AWS Security Hubとは？CSPMとの違い・料金と導入判断を実装者目線で解説

AWSマネジメントコンソールで「Security Hub」を開くと、いま2つのサービスが並んでいます。2025年12月に統合版のAWS Security HubがGAし、それまでのSecurity Hubは「AWS Security Hub CSPM」へ改称されたためです。検索で見つかる解説がどちらを指すか分からないまま設定を進めると、料金モデルも自動化ルールの書き方も食い違います。この記事では2系統の役割分担、AWS Configを前提とする有効化条件、ASFFとOCSFで分かれた検出結果の扱い、料金モデルの差、採用条件と見送り条件を実装者目線で整理します。

まとめ：AWS Security Hub導入の判断基準と最初に確認すべき前提

AWS Security Hubは、自分で脅威を検知するサービスではありません。GuardDutyが出す脅威、Inspectorが出す脆弱性、AWS Configが出す設定違反を集め、正規化し、対応の優先順位を付ける集約層です。材料を出す側を先に揃えてから有効化する順序になります。

確認すべき前提は3つです。第1に、設定準拠の確認だけならCSPM、脆弱性・脅威・機密データを横断して危険度の高いものを特定したいなら統合版、という選択。第2に、AWS Configの有効化とリソース記録。CSPMのコントロールの大半はConfigのサービスリンクルールで動くため、Configが無効ではスコアが出ません。第3に、料金の増え方の違い。採用の線引きは組織規模ではなく体制で引いてください。検出結果を週次以上でトリアージする担当が居ない環境では、有効化しても請求額が増えるだけです。

同名2サービスが並存するAWS Security Hubの現在地と役割分担

設計を始める前に、どちらのSecurity Hubの話かを固定します。ここが曖昧なまま進むと、参照するドキュメントも料金試算も噛み合いません。

2025年12月のGAで分かれた新旧2系統とサービス名称の対応関係

2018年から提供されてきたAWS Security Hubは、2025年12月のre:Invent 2025で統合版がGAしたタイミングで「AWS Security Hub CSPM」へ改称されました。社内で「Security Hub」と呼んできたものは、現在の名称ではCSPMを指します。新しくAWS Security Hubを名乗るのは、CSPMを内包しつつ脅威・脆弱性・機密データのシグナルを相関させる統合プラットフォームです。

既存のCSPM利用者に強制的な移行は課されていません。期限が設定されていたのはパブリックプレビュー参加者で、2026年1月15日までにGA体験へオプトインしない場合は全アカウント・全リージョンで自動的に無効化される、と公式に案内されていました。新規検討時の選択肢は「CSPM」「統合版」「両方の有効化」の3択で、AWSが推奨するのは両方です。

Security Hub CSPMが担うFSBP・CIS標準のコントロール評価

CSPMの中核は、セキュリティ標準に対するコントロール単位の継続チェックです。AWSが定めたAWS Foundational Security Best Practices（FSBP）に加え、CIS Benchmarks、PCI DSS、NISTに対応します。判定の粒度は「S3バケットのパブリックアクセスがブロックされているか」といったレベルで、合否の二値評価に振り切っているのがCSPMの性格です。結果はセキュリティスコアとして集計されます。

あわせてCSPMは、GuardDutyやInspector、サードパーティ製品からの検出結果を受け取る受け皿としても動きます。公式ユーザーガイドにはMicrosoft Azureとの統合章もあり、AWS単独の環境に閉じた仕組みではありません。

新Security Hubの露出検出と攻撃経路可視化による優先順位付け

統合版が持ち込んだのは「露出（Exposure）」という単位です。設定ミス、脆弱性、脅威検出、機密データの所在といった複数のシグナルを掛け合わせ、単独では低リスクに見える問題の組み合わせを1件の露出検出結果にまとめます。インターネットに公開されたEC2に既知の脆弱性があり、そこへ強い権限のIAMロールが付いている──こうした構成が上位に浮かびます。

