トップ > AWS Security Hub > AWS Security Hub と Security Hub CSPM、結局どっちを使えばいいの？

AWS Security Hub と Security Hub CSPM、結局どっちを使えばいいの？

AWS Security Hub AWS Security Hub CSPM セキュリティ
記事タイトルとURLをコピーする

AWS Security Hub と Security Hub CSPM、結局どっちを使えばいいの？

こんにちは！クロスインダストリー第1本部クラウドコンサルティング2課の清水です。

皆さんは「AWS Security Hub」と「AWS Security Hub CSPM」の違いを説明できますか？

2025年6月の re:Inforce で Security Hub のリニューアルが発表されてしばらく経ちますが、正直なところ私自身ふわっとした理解鹿できていませんでした。

そこで、改めて AWS 公式ドキュメントと FAQ を読み込んで整理してみました。本記事では、両者の機能の違い、料金モデルの違い、そしてどんな場合にどちらを選ぶべきかという使い分けの判断基準について、ドキュメントベースでまとめています。

整理してみた結論としては、両者の違いは「セキュリティ管理の深度」に集約されます。

  • Security Hub CSPM（旧 Security Hub）= 設定チェック＋コンプライアンス管理。「正しいか / 間違っているか」を判定する
  • Security Hub（新） = CSPM をコアとして含む統合プラットフォーム。複数シグナルを相関して「今何が一番危険か」を優先順位付けする

詳しく見ていきましょう。

そもそもどういう関係？

まず、サービス構成の全体像を押さえましょう。

AWS Security Hub（統合クラウドセキュリティプラットフォーム）【新】
 │
 ├─ AWS Security Hub CSPM（旧 Security Hub）
 │    └ セキュリティベストプラクティスチェック、コンプライアンス評価
 │
 ├─ Amazon Inspector（脆弱性管理）※独立したサービスだが、コアとして統合
 │    └ EC2 / ECR / Lambda の脆弱性スキャン
 │
 ├─ Amazon GuardDuty（脅威検知）※オプション
 │    └ CloudTrail / VPC Flow / DNS ログの脅威分析
 │
 ├─ Amazon Macie（機密データ検出）
 │    └ S3 内の機密データの自動検出
 │
 └─ パートナーソリューション（Extended Plan）※オプション
      └ CrowdStrike, SentinelOne, Okta, Zscaler 等のセキュリティ製品を
        AWS Marketplace 経由で統合購入・デプロイ（AWS 請求に一本化される。
        ファインディングの受信機能ではなく、セキュリティ製品そのものの利用）

※上記の各サービス（Inspector, GuardDuty, Macie）はそれぞれ独立したサービスとして単体でも利用可能です。統合 Security Hub はそれらのシグナルを受け取って相関分析する役割を担います。

AWS 公式 FAQ にはこう書かれています。

What you previously knew as Security Hub, focused on aggregating security findings, security best practice checks, and compliance monitoring, is now available as Security Hub CSPM.

— Security Hub FAQ より

つまり、以前の Security Hub がそのまま Security Hub CSPM にリネームされたということです。新しい Security Hub は、その CSPM を土台にして、さらに上位のリスク分析機能を追加した統合サービスとして登場しています。

Security Hub CSPM とは（旧 Security Hub）

Security Hub CSPM は、AWS リソースに対して自動的かつ継続的にセキュリティベストプラクティスチェックを実行し、設定ミスやコンプライアンス違反を検出するサービスです。

主な機能

機能 説明
セキュリティ標準チェック CIS AWS Foundations Benchmark、AWS FSBP、PCI DSS、NIST SP 800-53
セキュリティスコア 各標準ごとに 0-100 のスコアで準拠状況を可視化
ファインディング集約 GuardDuty、Inspector、Macie、サードパーティ製品からの検出結果を一元集約
自動化ルール ファインディングの自動更新・抑制・重大度変更
カスタムコントロール パラメータのカスタマイズ（パスワードポリシーの日数、高リスクポートの定義など）
中央設定 Organizations 全体のアカウント・リージョンを一括設定
クロスリージョン集約 集約リージョンを指定して全リージョンの検出結果を一元管理

