ความปลอดภัยบนคลาวด์ต้องตรวจสามด้านพร้อมกัน คือการตั้งค่าของคลาวด์ ระบบที่กำลังทำงานอยู่ และสิทธิ์ของบัญชี เครื่องมือตรวจสามด้านนี้เดิมขายแยกกัน ได้แก่ CSPM (ตรวจการตั้งค่าคลาวด์) CWPP (ปกป้องระบบที่ทำงานอยู่) และ CIEM (ตรวจสิทธิ์ของบัญชีบนคลาวด์) CNAPP (cloud-native application protection platform คือแพลตฟอร์มปกป้องแอปบนคลาวด์) รวมเครื่องมือเหล่านี้ไว้ในแพลตฟอร์มเดียว และดูแลแอปตลอดช่วงชีวิต ตั้งแต่โค้ดจนถึงระบบที่ใช้งานจริง บทความนี้อธิบายว่าแต่ละเครื่องมือทำอะไร CNAPP เพิ่มอะไร และตัดสินใจเลือกอย่างไรโดยไม่จัดอันดับผลิตภัณฑ์
คำว่า CNAPP มาจากไหน และแหล่งข้อมูลตรงกันหรือไม่
แหล่งข้อมูลรองระบุว่า Gartner (บริษัทวิจัยตลาดเทคโนโลยี) เป็นผู้ตั้งชื่อ CNAPP ในรายงานปี 2021 รายงานของ Gartner ต้องจ่ายเงินจึงจะอ่านได้ บทความนี้จึงไม่ได้อ่านต้นฉบับ และใช้นิยามจาก CSA (Cloud Security Alliance องค์กรที่เผยแพร่แนวปฏิบัติด้านความปลอดภัยคลาวด์) IBM และ Microsoft แทน ทั้งสามแหล่งอธิบายตรงกันว่า CNAPP คือการรวมเครื่องมือหลายตัวไว้บนแพลตฟอร์มเดียว แต่รายการเครื่องมือที่รวมไม่เหมือนกัน CSA และ IBM นับ CIEM เป็นส่วนหนึ่ง ส่วนหน้าภาพรวมของ Microsoft Defender for Cloud (อัปเดตล่าสุดเดือนสิงหาคม 2026) ระบุองค์ประกอบหลักสามอย่าง คือ CSPM, DevSecOps (ความปลอดภัยของโค้ดและขั้นตอนสร้างระบบ) และ CWPP CNAPP เป็นเพียงชื่อหมวดของตลาด ไม่ใช่มาตรฐานที่กำหนดขอบเขตตายตัว จึงควรดูว่าผลิตภัณฑ์ทำอะไรได้จริง ไม่ใช่ดูแค่ชื่อหมวด
CSPM, CWPP และ CIEM ตอบคำถามต่างกัน
เครื่องมือทั้งสามตรวจคนละด้าน และแต่ละตัวมีจุดที่มองไม่เห็น ดังนี้:
- CSPM (cloud security posture management): ถามว่า "การตั้งค่าคลาวด์ของเรามีจุดผิดพลาดหรือไม่" เช่น พื้นที่เก็บข้อมูลที่เปิดให้คนทั่วไปเข้าถึงได้ บทความของ CSA ระบุว่าเครื่องมือกลุ่มนี้เห็นความเสี่ยงภายในระบบที่กำลังทำงานอยู่ได้น้อย
- CWPP (cloud workload protection platform): ถามว่า "ระบบที่กำลังทำงานอยู่มีช่องโหว่หรือร่องรอยการโจมตีหรือไม่" workload คืองานที่รันบนคลาวด์ เช่น เครื่องเสมือน container (หน่วยที่แพ็กแอปพร้อมสิ่งที่แอปต้องใช้) และฟังก์ชัน serverless (โค้ดที่คลาวด์รันให้ตามคำขอ โดยไม่ต้องดูแลเซิร์ฟเวอร์เอง) CSA ระบุว่ากลุ่มนี้เห็นรายละเอียดภายใน workload ได้ดี แต่ไม่เห็นการตั้งค่าส่วนกลางของคลาวด์ และมักมีส่วนที่ตรวจไม่ครอบคลุม เพราะต้องติดตั้ง agent (ซอฟต์แวร์เล็ก ๆ บนเครื่อง)