露出検出結果には攻撃経路の図が含まれ、その露出をどう連鎖させられるかを追えます。仕様上、1つのリソースに対する露出検出結果は最大1件です。リソース単位で「いま一番危ない状態」が1行に集約される、と理解すると設計しやすくなります。ほかにダッシュボード（エグゼクティブとトリアージの2タブ）、機能ごとのアカウント適用状況を示すカバレッジ画面、オプションのThreat Analyticsがあります。

ASFFとOCSF 1.6でスキーマが分岐した検出結果の取り扱い

CSPMは検出結果をAWS Security Finding Format（ASFF）で正規化します。取得APIはGetFindings、EventBridgeへ流れるイベントのdetail-typeは「Security Hub Findings – Imported」。統合版はOpen Cybersecurity Schema Framework（OCSF）を採用し、2026年7月時点でOCSF 1.6をサポートします。取得APIはGetFindingsV2、detail-typeは「Findings Imported V2」に変わりました。

この差は表記ゆれではありません。両者はフィールド構造そのものが異なるため、ASFFのフィールド名を条件に書いた自動化ルールはOCSF側で動きません。AWSはAutomation rulesをOCSFスキーマへ変換・デプロイするCloudFormationテンプレートを提供していますが、自動移行できないルールが残り手動レビューが必要と公式に明記されています。

AWS Configの有効化が前提になる条件とマルチアカウント構成の設計

前提サービスの有効化状態が、そのままカバレッジと請求額に反映されます。

大半のコントロールがAWS Configの記録に依存する前提条件

CSPMのコントロールは、その多くがAWS Configのサービスリンクルールで実装されています。公式ドキュメントも、大半のコントロール検出結果を生成するにはAWS Configを有効化しリソースを記録する必要があると明記しました。Configが無効なままSecurity Hubだけ有効化すると、コントロールが評価されずスコアが出ません。記録対象リソースの選び方はAWS Configとは？設定変更の記録・ルール評価・料金の考え方と導入判断で整理しているので、そこから詰めるとコスト設計まで一続きになります。

費用面の注意が集まるのも、この箇所です。CSPMの30日間無料トライアル中でも、AWS Configの設定項目に対する料金は発生します。無料なのはSecurity Hubの標準が起動したConfigルールの評価分だけで、全リージョン・全リソースタイプを記録したままトライアルに入ると請求の主役はSecurity Hubではなくなります。

Organizations委任管理者が必須になった新Security Hubの構成

マルチアカウント運用の作法も変わりました。CSPMで使えたアカウントの招待と受理によるメンバー管理が、統合版では使えません。AWS Organizations配下で委任管理者アカウントを指定する構成が前提です。手順は、管理アカウントから委任管理者を指定し、そのアカウントで機能を有効化し、組織全体への自動適用を設定する流れになります。

Organizationsを組まず個別アカウントを人手で管理している環境は、統合版の導入前にOrganizationsの整備から着手してください。この順序を飛ばすと、カバレッジ画面が虫食いのまま埋まりません。

CIS完全準拠には全対応リージョンでの有効化が必要になる落とし穴

Security Hubが取り込むのは有効化した後に生成された検出結果だけで、過去に遡って既存の問題を吸い上げる動きはしません。受け取る範囲も有効化したリージョンに限られます。そのためCIS AWS Foundations Benchmarkの完全準拠を掲げるなら、全対応リージョンでの有効化が要件になると公式に案内されています。現実解はクロスリージョン集約で集約先を1つに寄せる構成です。

ここは費用と直結します。全リージョンを有効化すればチェック件数もAWS Configの記録も全リージョンで走るためです。CIS準拠を対外的に証明する必要がないなら、使用リージョンに限定して有効化し、未使用リージョンはService Control Policiesでリソース作成自体を封じるほうが軽く済みます。証明が要るのか、実害を減らしたいのか。この問いを先に決めると設定は一意に定まります。

