグの手間を避けるためにデフォルトでフルアクセス権限が付与されがちです。サーバーレス関数の52.0%がIAMでワイルドカードを使用しています。
資産発見：CSPMスキャンにより、企業のクラウド資産の38.0%が未カタログのシャドウリソースであったことが判明し（Orca）、初期CIS準拠率はわずか54.0%でした。
| 指標 | 数値 | 出典 |
|---|---|---|
| サーバーレスセキュリティの盲点：過剰なワイルドカード（*）IAMロールが設定されたサーバーレス関数（AWS Lambda、Azure Functions） | サーバーレス関数の52.0%に過剰な管理者権限が付与されている | Prisma Cloud by Palo Alto Networks Telemetry |
| CISベンチマーク準拠スコア：新しい企業クラウドアカウントにおけるCenter for Internet Security（CIS）ベンチマークの平均ベースラインスコア | 初期CISクラウドファンデーション監査での平均ベースライン準拠スコアは54.0% | Center for Internet Security (CIS) Cloud Telemetry |
| シャドウクラウドリソースの発見：CSPM資産スキャンによって検出された未管理仮想マシン、テストDB、孤立ストレージ | 企業の稼働中クラウド資産の38.0%はCSPM導入前には未カタログのシャドウリソースだった | Orca Security State of Cloud Security |
まとめ：数字で見るクラウドセキュリティポスチャ
| 指標 | 数値 | 主な出典 |
|---|---|---|
| 世界のCSPM & CNAPPセキュリティ市場規模 | 86.0億ドル | Gartner / IDC / Fortune |
| 顧客の設定ミスに起因するクラウドセキュリティ事故 | 99.0% が構成ミス | Gartner Cloud Predictions |
| CNAPPソフトウェア市場の年間複合成長率 | +26.8% CAGR | IDC Cloud Security Forecast |
| 「有害な組み合わせ」リスクを抱えるクラウド環境 | 32.0% のクラウド環境 | Wiz State of Cloud Security |
| 公衆に露出している企業のクラウドストレージバケット | 18.5% のバケットが露出 | Palo Alto Unit 42 Report |
| ボットが漏洩した認証情報を悪用するまでの平均時間 | 平均 8分 | Datadog Cloud Security |
| 付与されたクラウドIAM権限のうち完全に未使用の割合 | 85.0% の権限が未使用 | Microsoft Entra / Wiz |
| マルチクラウド環境を運用している企業組織の割合 | 89.0% がマルチクラウド | Flexera State of the Cloud |
| 高/重大なCVEを含む本番コンテナの割合 | 68.0% のコンテナ | Sysdig Security Report |
| クラウド設定ミスの平均修復時間（MTTR） | 修復まで 14.2日 | Cloud Security Alliance |
| エージェントレスAPIスキャンを採用している企業 | 74.0% がエージェントレス | Gartner CNAPP Guide |
| ハイブリッドクラウドでのデータ侵害平均コスト | 1侵害あたり 445万ドル | IBM Cost of Data Breach |
| IaC手動ドリフトに起因する構成ミスの割合 | 46.0% がコンソール編集由来 | Bridgecrew / Palo Alto |
| CSPM導入によるコンプライアンス監査準備の短縮率 | -78.0% の時間短縮 | Vanta / Drata Compliance |
| CSPMスキャン時に発見されたシャドウクラウドリソース | 38.0% がシャドウリソース | Orca Security Benchmark |
調査方法と情報源
本レポートの統計データは、GartnerおよびIDCによる市場規模レポート、Wiz、Datadog、Sysdig、Orca Securityの実証的クラウドテレメトリ、Palo Alto Networks Unit 42およびMicrosoft Entraの脅威インテリジェンスレポート、Cloud Security Alliance（CSA）およびCenter for Internet Security（CIS）のコンプライアンスベンチマーク、IBM Securityによるデータ侵害コスト調査から編集されています。
-
Gartner & IDC: Market Guide for CNAPP, Cloud Security Predictions, and CSPM Forecasts (市場規模86億ドル、99%の設定ミス、+26.8% CAGR)。
-
Wiz & Microsoft Entra: State of Cloud Security Report: Toxic Combinations and 85% Unused Permissions (32%の有害な組み合わせ、85%の未使用IAM権限)。
-
Palo Alto Networks Unit 42: Cloud Threat Report: Public Bucket Exposures and IaC Drift Metrics (18.5%の公開バケット、46%のIaCコンソールドリフト)。
-
Datadog & Sysdig: State of Cloud Security and Container Telemetry: Credential Exploits and CVEs (8分での認証情報悪用、68%のコンテナCVE)。
-
Cloud Security Alliance (CSA) & IBM Security: Cloud Maturity Benchmark and Cost of Hybrid Cloud Breaches (14.2日のMTTR、445万ドルの侵害コスト、89%のマルチクラウド)。
-
データウォッチ：CSPM統計は、クラウドセキュリティポスチャ管理（CSPM）、クラウドネイティブアプリケーション保護プラットフォーム（CNAPP）、クラウドワークロード保護（CWPP）、クラウドインフラ権限管理（CIEM）を対象としています。オンプレミスハードウェアファイアウォール機器は個別に分類されています。
-
最終更新：2026年8月。本まとめは、Wizの脅威速報、Gartner CNAPP Magic Quadrant、Cloud Security Allianceベンチマークダイジェストの公開に合わせて四半期ごとに更新されます。