- CIEM (cloud infrastructure entitlement management): ถามว่า "บัญชีและบทบาทบนคลาวด์มีสิทธิ์เกินกว่าที่ต้องใช้หรือไม่" เป้าหมายคือสิทธิ์เท่าที่จำเป็น (least privilege คือให้บัญชีเข้าถึงได้เฉพาะสิ่งที่งานต้องใช้) CSA ระบุว่ากลุ่มนี้ยังครอบคลุมข้อมูลรับรองการเข้าใช้ (credential) แบบอื่นและความเสี่ยงระดับ workload ได้ไม่ครบ
ลองดูตัวอย่างสมมติ (ไม่ใช่เหตุการณ์จริง) ที่ต้องใช้ทั้งสามมุมมองจึงจะเห็นความเสี่ยงครบ เครื่องเสมือนหนึ่งเครื่องเปิดสู่อินเทอร์เน็ต ซอฟต์แวร์ในเครื่องมีช่องโหว่ และเครื่องนั้นผูกกับบทบาท (role คือชุดสิทธิ์ที่กำหนดให้บัญชีหรือเครื่อง) ที่เข้าถึงที่เก็บข้อมูลลูกค้าได้ ถ้าใช้เครื่องมือแยกกัน แต่ละตัวเห็นเพียงหนึ่งข้อจากสามข้อ เมื่อนำผลมารวมกัน จึงเห็นเส้นทางโจมตี (attack path คือลำดับจุดอ่อนที่ผู้โจมตีใช้ต่อกันจนถึงข้อมูลสำคัญ) ครบทั้งเส้น CSA ระบุว่านี่คือสิ่งที่แพลตฟอร์มแบบรวมช่วยหาได้ และเครื่องมือที่แยกกันอาจมองข้าม รายละเอียดของการตรวจการตั้งค่าอยู่ในบทความ CSPM ส่วนเรื่องสิทธิ์เกินจำเป็นอยู่ในบทความเปรียบเทียบ IAM IGA PAM และ CIEM
CNAPP เพิ่มอะไรจากสามตัวนี้
ตามที่ IBM และ Microsoft อธิบาย ผลิตภัณฑ์ CNAPP มักเพิ่มความสามารถต่อไปนี้ แต่ไม่ใช่ทุกผลิตภัณฑ์ที่มีครบ:
- ตรวจก่อนขึ้นระบบจริง (shift-left): ย้ายการตรวจมาไว้ตั้งแต่ตอนเขียนโค้ดและสร้างระบบ เช่น ตรวจไฟล์ IaC (infrastructure as code คือไฟล์ที่กำหนดโครงสร้างคลาวด์เป็นโค้ด) เพื่อหาการตั้งค่าที่ผิดและความลับที่หลุดอยู่ในโค้ด ก่อนนำขึ้นใช้งาน
- KSPM (Kubernetes security posture management คือการตรวจสถานะความปลอดภัยของ Kubernetes): ตรวจการตั้งค่าของ Kubernetes (ซอฟต์แวร์จัดการ container) พื้นฐานดูได้ในบทความความปลอดภัยของ container และ Kubernetes
- DSPM (data security posture management คือการตรวจสถานะความปลอดภัยของข้อมูล): ค้นหาว่าข้อมูลสำคัญเก็บอยู่ที่ใด และป้องกันไว้อย่างไร
- มุมมองรวมและเส้นทางโจมตี: นำผลจากทุกด้านมาประกอบกัน เพื่อดูว่าจุดอ่อนใดต่อกันเป็นเส้นทางโจมตี และควรแก้จุดไหนก่อน Microsoft ระบุว่าความสามารถ attack path analysis อยู่ในแผน Defender CSPM แบบเสียเงิน ไม่ได้อยู่ในแผนฟรี
ผู้ผลิตแต่ละรายแบ่งความสามารถเป็นแพ็กเกจต่างกัน ตัวอย่างจากเอกสารของ Microsoft คือ Defender for Cloud มี Foundational CSPM ที่ใช้ฟรี และ Defender CSPM ที่เสียเงินและเพิ่มความสามารถ เช่น attack path analysis และการสแกนช่องโหว่ของเครื่องเสมือนแบบ agentless (ไม่ต้องติดตั้ง agent บนเครื่อง) ตัวอย่างนี้ใช้แสดงว่า การมี CNAPP ไม่ได้แปลว่าได้ทุกความสามารถ บทความนี้ไม่ได้เปรียบเทียบหรือจัดอันดับผลิตภัณฑ์