リソースユニット課金とチェック従量課金という2つの料金モデルの差

2系統で料金の増え方が違うため、見積りの作り方も変わります。以下はAWS料金ページの米国リージョン表記に基づく2026年7月時点の値で、リージョンによって単価は異なります。

Essentialsプランのリソースユニット換算比率と月額の試算例

統合版のEssentialsプランは、環境内のリソース量を「リソースユニット」に換算した月額課金です。単価は1リソースユニットあたり3.75USD。スキャン回数で増減しないため、検出結果が急増しても請求は跳ねません。

EC2が40台、Lambdaが120関数、IAMプリンシパルが250個の環境なら、40＋10＋2で52ユニット、月額195USDという計算になります。EC2の比重が大きい設計のため、サーバーレス中心の構成ほど単価は軽く出ます。全顧客に30日間の無料トライアルが付くので、実環境のユニット数は有効化して実測してください。

CSPM側のチェック課金と月1万件までの検出結果取り込み無料枠

CSPMの課金軸は、セキュリティチェックの実行数、検出結果の取り込みイベント数、Automation rulesの評価数の3つです。取り込みは月10,000件までが無料枠で、超過分から従量課金に入ります。Automation rulesは100万ルール評価を単位に課金されます。

この構造では、請求額はリソース量よりも「有効化した標準の数×アカウント数×リージョン数」でほぼ決まります。統合版のリソースユニット課金はリージョンを増やしてもリソースが増えなければ動かないため、全リージョン展開が前提の組織ほど統合版のほうが見積りは読みやすくなります。

Threat Analyticsのログ取り込み単価と段階ディスカウントの境目

統合版のオプションであるThreat Analyticsは、ログ量に応じた別建て課金です。CloudTrailの管理イベントは100万イベントあたり4.00USD。VPCフローログ、DNSログ、S3、EKS、Lambdaのログは段階制で、初回1,000GBが1GBあたり0.55USD、次の9,000GBが0.25USD、それ以降が0.10USDと下がります。月数百GB程度の環境では0.55USDの帯から出ないため、全サブネットで全トラフィックのVPCフローログを取得している環境は、有効化の前に取得対象を絞ってください。土台になるCloudTrail側の設計はAWS CloudTrailとは？監査とセキュリティを強化する仕組みと合わせて決めると重複が避けられます。

GuardDuty・Inspector・Macieとの役割分担と重複投資の避け方

Security Hubを入れても検出能力は増えません。増えるのは、既に出ている検出結果を処理する効率だけです。

脅威・脆弱性・機密データを出す3サービスと集約側の責務の境界線

材料を供給する主なAWSサービスは3つです。GuardDutyがCloudTrailやVPCフローログ、DNSログから不審な挙動を検知し、Amazon InspectorがEC2・ECRイメージ・Lambdaの既知脆弱性をスキャンし、Amazon MacieがS3上の機密データを検出します。加えてAWS Config、IAM Access Analyzer、Firewall Managerも検出結果を送ります。

脅威検出の仕組みはAmazon GuardDutyとは？AWS環境の脅威検出サービスの基本的な概要と特徴、脆弱性スキャンの実務手順はAmazon Inspectorで行う脆弱性診断の手順とそのメリットが対応します。逆に言えば、GuardDutyもInspectorも無効なままSecurity Hubを有効化しても、集まるのはConfigベースのコントロール検出結果だけです。統合版の露出検出は複数シグナルの相関で成り立つため、供給元が1系統では中核が働きません。

サードパーティCSPM製品と併用する場合の重複投資と切り分け方

既にCNAPP製品やサードパーティのCSPMを導入している環境では、機能が正面から重なります。判断軸はマルチクラウドかAWS単独かの一点に置くとぶれません。Google Cloudを含む3クラウド構成なら外部製品を主系にし、Security Hubは送信元へ回します。AWS単独なら外部製品のライセンス費用を払う理由は薄く、カテゴリ自体の整理はCNAPとは？クラウドネイティブ保護を1つに束ねる仕組みとCNAPPとの違い・採用判断にまとめています。併用時は同じ設定違反が二重に上がるため、どちらを一次窓口にするかを先に決めてください。