データフォーマット

ASFF（AWS Security Finding Format） を使用します。1,000 以上のフィールドを持つ JSON 形式で、リソース・重大度・タイムスタンプなどを統一的に表現します。

EventBridge 連携

ファインディングは detail type "Security Hub Findings – Imported" で EventBridge に配信されます。

前提条件

  • AWS Config が必須（Config の料金は別途発生）
  • Security Hub CSPM が有効化する Config ルール（サービスリンクルール）については別途課金なし

Security Hub（統合プラットフォーム）とは

新しい Security Hub は、CSPM を含む複数のセキュリティサービスからのシグナルを自動的に相関分析し、本当に危険なリスクを優先順位付けする統合プラットフォームです。

以下の機能は Security Hub にしかなく、CSPM 単体にはありません。

エクスポージャー検出（Exposure Findings）

複数のサービス（Inspector, CSPM, Macie）からのシグナルを相関分析し、複合的なリスクを自動検出します。

たとえば、こんなファインディングが生成されます。

Potential Credential Stealing: Internet reachable EC2 instance with administrative instance profile has network-exploitable software vulnerabilities with a high likelihood of exploitation.

— Security Hub FAQ より

個別のファインディングを見ているだけでは気づけない、組み合わせによるリスクを自動で浮き上がらせてくれます。

攻撃経路分析（Attack Path Analysis）

脆弱性や設定ミスがどのように連鎖して重要なリソースを侵害しうるか、攻撃経路をグラフで可視化します。「どのリソースから手を付けるべきか」を直感的に判断できます。

重大度の自動計算

以下の 5 つの要素を総合的に分析して、エクスポージャーの重大度（Critical / High / Medium / Low）を自動決定します。

  1. 発見の容易さ — ポートスキャンやインターネット検索で発見可能か
  2. 悪用の容易さ — オープンなネットワークパスや設定ミスがあるか
  3. 悪用の可能性 — EPSS（Exploit Prediction Scoring System）スコアや内部脅威インテリジェンスに基づく確率
  4. 認知度 — 公開されたエクスプロイトコードが存在するか
  5. 影響度 — 機密性・完全性・可用性への潜在的な被害

未使用 IAM アクセス分析

統合 Security Hub を有効化すると、90 日間使用されていない IAM ロール・ユーザー・アクセスキー・パーミッションを自動検出する機能が利用できるようになります。さらに、スコープダウンされた代替ポリシーの推奨も提供してくれます。

その他の独自機能

  • セキュリティフォーカスのリソースインベントリ — セキュリティポスチャーと設定を統合したリソース一覧
  • トレンド分析 — エクスポージャーサマリーや脅威トレンドの時系列ダッシュボード
  • ネイティブチケッティング連携 — Jira Cloud / ServiceNow ITSM との直接統合

データフォーマット

OCSF（Open Cybersecurity Schema Framework） を使用します。Linux Foundation 配下のオープン標準で、サードパーティツールとの相互運用性が高いのが特徴です。

EventBridge 連携

ファインディングは detail type "Findings Imported V2" で配信されます（CSPM とは異なります）。

前提条件

  • Security Hub CSPM と Amazon Inspector がコアサービスとして含まれる
  • AWS Config は Security Hub 自体は直接利用しないが、コアサービスとして含まれる CSPM が Config を必要とするため、実運用では Config の有効化が前提となる
  • Amazon GuardDuty と Amazon Macie は推奨だがオプション