ควรใช้ CNAPP เมื่อไร
ส่วนนี้เป็นความเห็นของบทความเอง ไม่ได้มาจากมาตรฐานใด องค์กรที่ใช้คลาวด์รายเดียว มีระบบไม่มาก และมีทีมเล็ก อาจเริ่มจาก CSPM เพื่อตรวจการตั้งค่าให้ครบก่อน แล้วค่อยเพิ่มส่วนอื่น องค์กรที่ใช้หลายคลาวด์ มี container หรือ Kubernetes และปล่อยระบบใหม่บ่อย จะได้ประโยชน์มากกว่าจากการดูข้อมูลทุกด้านในที่เดียว เพราะจุดอ่อนที่ต่อกันเป็นเส้นทางโจมตีมักข้ามหลายด้าน งานไหนเป็นหน้าที่ของผู้ให้บริการคลาวด์ และงานไหนเป็นหน้าที่ขององค์กร ดูบทความโมเดลความรับผิดชอบร่วมกัน
ก่อนคุยกับผู้ขาย บทความนี้เสนอให้ถามคำถามเหล่านี้:
- ครอบคลุมสิ่งที่ใช้จริงหรือไม่: ครอบคลุมคลาวด์ทุกราย ทุก account และทุกบริการที่องค์กรใช้อยู่ รวมถึง Kubernetes ถ้ามี
- เก็บข้อมูลแบบไหน: แบบ agent ต้องติดตั้งซอฟต์แวร์บนเครื่อง และอาจมีส่วนที่ตรวจไม่ครอบคลุม ส่วนแบบ agentless ไม่ต้องติดตั้ง ให้ถามว่าแต่ละแบบเห็นอะไรได้และเห็นอะไรไม่ได้
- จัดลำดับความสำคัญอย่างไร: ดูบริบท เช่น เปิดสู่อินเทอร์เน็ตหรือไม่ และมีสิทธิ์สูงหรือไม่ ไม่ใช่เรียงตามคะแนน CVSS (คะแนนความรุนแรงของช่องโหว่) อย่างเดียว
- ส่งต่อให้ระบบเดิมได้หรือไม่: ส่งการแจ้งเตือนเข้า SIEM (ระบบรวบรวมและวิเคราะห์ log) หรือระบบแจ้งงานที่ทีมใช้อยู่ เพื่อให้ทุกเรื่องมีเจ้าของที่รับไปแก้
- ความสามารถไหนอยู่ในแพ็กเกจไหน: ขอเอกสารยืนยันว่าฟีเจอร์ที่ต้องใช้รวมอยู่ในราคาที่เสนอ
บทความบนบล็อกของ CSA ปี 2025 เขียนโดยพนักงานของผู้ผลิตเครื่องมือรายหนึ่ง จึงเป็นความเห็นของผู้เขียน บทความนั้นให้ข้อสังเกตว่า CNAPP จำนวนมากมองระบบจากด้านโครงสร้างพื้นฐาน คือการตั้งค่า สิทธิ์ ทรัพยากรที่เปิดสู่ภายนอก และ image (ไฟล์ต้นแบบที่ใช้สร้าง container) แต่มองไม่เห็นว่าแอปทำอะไรกับข้อมูล API และการยืนยันตัวตนภายในแอป ดังนั้นไม่ควรถือว่า CNAPP ใช้แทนการทดสอบความปลอดภัยของตัวแอปได้
ข้อผิดพลาดที่พบบ่อย
- ซื้อเพราะชื่อหมวด: คิดว่าซื้อ "CNAPP" แล้วจะได้ครบทุกอย่าง โดยไม่ตรวจว่าฟีเจอร์ที่ต้องใช้อยู่ในแพ็กเกจที่ซื้อหรือไม่
- เชื่อมไม่ครบทุก account: เชื่อมเฉพาะ account หลัก ลืม account ทดสอบหรือของทีมอื่น ภาพรวมจึงขาดส่วนที่ไม่รู้ว่ามีอยู่
- ไม่กำหนดเจ้าของงานแก้: ได้รายการแจ้งเตือนจำนวนมากแต่ไม่มีใครรับผิดชอบแก้ ความเสี่ยงจึงไม่ลดลงจริง
- แก้ตามความง่ายแทนบริบท: แก้รายการที่ทำง่ายก่อน จนจุดอ่อนที่ต่อกันเป็นเส้นทางโจมตียังค้างอยู่