Security Hubを採用すべき組織規模と見送るべき3つの条件

実務で費用対効果が出る条件と、出ない条件をそれぞれ言い切ります。

採用条件となるアカウント数と検出結果を処理できる運用体制の有無

効果が出るのは、次の2条件を同時に満たす組織です。第1に、AWS Organizations配下でアカウントが概ね5つ以上あり、環境ごとにセキュリティ設定が分散していること。横断ビューが無いと、どのアカウントに未対応の問題が残るかを人手で追う羽目になります。第2に、検出結果を週次以上の頻度で見る担当が決まっていること。担当が居なければ、集約しても何も起きません。

この2条件が揃うなら統合版のEssentialsプランを推奨します。露出検出が「今週どれから手を付けるか」の答えを出すためです。逆に、監査への回答が主目的で設定準拠の証跡だけが要るならCSPM単体で足ります。

単一アカウント運用や対応体制が無い組織で導入を見送るべき理由

見送るべき条件は3つあります。1つ目は、AWSアカウントが1つでリソースも数十程度にとどまる環境。この規模ならAWS Config単体のルール評価とGuardDutyの通知で回ります。2つ目は、検出結果を処理する担当も外部委託先も決まっていない状態。無料トライアルの後、誰も開かないダッシュボードに月額が発生し続けます。

3つ目は、AWS Configを費用理由で無効にしている環境。Configを入れずSecurity Hubだけ有効化する構成は成立しません。いずれかに当てはまるなら、まず検出側のサービスを1つずつ整えるほうが投資効率は高くなります。

移行でASFF依存の自動化が壊れる失敗パターンと事前の棚卸し

CSPMから統合版へ移る際の典型的な失敗が、自動化の断線です。ASFFのフィールド名でフィルタしていたEventBridgeルール、ASFF構造を前提にJSONをパースしていたLambda関数、ASFF形式で受け取る想定のSIEM連携。これらはOCSFへ切り替わった時点で条件に一致しなくなり、アラートが静かに止まります。エラーが出ないため、気付くまで時間がかかります。

移行前にやることは棚卸しです。ASFFのフィールドを参照する箇所を洗い出し、変換用テンプレートで移行できる分と手で書き直す分に仕分けます。仕分けが終わるまではCSPMと統合版を併用し、旧系統の自動化を生かしたまま移行するのが安全です。棚卸しの工数を割ける人が居ない場合や、現行環境にどんな設定不備が残るかを先に把握したい場合は、脆弱性診断・セキュリティ診断のような外部診断で現状を確定させてから設計に入ると、有効化後に検出結果が大量に出て手が止まる事態を避けられます。

SIEMへ転送するか単体運用にとどめるかの判断軸と運用工数の実態

集約層をSecurity Hubで止めるか、その先のSIEMまで作るか。費用も工数も一桁変わります。

Security Hub単体で完結する範囲とSIEMが必要になる条件

Security Hubが扱うのはセキュリティサービスが出した検出結果だけで、アプリケーションログ、OSのイベントログ、オンプレミス機器のログ、SaaSの監査ログは対象外です。監視対象がAWSリソースに限られるなら単体で運用は成立します。SIEMが要るのは3つの場合。AWS以外の環境やSaaSのログを横断相関したいとき、検出結果を1年を超えて長期保管する要件があるとき、SOCが既にあり全アラートを1窓口へ集約する方針が決まっているときです。機能範囲と製品選定の考え方はSIEMとは？仕組み・機能とEDR/XDR/SOARの違い・製品選定を実装視点で解説で整理しています。どれにも当てはまらない段階でSIEMを先に買うと、投入するログが集まらないまま容量課金だけが走ります。

