CASBの機能を理解するための基本
CASB（Cloud Access Security Broker）とは、社員とクラウドサービスの間に立ち、利用状況の把握や制御を行う仕組みです。個別の機能を見る前に、CASBが担う役割と、接続方式によって機能の範囲が変わる点を押さえておきましょう。
CASBが担う4つの役割
CASBの役割は、可視化、コンプライアンス、データセキュリティ、脅威防御の4つに整理されることがあります。可視化はクラウドの利用状況を把握すること、コンプライアンスは社内規程や法令にあった利用を保つことを指します。
データセキュリティは機密情報の持ち出しや外部共有を防ぐこと、脅威防御は不正なログインやマルウェアなどの脅威を検知することです。製品によって得意とする役割が異なるため、自社がどの役割を重視するかを先に決めておくと、機能の比較を進めやすくなります。
接続方式で変わる機能の範囲
CASBには主に、ログ解析型、プロキシ型、API型の3つの接続方式があります。方式によって、利用状況の把握はできても通信の制御はできないといった違いが生じるため、必要な機能と方式をあわせて確認しましょう。
複数の方式を組み合わせて提供する製品もあり、どの機能がどの方式で実現されているかは資料やデモで確かめておくと安心です。各方式の概要は次のとおりです。
| 接続方式 | 概要 |
|---|---|
| ログ解析型 | ファイアウォールやプロキシのログを取り込み、利用中のクラウドサービスを把握する |
| プロキシ型 | 社員とクラウドの間で通信を中継し、リアルタイムに制御する |
| API型 | クラウドサービスと直接接続し、保存されたファイルや設定、操作を確認する |
クラウド利用を把握・制御するCASBの機能
CASBの中心となるのが、社員がどのクラウドサービスをどのように使っているかを把握し、必要に応じて利用を制御する機能です。ここでは、シャドーITの可視化、サービスごとの利用制御、ファイルのアップロード・ダウンロード制御について解説します。
シャドーITの可視化
シャドーITとは、会社が許可していないクラウドサービスを社員が業務で使うことです。CASBの可視化機能は、通信の記録から利用中のサービスを一覧化し、利用者数や通信量、各サービスの安全性を評価したリスクスコアを表示します。
比較の際は、識別できるクラウドサービスの数だけで判断しないようにしましょう。リスクスコアの評価項目が公開されているか、評価結果をもとに許可や禁止の設定へ進めるかも確認します。可視化の結果を定期的にレポートできるかもポイントです。
クラウドサービスごとの利用制御
利用制御の機能では、サービスごとに「許可」「禁止」「条件付きで許可」を設定できます。条件付き許可の例として、会社のアカウントでのログインのみ許可する、閲覧は許可するが投稿や共有は禁止する、といった細かな制御を行える製品があります。
どの程度の細かさで制御できるかは、製品と接続方式、対象サービスによって異なります。自社で使う主要なSaaSについて、どの操作単位まで制御できるかを個別に確認しておくと、導入後のずれを減らせます。
アップロード・ダウンロードの制御
アップロード・ダウンロードの制御は、ファイルの持ち出しや持ち込みを管理する機能です。例えば、個人向けのクラウドストレージへのアップロードを禁止したり、会社が管理していない端末からのダウンロードを制限したりできます。
リアルタイムに通信を止める制御は、プロキシ型で行う製品が見られます。API型では、ファイルが保存された後に検知して対処する方式をとる場合があります。止めたいタイミングにあわせて、どの方式で制御できるかを確認しましょう。
データ保護と設定管理に関わるCASBの機能
クラウドに保存されたデータを守るには、機密情報を見つけて保護する仕組みと、クラウドの設定に不備がないかを確認する仕組みの両方が重要です。ここでは、DLPと、CSPM・SSPMと呼ばれる設定管理の機能を解説します。
機密情報の検知（DLP）
DLP（Data Loss Prevention）は、個人情報や社外秘の情報を含むファイルを検知し、外部への送信や共有を止める機能です。マイナンバーやクレジットカード番号などの定型パターンのほか、独自のキーワードや正規表現で検知ルールを作成できる製品もあります。
確認したいのは、日本語の文書を正しく判定できるか、PDFや画像の内容まで検査できるか、検知後に警告やブロック、管理者への通知を選べるかです。誤検知を減らすためのルール調整のしやすさも、比較の材料にしましょう。
クラウド設定の不備検知（CSPM・SSPM）
CSPMは、IaaSやPaaS（サーバや開発環境をクラウドで借りるサービス）といったクラウド基盤の設定に不備がないかを確認する機能です。SSPMは、SaaSの設定を対象に同様の確認を行います。例えば、ストレージが誰でも閲覧できる状態になっていないか、多要素認証が無効になっていないかを点検します。
これらの機能はCASBに含まれる製品もあれば、別の製品やオプションとして提供される場合もあります。設定不備の検知が必要な場合は、対応しているクラウドサービスの範囲と、修正方法の案内があるかをあわせて確認しましょう。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でCASBの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
監査に備えるCASBのログとレポート機能
クラウドの利用状況を記録し、必要なときに説明できる状態にしておくことは、内部監査や取引先からの確認に対応するうえで重要です。CASBのログ取得とレポート出力について、比較の際に確認したい点を解説します。
操作ログの取得範囲
CASBで取得できるログには、クラウドサービスへのアクセス記録、ファイルのアップロードや共有の記録、管理者による設定変更の記録などがあります。どの操作まで記録できるかは、接続方式や対象のサービスによって異なります。
