日立ソリューションズは2021年2月26日、パブリッククラウド上のシステムやサービスの本番環境・開発環境におけるセキュリティリスクをまとめて検出する「クラウドセキュリティ態勢管理サービス」の販売を開始した。イスラエルOrca SecurityのCSPM（Cloud Security Posture Management）サービスを提供する。同社のホワイトハッカーやセキュリティコンサルタントも対策を支援する。価格（税別）は、仮想マシン50台の場合で年額304万5000円から（問い合わせサポートを含む）。診断結果報告サービスは個別見積もり。
日立ソリューションズの「クラウドセキュリティ態勢管理サービス」は、パブリッククラウド上のシステムやサービスの本番環境や開発環境におけるセキュリティリスクをまとめて検出できるCSPM（Cloud Security Posture Management）サービスである（図1）。イスラエルOrca SecurityのCSPMサービスがベースになっている。
図1：エージェントソフトを使うことなくセキュリティリスクを検出する（出典：日立ソリューションズ）拡大画像表示
特徴は、エージェントソフトウェアを使わずにセキュリティリスクを検出できることである。既存の環境を変更せずに、数分の権限設定で利用を開始できる。対象となるパブリッククラウドサービスは、Amazon Web Services（AWS）、Microsoft Azure、Google Cloudの3つである。仮想マシンからコンテナ技術まで広くカバーする。
仕組みとして、Orca Securityの独自技術「SideScanning」を用いる。診断対象のシステム構成ファイル（プログラムファイルやデータファイル）を記憶する共有ストレージのスナップショットを一時的に作成し、スナップショットを分析する。
検出したセキュリティリスクは、リスクの要因ごとにダッシュボードで可視化し、危険度のレベルを表示する。クラウドネイティブでのシステム利用や開発を推進する企業は、マルチクラウド環境のセキュリティ対策の運用負荷を軽減できる。
パブリッククラウド上のシステムやサービスの設定ミス、マルウェアの侵入などのセキュリティリスクを検出する。「システム環境上にクレジットカード番号やメールアドレス、電話番号が不用意に平文で保存されている」といった、機密性の高いデータも検知できる。
スクリプトファイルやログなどのソースコードへのユーザーIDやパスワードの記載、必要以上に強い権限が割り当てられているなど、「ラテラルムーブメント」（攻撃者が企業や組織内のネットワークに侵入したあとに、ネットワーク内の他のサーバーを渡り歩いて機密情報などを窃取する活動）のリスクも検出する。
検出したセキュリティリスクに対しては、日立ソリューションズのホワイトハッカーによる診断や、セキュリティコンサルタントによる対策の支援なども提供する。