検出結果を放置しないための運用設計と月次の対応工数の見積り方

有効化直後は検出結果が数百件から数千件出ます。全件対応は現実的でないので、初期対応は重大度と対象環境の2軸で切ります。本番タグの付いたリソースのCRITICALとHIGHだけを対応対象とし、それ以外はAutomation rulesで抑制する。この設定を有効化と同時に入れておくと、初週のトリアージが数十件に収まります。なおAutomation rulesはルール作成より前の検出結果へ遡及適用されないため、後から入れても既存の山は片付きません。

工数は、月次のトリアージ会議1時間、個別対応が1件あたり0.5〜2時間、四半期ごとの抑制ルール見直しに半日、という粒度で置くと現実に合います。統合版の露出検出は件数が絞られる設計のため、CSPMのコントロール検出結果を全件見る運用より工数は下がります。ただし抑制ルールを見直さないと本来対応すべき問題まで紛れ込むので、四半期の棚卸しは外さないでください。

AWS Security Hubの運用と料金に関するよくある質問

検討段階で問い合わせが多い論点を、仕様と料金の観点で5つ回答します。

AWS Security HubとSecurity Hub CSPMはどちらを使えばよいですか？

設定がベストプラクティスに沿っているかを確認し、監査へ回答できる証跡が欲しいだけならSecurity Hub CSPMで足ります。設定ミスに加えて脆弱性・脅威・機密データを横断し、最も危険な組み合わせを特定したいなら統合版です。両者は併用でき、AWSも両方の有効化を推奨しています。判断軸は組織の規模ではなく、運用にどこまで踏み込むかの深度に置いてください。

Security Hubを使うにはAWS Configを有効にする必要がありますか？

CSPMのコントロールは大半がAWS Configのサービスリンクルールで実装されているため、Configの有効化とリソース記録が実質的な前提になります。Configが無効ではコントロールが評価されず、セキュリティスコアも算出されません。なお30日間の無料トライアル中でも、Config側の設定項目に対する料金は発生します。無料になるのはSecurity Hubの標準が起動したConfigルールの評価分だけです。

有効化する前に発生していた問題も検出結果として出ますか？

出ません。Security Hubは有効化した後に生成された検出結果のみを取り込み、遡及的な収集は行いません。受け取る範囲も有効化したリージョンに限られます。監査対応の直前に有効化しても過去分の証跡にはならないため、証跡が要る要件があるなら早い段階で有効化して蓄積を始めてください。

Security Hubの料金はどのくらいかかりますか？

統合版のEssentialsプランは1リソースユニットあたり月額3.75USD（AWS料金ページの米国リージョン表記・2026年7月時点／リージョンで単価は異なる）で、EC2 1台が1ユニット、Lambda 12関数が1ユニット、IAMプリンシパル125個が1ユニットに換算されます。CSPM側はチェック数と検出結果の取り込み数による従量課金で、取り込みは月10,000件まで無料です。どちらも30日間の無料トライアルがあるため、実環境で試算してください。

CSPMから新しいSecurity Hubへ移行するとき何に注意すべきですか？

検出結果のスキーマがASFFからOCSFへ変わる点です。ASFFのフィールド名を条件にしたEventBridgeルール、JSONを直接パースしているLambda関数、SIEM連携は、切り替え後に一致しなくなり通知が止まる可能性があります。AWSはAutomation rulesをOCSFへ変換するテンプレートを提供していますが、自動移行できないルールは手動での見直しが必要です。移行前にASFF依存箇所を棚卸しし、当面は併用して切り替えてください。

関連記事

• AWS Configとは？設定変更の記録・ルール評価・料金の考え方と導入判断：CSPMのコントロールが依存する前提サービス。
• Amazon GuardDutyとは？AWS環境の脅威検出サービスの基本的な概要と特徴：脅威の検出結果を送る側。
• Amazon Macieとは？S3の機密データ検出の仕組み・料金と日本語データの限界：機密データのシグナル供給元。
• AWS KMSとは？仕組み・料金とキーポリシー設計・採用判断：暗号化コントロールの合否に関わる鍵管理。
• AWS Secrets Managerとは？料金・ローテーションと採用判断：認証情報の扱いに関するコントロール対応。