業種別にCASBを選ぶ前の共通の判断軸
業種によって重視点は変わりますが、出発点となる考え方は共通しています。CASB（Cloud Access Security Broker）は、社員のクラウド利用を可視化し制御する仕組みです。まずは自社が守るべきデータと、従うべきルールを明らかにしておきましょう。
業界ガイドラインと社内規程の確認
金融や医療、官公庁などの業界では、情報システムの安全管理について業界団体や行政機関がガイドラインを公表しています。CASBの選定では、これらのガイドラインが求める管理策のうち、どれをCASBで補うのかを明確にすることが出発点です。
あわせて、社内の情報セキュリティ規程やクラウド利用ルールも確認します。規程とCASBの設定内容が食い違うと、監査の際に説明が難しくなります。規程の条文とCASBの設定項目を対応づけた一覧表を用意しておくと安心です。
扱うデータの種類と保管先の整理
次に、業務で扱うデータの種類と、それがどのクラウドサービスに保管されているかを整理します。顧客の口座情報、患者の診療情報、設計図面など、業種によって守るべきデータは異なります。
データの重要度を「社外秘」「個人情報」「公開可」のように分類しておくと、CASBでどのデータを重点的に監視するかを決めやすくなります。分類が曖昧なまま導入すると、検知ルールが広すぎて誤検知が増えたり、反対に重要なデータの監視が漏れたりする可能性があります。
金融・保険業でCASBに求められる要件
金融業や保険業は、顧客の資産や個人情報を扱うため、厳格なアクセス管理と記録の保存が求められる業種です。ここでは、金融業と保険業それぞれでCASBを選ぶ際に確認したいポイントを、業務の特徴とあわせて解説します。
金融業は監査証跡とアクセス制御を重視する
金融業では、金融情報システムセンターが公表するFISC安全対策基準などを参考に、システムの安全対策を整備している企業があります。CASBを選ぶ際は、誰がどのデータにアクセスしたかを示す監査証跡を、必要な期間保存できるかを確認しましょう。
また、許可したクラウドサービスでも、個人所有のアカウントでのログインを制限できるかも重要な確認点です。会社のアカウントと私用アカウントを見分けて制御できるかは、製品や接続方式によって異なるため、デモで確かめておくと安心です。
保険業は代理店を含めた利用管理を想定する
保険業では、自社の社員に加えて、代理店や外部委託先がクラウドサービスで顧客情報を扱う場面があります。そのため、社外のユーザーがアクセスする共有フォルダやファイルの公開範囲を監視できるかがポイントです。
API型のCASB（クラウドサービスと直接接続して設定やファイルを確認する方式）であれば、外部共有されたファイルの検出に対応する製品があります。代理店ごとにアクセス権を分ける運用ができるか、レポートを代理店単位で出力できるかも確認しましょう。
医療法人や官公庁でのCASB活用のポイント
医療法人と官公庁・自治体は、個人情報や住民情報など、取り扱いに特に注意が必要な情報を扱います。一方で、業務効率化のためにクラウドの活用も進みつつあるため、利用を止めるのではなく、安全に使うための管理が求められます。
医療法人は患者データのアップロード制御を確認する
医療法人では、厚生労働省の「医療情報システムの安全管理に関するガイドライン」を参考に、情報管理の体制を整える必要があります。CASBでは、患者の氏名や病名を含むファイルが、許可されていないクラウドへアップロードされるのを検知・制御できるかが重要です。
確認したいのは、機密情報の検知（DLP）で日本語の文書を判定できるか、画像やPDFの内容まで検査できるかです。電子カルテなど既存システムとの通信に影響が出ないかも、導入前に検証しましょう。
官公庁・自治体はクラウド利用の棚卸しから始める
官公庁や自治体では、職員が利用しているクラウドサービスを洗い出す「棚卸し」が、クラウド活用の第一歩です。CASBの可視化機能を使えば、ネットワークの通信記録から利用中のサービスを一覧化し、リスクの度合いを把握できます。
政府機関のクラウド調達では、ISMAP（政府情報システムのためのセキュリティ評価制度）のクラウドサービスリストが参照されます。CASB自体やCASBで管理する対象サービスの登録状況も、選定時に確認しましょう。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でCASBの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
製造業・IT企業・商社でのCASBの選び方
製造業、IT企業、商社は、取引先や海外拠点とデータをやり取りする場面が多い傾向にあります。守るべき情報の種類や、クラウドを使う場面、関係する国や地域の規制がそれぞれ異なるため、業種ごとに確認したいCASBの機能を整理します。
製造業は図面や技術情報の持ち出しを管理する
製造業では、設計図面や製造ノウハウといった技術情報が、取引先とのファイル共有を通じて社外に出る可能性があります。CASBを選ぶ際は、ファイル共有サービスでの外部共有を検知し、特定の拡張子やキーワードを含むファイルを制御できるかを確認しましょう。
また、工場や設計部門では、本社と異なるネットワーク環境を使っている場合があります。拠点ごとの通信をCASBで把握できるか、既存のネットワーク構成を大きく変えずに導入できるかも比較の材料です。
IT企業は開発系SaaSの多さに対応する
IT企業では、ソースコード管理やプロジェクト管理、チャットなど、開発に使うSaaSが多岐にわたります。新しいツールを試す機会も多いため、利用サービスを継続的に把握できる可視化機能が求められます。利用を一律に止めず、条件付きで許可できる制御機能もあると便利です。
あわせて、ソースコードやAPIキーなどの機密情報を検知できるDLPルールを設定できるかも確認します。開発者の作業効率を下げないよう、制御の例外を申請できる仕組みも検討しましょう。