あわせて、ログの保管期間と、期間を延ばす場合の費用も確認しましょう。社内規程で一定期間の保存が求められている場合は、CASBの標準の保管期間で足りるか、外部のログ保管先へ転送できるかが判断の材料です。
監査レポートの出力と活用
監査対応では、取得したログを必要な形で取り出せるかが重要です。期間やユーザー、サービスを指定して検索できるか、PDFやCSVなどの形式でレポートを出力できるか、定期的に自動作成できるかを確認します。
製品によっては、特定の規制や基準に沿った形式のレポートテンプレートを用意している場合があります。自社の監査部門が求める項目を事前に確認し、標準のレポートでどこまで対応できるかを比べておくと、運用の手間を見積もれます。
自社に必要なCASB機能を見極める手順
CASBは多くの機能を備えていますが、導入時から多くの機能を一度に使いこなす必要はありません。自社の課題にあった機能を見極め、過不足のない製品を選ぶための手順を3つのステップで紹介します。
目的と機能を対応づける
まず、CASBを導入する目的を書き出し、それぞれに対応する機能を整理します。例えば「シャドーITを把握したい」なら可視化、「個人情報の持ち出しを止めたい」ならDLPとアップロード制御、「監査に備えたい」ならログとレポートといった対応です。
目的に対応しない機能は、比較の優先度を下げても問題ありません。目的と機能の対応表を作っておくと、各社の資料を読む際に確認すべき箇所が明確に定まります。
接続方式の組み合わせを検討する
必要な機能が決まったら、それを実現する接続方式を確認します。リアルタイムの通信制御が必要ならプロキシ型、保存済みファイルの検査や設定の確認が必要ならAPI型というように、目的によって適した方式が異なります。
複数の方式を組み合わせると対応できる範囲は広がりますが、設定や運用の手間も増える可能性があります。自社の運用体制で無理なく扱える範囲かどうかも、あわせて検討しましょう。
デモで動作を確かめる
候補を絞り込んだら、デモやトライアルで実際の動作を確認します。自社で使う主要なSaaSを対象に、可視化の結果、制御の効き方、DLPで意図したファイルが検知されるか、ログの見やすさを確かめましょう。日常的に操作する担当者にも画面を触ってもらうと、運用面の評価も得られます。
検証は本番環境に影響が出ないよう、対象のユーザーや部署を限定して行うと安心です。確認した結果を共通の評価シートに記録すると、製品間の違いを客観的に比べられます。
可視化からデータ保護まで機能で比べるCASB
シャドーITの可視化やアクセス制御、データ保護など、目的別に必要な機能を照らし合わせて比べたいCASB関連製品を紹介します。各製品の対応機能と接続方式は、資料で確認しましょう。
CYGIENE ECAP（サイジーン イーキャップ）
- 社内外問わず、インターネットアクセスを保護、不正な通信は遮断
- クラウドサービスやWebサイトへのアクセスをAIが自動識別＆分類
- 国産・自社開発だから提供できる、日本語・日本時間・日本円
スカイゲートテクノロジズ株式会社が提供する国産ゼロトラストセキュリティ『Cygiene（サイジーン）』は、CASB、SWG、SIEMなどの機能を一元的に提供するセキュリティサービスです。社内外を問わずインターネットアクセスを保護し、不正な通信を遮断します。ITトレンドの掲載情報では、シャドーIT検出とアクセス制御に対応しています。NIST SP800-207に準拠したゼロトラストの構成をとっている点も特徴です。
マネーフォワードAdmina
- エージェントレスで社内のシャドーITを簡単検知
- 監査ログ、ブラウザ拡張、会計システムからの多段検知を採用
- 90000 SaaSのDBと検知SaaSをマッチング。日本のSaaSにも多数対応
マネーフォワードｉ株式会社が提供する「マネーフォワードAdmina」は、社内で利用しているSaaSの可視化を中心とするサービスです。エージェントレスでシャドーITを検知できます。監査ログやブラウザ拡張、会計システムからの多段検知を採用しています。検知したSaaSはデータベースと照合され、日本のSaaSにも対応しています。利用状況の把握や未使用アカウントの洗い出しなど、可視化を主な目的とする場合の候補に挙げられます。
CloudAccessSecurityBroker （フォースポイント・ジャパン株式会社）
- 80万超のクラウドアプリへ統合アクセスを実現。
- 総合的なデータ保護で情報流出リスクを低減。
- シャドーIT検出と利用可視化でアプリの安全性を強化。
CloudSOCCASB （Broadcom Inc.）
- クラウドアプリを可視化し、シャドーITとリスクを把握。
- 機密データ検出とポリシーで情報漏えいを抑止。
- DLP・プロキシ連携でクラウド利用を統合的に保護。
Netskope CASB （Netskope Japan株式会社）
- 高度なDLP機能で機密情報の漏洩を徹底防止！
- ATPエンジンを強化しマルウェアや高度な脅威を排除！
- 場所やデバイスにとらわれないトラフィック制御を実現！
Netskope （伊藤忠テクノソリューションズ株式会社）
- 4万種以上のクラウドサービスを検出可能
- SaaS、Web、IaaSセキュリティに対応。
- 利用実態に即した細やかな制御
Zscaler Data Protection （ゼットスケーラー株式会社）
- 優れたデータ検出で効率的に可視化できる！
- 機密データのリスクを容易に把握することが可能！
- データを保護するための対策が強化されている！
Forcepoint ONE （株式会社日立ソリューションズ）
- 社内クラウドの利用状況とリスクを可視化。
- ポリシーでアクセス操作をリアルタイム制御
- エージェント不要で導入、既存環境と連携。
まとめ
CASBの機能は、可視化、利用制御、アップロード・ダウンロード制御、DLP、設定不備の検知、ログとレポートと幅広く、接続方式によって対応範囲が異なります。まずは導入の目的を明確にし、それに対応する機能と方式を整理することが大切です。
複数製品の資料請求やデモを活用し、自社に必要な機能を過不足なく備えたCASBを比較検討してください。