機能比較まとめ

AWS 公式 FAQ に掲載されている比較表をベースに整理します。

Security Hub（統合） Security Hub CSPM
主なユースケース 統合的なリスク管理。優先順位の自動判定 セキュリティポスチャー管理。ベストプラクティスチェック
シグナル分析 複数サービスのシグナルを自動相関・エンリッチメント 個別のチェック結果を生成
コア機能 ファインディング集約、自動相関、エクスポージャー検出、攻撃経路分析、リソースインベントリ、自動応答ワークフロー、ベストプラクティスチェック ベストプラクティスチェック、設定評価、ファインディング集約
ダッシュボード カスタマイズ可能ウィジェット、エクスポージャーサマリー、脅威トレンド、攻撃経路可視化 セキュリティスコア、ファインディング一覧
レスポンス機能 ネイティブチケッティング（Jira/ServiceNow）、自動応答ワークフロー、EventBridge 連携 EventBridge 連携
データフォーマット OCSF ASFF
サードパーティファインディング受信 非対応（CSPM 側のインテグレーションを利用。CSPM 並行利用で既存連携は維持可能） 対応（パートナーツールから ASFF で双方向）

料金モデルの違い

Security Hub CSPM（単体利用）

3 次元の従量課金モデルです。

課金軸 料金
セキュリティチェック 最初の 100,000 件: $0.0010/チェック
ファインディング取り込み（finding ingestion） 最初の 10,000 件/月: 無料、超過分: $0.00003/件
自動化ルール評価 最初の 100 万件: 無料

※AWS Config の料金が別途必要です。

Security Hub（Essentials Plan）

リソースユニット単位の統合課金です。Security Hub を有効化するとデフォルトで Essentials Plan が適用され、CSPM + Inspector の個別課金がこちらに統合されます。

リソースタイプ リソースユニット換算
EC2 インスタンス 1 台 = 1 ユニット
Lambda 関数 12 関数 = 1 ユニット
ECR コンテナイメージ 18 イメージ = 1 ユニット
IAM ユーザー/ロール 125 = 1 ユニット

Essentials Plan に含まれるもの:

  • リスク分析・エクスポージャー検出
  • リソースインベントリ
  • ワークフロー自動化
  • 自動化ルール（追加課金なし）
  • ファインディング取り込み（追加課金なし）
  • CSPM（ポスチャー管理）
  • EC2 / ECR / Lambda の脆弱性スキャン（Inspector 相当）
  • スキャン回数の制限なし（リソースユニット課金に含まれる）

ポイント: Essentials Plan ではセキュリティチェックやファインディング取り込みが無制限になるため、利用量に応じた予算計画が立てやすくなります。

オプションアドオン

  • Threat Analytics（GuardDuty ベース）: 使用量ベース課金
  • Extended Plan（パートナーソリューション）: ソリューション別課金

使い分けの考え方：「どこまで見るか」で決める

両者の違いを一番シンプルに表すと、セキュリティ管理の深度の違いです。

Security Hub CSPM:
  設定ミスある？ → ある / ない
  → スコアで準拠状況を可視化

Security Hub（統合）:
  設定ミスある？ + それ悪用できる？ + 実際に狙われてる？ + 機密データ触れる？
  → 総合的に最もリスクの高いものを特定

CSPM は「設定の正しさ」までを見るツール。統合 Security Hub は「実際のリスク」まで踏み込んで見るツールです。規模の大小ではなく、セキュリティをどこまで深く管理したいかで選ぶのが正しい判断軸になります。

こんな場合は Security Hub CSPM

「設定がベストプラクティスに沿っているかを確認・維持できればOK」 という深度であれば、CSPM で十分です。

見たいのは「設定の正しさ」まで

「CIS Benchmark に準拠しているかを定期的に確認したい」「PCI DSS の監査に向けてエビデンスを出したい」など、設定ミスの検出とスコア管理が主目的の場合。「この設定が正しいか間違っているか」を知りたいだけであれば、CSPM のチェックで事足ります。

既に個別サービスで運用が回っている

GuardDuty や Inspector を個別に運用していて、それぞれのコンソールで管理するワークフローが確立されている場合。脅威検知や脆弱性管理は別チームが別ツールで見ている、という組織なら、CSPM で「設定の正しさ」だけを見るレイヤーに留めるのも合理的です。