- เชื่อว่า CNAPP ครอบคลุมตัวแอปด้วย: ไม่ทดสอบ API และตรรกะของแอป เพราะเข้าใจว่าเครื่องมือเห็นหมดแล้ว
ขั้นแรกที่ทำได้ทันที
- ทำรายการ account คลาวด์ทั้งหมด: จดทุก account หรือ subscription พร้อมชื่อเจ้าของ
- เริ่มจากการตั้งค่า: ถ้ายังไม่มีการตรวจแบบ CSPM ให้เริ่มตรวจการตั้งค่า และแก้ข้อที่เสี่ยงสูงสุดก่อน
- ตรวจสิทธิ์เกินจำเป็น: ดูบทบาทและบัญชีที่มีสิทธิ์กว้าง แล้วตัดสิทธิ์ที่ไม่ได้ใช้ออก
- ตรวจว่ามี container หรือ Kubernetes หรือไม่: ถ้ามี ให้เพิ่มการตรวจส่วนนี้ในแผน
- เขียนคำถามประเมิน 5 ข้อ: ใช้คำถามด้านบนเป็นเกณฑ์ และทดลองใช้จริง (PoC หรือ proof of concept) กับ account ที่เลือกไว้ ก่อนตัดสินใจซื้อ
- กำหนดเจ้าของงานแก้และเวลาที่ต้องแก้เสร็จ: ตกลงกันก่อนเปิดการแจ้งเตือนทั้งหมด
หากต้องการดูว่าความปลอดภัยด้านคลาวด์ขององค์กรอยู่ในระดับใด ลองใช้แบบประเมินตนเอง
ขอบเขตและความถูกต้องของข้อมูล
ข้อมูลมาจากเอกสารของ Microsoft ที่อ่านเมื่อวันที่ 27 ตุลาคม 2026 (หน้าภาพรวมอัปเดตเดือนสิงหาคม 2026 และหน้า CSPM อัปเดตเดือนกันยายน 2026) บทความของ IBM และบทความสองชิ้นบนเว็บไซต์ CSA ชิ้นแรกเผยแพร่ครั้งแรกในปี 2022 โดยผู้ผลิตเครื่องมือรายหนึ่ง ชิ้นที่สองเผยแพร่ในปี 2025 โดยพนักงานของผู้ผลิตรายหนึ่ง ทั้งสองชิ้นจึงมีมุมมองของผู้ขาย และไม่ใช่มาตรฐานของ CSA ผู้เขียนค้นแล้วไม่พบเอกสารแนวทางทางการของ CSA ที่กำหนดนิยามของ CNAPP รายงานของ Gartner ต้องจ่ายเงินจึงจะอ่านได้ และผู้เขียนไม่ได้อ่าน ความสามารถของผลิตภัณฑ์เปลี่ยนบ่อย ควรตรวจเอกสารปัจจุบันของผู้ผลิตก่อนตัดสินใจ
แหล่งอ้างอิงและข้อมูลเพิ่มเติม
- Microsoft Defender for Cloud overview: ตัวอย่างว่าผู้ให้บริการรายหนึ่งอธิบายองค์ประกอบของ CNAPP อย่างไร (CSPM, DevSecOps, CWPP)
- Microsoft: Cloud security posture management in Defender for Cloud: แผน CSPM แบบฟรีและแบบเสียเงิน และความสามารถที่ต่างกัน
- CSA: Know your cloud security acronyms: นิยามและจุดที่มองไม่เห็นของ CWPP, CSPM, CIEM และ CNAPP (ผู้ผลิตเป็นผู้เผยแพร่ครั้งแรก จึงมีมุมมองของผู้ขาย)
- CSA blog: Breaking the cloud security illusion: ความเห็นว่า CNAPP มองไม่เห็นชั้นของตัวแอป (เขียนโดยพนักงานของผู้ผลิต)
- IBM: What is a CNAPP?: นิยามและความสามารถเพิ่มเติม เช่น KSPM, DSPM และการสแกน IaC
- NIST SP 800-190: Application Container Security Guide: แนวทางความปลอดภัยของ container ซึ่งเป็นพื้นฐานของส่วนปกป้อง workload