Microsoft Defender for Cloudによるコードからクラウドまでのリスク可視化が一般提供開始 Code-to-cloud risk visibility with Microsoft Defender for Cloud is now generally available

GitHubは、Microsoft Defender for Cloudとの統合によるコードからクラウドまでのリスク可視化機能の一般提供を開始した。これにより開発者は、クラウド環境で検出されたセキュリティリスクをGitHub上で直接確認し、修正対応を進められる。

この統合の核心は、本番環境のクラウドリソースで検出された脆弱性や設定ミスを、その原因となったソースコードやリポジトリへ紐づける点にある。従来、クラウドセキュリティチームと開発者の間には情報の分断があり、本番環境で見つかった問題が誰のコードに起因するのか追跡しづらかった。コンテキストを開発者の作業環境であるGitHubに持ち込むことで、修正までのリードタイム短縮や、リスクの高い問題への優先順位付けが期待される。

背景には、いわゆるASPM（Application Security Posture Management）やCNAPP（Cloud-Native Application Protection Platform）と呼ばれる領域の拡大がある。Microsoft Defender for CloudはCNAPP製品として位置づけられ、クラウドワークロード保護（CWPP）やクラウド設定管理（CSPM）を提供してきた。近年はSnyk、Wiz、Palo Alto Networks（Prisma Cloud）など各社が「コードからクラウドまで」の文脈で類似機能を強化しており、開発と運用、セキュリティを横断するシフトレフト／シフトライトの取り組みが業界全体のトレンドとなっている。

GitHub Advanced Securityがコード側のシークレットスキャンや依存関係チェックを担い、Defender for Cloud側がランタイムを監視するという役割分担で、両者を結びつけることで開発ライフサイクル全体での一貫したリスク管理が実現される構図と見られる。Microsoftが買収したGitHubと自社セキュリティ製品群の統合が進む流れの一環と位置づけられる。