ASFF ベースの既存連携がある

SIEM やカスタムツールが ASFF フォーマットを前提に構築されている場合。Security Hub（新）は OCSF フォーマットを使うため、移行には既存連携の改修が伴います。

サードパーティツールからのファインディング取り込みが必要

Security Hub（新）はサードパーティパートナーツールからの直接的なファインディング受信をサポートしていません。パートナーツールとの双方向連携を使いたい場合は、CSPM 側のインテグレーションを利用します。なお、統合 Security Hub と CSPM は並行利用できるため、CSPM 側で受信したファインディングは CSPM コンソール上で引き続き閲覧・管理可能です。既存のサードパーティ連携が使えなくなるわけではありません。

こんな場合は Security Hub（統合プラットフォーム）

「設定の正しさだけでなく、今この瞬間なにが一番危ないかまで把握したい」 という深度であれば、統合 Security Hub が適しています。

「設定ミスがある」だけでは判断できない

ファインディングが数千件あって優先順位がつけられない場合。CSPM は「設定ミスがある」としか教えてくれませんが、統合 Security Hub は「その設定ミスがあるリソースは、インターネットに公開されていて、かつ管理者権限を持っていて、かつ既知の脆弱性がある」→ Critical、という判断を自動でやってくれます。

攻撃者の視点でリスクを理解したい

「この脆弱性が悪用されたら、どのリソースまで被害が及ぶか？」を視覚的に把握したい場合。攻撃経路グラフで連鎖的なリスクをマッピングし、「どこから手を付けるべきか」を攻撃者の視点で判断できます。

IAM の棚卸しで「使われていない権限」まで見たい

90 日間使われていないロール・ユーザー・パーミッションを自動検出し、最小権限ポリシーの推奨まで出してくれます。CSPM の「IAM の設定が正しいか」だけでなく、「そもそもこの権限要るの？」まで踏み込めます。

セキュリティ運用を一つの画面で完結させたい

GuardDuty + Inspector + CSPM + Macie を個別に見るのではなく、一つのダッシュボードで相関されたリスクを確認し、Jira や ServiceNow に自動でチケットを切りたい場合。「設定の正しさ」だけでなく「脅威」「脆弱性」「機密データ」すべてを横断的に見たいケースです。

まとめ

Security Hub CSPM Security Hub（統合）
「うちの AWS 環境、ベストプラクティスに沿ってる？」を確認するツール 「うちの AWS 環境で、今一番危険なのは何？」を教えてくれるツール
見る範囲: 設定の正しさ まで 見る範囲: 実際のリスク まで
チェックリスト型 リスクインテリジェンス型

使い分けの軸は「規模」ではなく「セキュリティ管理の深度」です。

  • 「設定がベストプラクティスに沿っているかを確認・維持できればOK」→ CSPM
  • 「設定ミスだけでなく、脆弱性・脅威・機密データを横断して "今何が一番危ないか" まで知りたい」→ 統合 Security Hub

AWS 自体も統合 Security Hub を推奨していますが、CSPM で十分なケース（既存連携の維持、サードパーティファインディングの双方向連携など）も確かにあります。自分の組織が「どこまで見たいか」を起点に判断してみてください。

なお、AWS が推奨するベストプラクティスは両方有効化して統合的に使うことです。統合 Security Hub + CSPM + Inspector をセットで有効化し、さらに GuardDuty や Macie も追加するのが最も効果的な構成とされています。本記事で紹介した「CSPM だけで十分なケース」は、あくまで特定の技術的制約がある場合の選択肢です。

この記事がどなたかの一助になれば幸いです。

参考リンク

※本記事は 2026 年 6 月時点の AWS 公式ドキュメント・FAQ に基づいています。最新の仕様は各リンク先でご確認ください。

しみず (記事一覧)

クロスインダストリー第1本部 クラウドコンサルティング2課

腰痛と戦う駆け出しエンジニア