商社は海外拠点の通信経路と各国の規制を確認する
商社では、海外拠点の社員が現地のクラウドサービスを使う場面があります。プロキシ型のCASB（通信を中継して制御する方式）では、通信を処理するデータセンターの場所が重要です。海外拠点の近くにあるかによって、通信の遅延に差が出る可能性があります。
また、EUのGDPR（一般データ保護規則）のように、国や地域によって個人データの扱いに関する規制が異なります。ログの保管場所を選べるかや、各拠点の管理者に権限を分けられるかも確認しましょう。
業種別の要件をCASB比較に落とし込む手順
業種特有の要件を洗い出したら、それを製品比較に使える形に整理します。優先順位を決めずに比較を始めると、機能の多さだけで判断してしまうおそれがあります。要件の整理、事例の収集、検証の順に進めましょう。
要件を必須と任意に分ける
洗い出した要件は、「ないと導入できない必須要件」と「あると望ましい任意要件」に分けます。例えば医療法人であれば、日本語文書のDLP判定は必須、ダッシュボードのカスタマイズは任意といった分け方です。
必須要件を満たさない製品は候補から外し、任意要件は点数をつけて比較すると判断がぶれにくくなります。要件の一覧は情報システム部門だけでなく、法務やコンプライアンスの担当者にも確認してもらうと、抜け漏れを減らせます。
同業種の事例を情報源から集める
同じ業種での活用イメージをつかむには、製品の公式サイトに掲載された導入事例や、IT製品の比較サイトの情報を参考にできます。業種で絞り込める事例ページがあれば、自社に近い企業がどの課題をCASBで解決しようとしたかを確認できます。
事例が見当たらない場合は、資料請求の際にベンダーへ同業種での導入経験を問い合わせましょう。業界のガイドラインへの対応方法について、具体的な説明を求めるのも有効です。
業種特有のデータで動作を検証する
候補を絞り込んだら、トライアルや検証環境で、自社の業種に近いデータを使って動作を確かめます。例えば医療法人なら架空の患者情報を含む文書、製造業なら図面ファイルを用意し、意図どおりに検知や制御が働くかを確認します。
検証には実データではなくダミーデータを使い、検証方法がベンダーの規約や社内ルールに反しないかを事前に確認しましょう。検知の結果や画面の操作感を記録しておくと、社内で導入を判断する際の材料として活用できます。
業種ごとの要件と照らし合わせたいCASB製品
監査証跡の管理や機密データの保護など、業種特有の要件と照らし合わせて検討したいCASB関連製品を紹介します。業界のガイドラインへの対応範囲は、資料請求の際に各社へ確認しましょう。
CYGIENE ECAP（サイジーン イーキャップ）
- 社内外問わず、インターネットアクセスを保護、不正な通信は遮断
- クラウドサービスやWebサイトへのアクセスをAIが自動識別＆分類
- 国産・自社開発だから提供できる、日本語・日本時間・日本円
スカイゲートテクノロジズ株式会社が提供する国産ゼロトラストセキュリティ『Cygiene（サイジーン）』は、CASB、SWG、SIEMなどの機能を一元的に提供するセキュリティサービスです。ITトレンドの掲載情報では、シャドーIT検出とアクセス制御に対応しています。国産・自社開発の製品で、個社別のカスタマイズサービスも用意されています。業種ごとのルールにあわせた運用を検討する際は、対応範囲を相談するとよいでしょう。
マネーフォワードAdmina
- エージェントレスで社内のシャドーITを簡単検知
- 監査ログ、ブラウザ拡張、会計システムからの多段検知を採用
- 90000 SaaSのDBと検知SaaSをマッチング。日本のSaaSにも多数対応
マネーフォワードｉ株式会社が提供する「マネーフォワードAdmina」は、複数のSaaSと連携して社内のSaaS利用を可視化するサービスです。エージェントレスでシャドーITを検知できます。監査ログやブラウザ拡張、会計システムからの多段検知を採用しています。検知したSaaSはデータベースと照合され、日本のSaaSにも対応しています。業種を問わず、管理外のSaaS利用を把握したい場面で比較候補に挙げられます。
CloudAccessSecurityBroker （フォースポイント・ジャパン株式会社）
- 80万超のクラウドアプリへ統合アクセスを実現。
- 総合的なデータ保護で情報流出リスクを低減。
- シャドーIT検出と利用可視化でアプリの安全性を強化。
Netskope CASB （Netskope Japan株式会社）
- 高度なDLP機能で機密情報の漏洩を徹底防止！
- ATPエンジンを強化しマルウェアや高度な脅威を排除！
- 場所やデバイスにとらわれないトラフィック制御を実現！
CloudSOCCASB （Broadcom Inc.）
- クラウドアプリを可視化し、シャドーITとリスクを把握。
- 機密データ検出とポリシーで情報漏えいを抑止。
- DLP・プロキシ連携でクラウド利用を統合的に保護。
Zscaler Data Protection （ゼットスケーラー株式会社）
- 優れたデータ検出で効率的に可視化できる！
- 機密データのリスクを容易に把握することが可能！
- データを保護するための対策が強化されている！
Proofpoint CASB （日本プルーフポイント株式会社）
- あらゆる場所で働く従業員のためのクラウドセキュリティ！
- 脅威に対する包括的な機密情報の保護を徹底！
- 不適切なクラウド利用による情報漏えいの防止！
まとめ
CASBの選び方は業種によって異なります。金融・保険業では監査証跡と外部共有の管理、医療法人では患者データの制御、官公庁では棚卸し、製造業やIT企業、商社では技術情報の保護や海外拠点への対応が論点です。
まずは業界のガイドラインと扱うデータを整理し、必須要件を満たす製品に絞り込みましょう。複数製品の資料請求を行い、業種特有の要件への対応を比較検討してください。
