CASBを導入しても課題が残る主な原因
CASB（Cloud Access Security Broker）は、クラウド利用の把握と制御を支える道具であり、それだけで課題が片づくものではありません。導入後に期待した効果が得られない場合、製品の選定だけでなく、導入の進め方や運用の設計に原因がある可能性があります。まずは共通する原因を確認しましょう。
導入の目的が具体的に定まっていない
「クラウドのセキュリティを強化したい」といった大まかな目的だけで導入を進めると、どの機能を、どの範囲で、どの程度の厳しさで使うのかが決まらないまま運用が始まる場合があります。その結果、可視化の画面は見ているものの、具体的な対策につながらない状態が続く可能性があります。
見直す際は、「許可していないファイル共有サービスの利用者を半年で減らす」のように、対象と期限を含めた目的を設定しましょう。目的が具体的になれば、必要な設定や確認すべき指標も明確に定まります。
運用プロセスが以前のまま変わっていない
CASBを導入しても、利用申請の受付方法や許可の判断、違反時の対応といった運用のプロセスが以前のままだと、新しい仕組みが生かされません。例えば、CASBで検知した情報を誰も確認していない、確認しても対応の手順が決まっていないといった状況です。
導入とあわせて、検知から対応までの流れを文書化し、担当者と期限を決めておくことが大切です。運用開始後に流れが機能しているかを定期的に確認し、必要に応じて手順を改善していきましょう。
クラウド利用管理の属人化が解消しない理由
CASBの導入目的の一つに、クラウド利用管理の属人化の解消を挙げる企業があります。しかし、ツールを導入しただけでは、判断の基準や設定の意図が特定の担当者に残ったままになる場合があります。考えられる理由を整理します。
設定の意図が記録されていない
CASBのポリシーを設定した担当者が、なぜその設定にしたのかを記録していないと、ほかの担当者は設定を変更してよいかを判断できません。結果として、設定の変更や見直しが元の担当者にしかできない状態が続く可能性があります。
ポリシーを設定・変更する際は、理由と関連する社内ルール、変更日、担当者を記録する運用にしましょう。CASBの変更履歴の機能とあわせて、設定の意図を説明した文書を共有の場所に保管すると、引き継ぎの負担を減らせます。
判断基準が担当者の経験に頼っている
新しいクラウドサービスを許可するかどうかの判断が、担当者の経験や感覚に頼っていると、CASBを導入しても属人化は解消しません。CASBのリスクスコアを参考にしても、最終的な判断の基準が明文化されていなければ、担当者によって結果が変わる場合があります。
許可の判断に使う項目と基準を文書にまとめ、複数の担当者が同じ基準で判断できるようにしましょう。判断が分かれた事例を記録して基準を更新していくと、運用の精度を高められます。
管理画面を操作できる人が限られている
CASBの管理画面を操作できる人が1人だけだと、その担当者に作業と知識が集中します。担当者の異動や退職の際に、運用が止まったり、設定の内容がわからなくなったりするおそれがあります。担当者の負担が大きいことも、見直しが進まない要因の一つです。
閲覧や一部の操作の権限を複数人に付与し、日常的な確認作業を分担しましょう。操作手順書を整備し、定期的に担当を交代して作業を経験しておくと、特定の人への依存を減らせます。
申請書管理からCASBへの移行で失敗する原因
紙やメールの申請書と社内ルールでクラウド利用を管理していた企業が、CASBによる管理に移行する際には、これまでの情報や手続きをどう引き継ぐかが課題です。移行でつまずく原因と、その見直し方を紹介します。
既存の許可リストを整理せずに移行する
申請書で管理していた許可済みサービスの一覧を整理しないままCASBに登録すると、すでに使われていないサービスや、許可の理由が不明なサービスが残り続けます。反対に、一覧に記載のないまま業務で使われていたサービスが、CASBの導入後に突然ブロックされる場合もあります。
移行前に、許可リストとCASBの可視化結果を突き合わせ、継続して許可するもの、廃止するもの、新たに審査するものに分類しましょう。この作業を行うことで、移行時の混乱を抑えられます。
申請フローとCASBの設定が連動していない
CASBを導入した後も、利用申請は従来の紙やメールで受け付け、承認されたサービスを担当者が手作業でCASBに登録している場合、登録漏れや反映の遅れが生じる可能性があります。申請の記録とCASBの設定が一致しないと、監査の際に説明が難しくなります。
申請から承認、CASBへの反映までの流れを一本化し、ワークフローシステムなどで記録を残す仕組みを検討しましょう。申請の記録とCASBの設定を定期的に照合する手順を設けておくと、ずれを早めに見つけられます。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でCASBの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
導入後もシャドーITが減らない原因と見直し方
CASBを導入したにもかかわらず、許可していないクラウドサービスの利用、いわゆるシャドーITが減らない場合があります。原因は監視の範囲、業務上の必要性、運用の進め方など複数考えられるため、それぞれの観点から見直しましょう。
監視対象の通信経路に抜けがある
CASBで把握できるのは、監視の対象となっている通信や端末に限られます。例えば、社内ネットワークの通信だけを監視している場合、テレワーク中の端末や私物のスマートフォンからの利用は把握できない可能性があります。
監視の範囲を確認し、社外からの通信も対象に含めるには、端末に導入するエージェントや、クラウド上で通信を中継する方式の活用を検討しましょう。私物端末の扱いは、社内ルールとあわせて整理することが大切です。
業務に必要な代替手段が用意されていない
シャドーITの背景には、業務上の必要性がある場合もあります。例えば、大容量ファイルを取引先に送る手段が社内に用意されていないと、社員が個人で無料のサービスを使ってしまう場合があります。
利用を禁止するだけでなく、可視化の結果から社員が何を必要としているかを読み取り、安全な代替手段を提供することが大切です。代替手段を用意したうえで周知すると、シャドーITの減少が期待できます。
可視化のみで制御や周知に進んでいない
CASBで利用状況を可視化しても、その結果をもとに制御の設定や社員への周知を行わなければ、利用の状況は変わりません。可視化のレポートを確認するだけで、次の対策に進めていないケースが考えられます。
可視化で見つかったサービスはリスクの度合いで分類し、高リスクのものから警告表示やブロックを設定しましょう。あわせて、なぜ利用を制限するのかを社員に説明し、正しい申請方法を案内することも重要です。
繁忙期にCASBの処理速度が落ちる可能性と備え
月末や年度末などの繁忙期には、クラウドの利用が増え、CASBの処理に負荷がかかる場合があります。処理速度が落ちる可能性とその要因、速度低下を早く把握する方法、繁忙期の前に検討したい備えを解説します。
処理が遅くなる主な要因
繁忙期に処理が遅くなる要因として、通信量の増加によってプロキシ型のCASB（通信を中継して制御する方式）の処理が追いつかなくなることが考えられます。大容量のファイルの送受信が増えると、中身を検査するDLP（機密情報の検知）の処理にも時間がかかる場合があります。
ただし、遅延の原因はCASBに限らず、社内ネットワークの帯域、クラウドサービス側の混雑、端末の性能などが重なっている可能性もあります。原因を一つに決めつけず、切り分けて確認することが大切です。
速度低下を早期に把握する方法
速度低下を早期に把握するには、平常時の通信の応答時間や処理件数を記録しておき、変化を比べられるようにしておきます。CASBの管理画面で処理状況や遅延を確認できるか、ベンダーが稼働状況を公開しているかも確認しておきましょう。
利用者からの「遅い」という声を受け付ける窓口を決め、発生した時間帯や操作内容を記録してもらうと、原因の特定に役立ちます。記録はベンダーへの問い合わせの際にも活用できます。
繁忙期に向けた事前の準備
繁忙期の前には、過去の通信量の推移をもとに、ピーク時の負荷を見積もっておきます。処理能力に不安がある場合は、ベンダーに性能の目安や増強の方法、追加の費用を確認しましょう。
あわせて、信頼できる一部の通信を検査対象から外す設定や、処理が遅れた際の一時的な対応手順を、情報システム部門とベンダーで事前に決めておくと安心です。設定の変更はセキュリティへの影響も考慮して慎重に判断しましょう。
シャドーITの取りこぼしを見直すための製品
申請外のクラウド利用や管理の属人化が残る場合に、検知の仕組みや可視化の範囲を見直す材料として比べたいCASB関連製品を紹介します。
CYGIENE ECAP（サイジーン イーキャップ）
- 社内外問わず、インターネットアクセスを保護、不正な通信は遮断
- クラウドサービスやWebサイトへのアクセスをAIが自動識別＆分類
- 国産・自社開発だから提供できる、日本語・日本時間・日本円
スカイゲートテクノロジズ株式会社が提供する国産ゼロトラストセキュリティ『Cygiene（サイジーン）』は、CASB、SWG、SIEMなどの機能を一元的に提供するセキュリティサービスです。国産・自社開発の製品で、個社別のカスタマイズサービスも用意されています。ITトレンドの掲載情報ではシャドーIT検出とアクセス制御に対応しています。社内外を問わずインターネットアクセスを保護するため、社外からのアクセスも監視範囲に含めたい場合に検討できます。
マネーフォワードAdmina
- エージェントレスで社内のシャドーITを簡単検知
- 監査ログ、ブラウザ拡張、会計システムからの多段検知を採用
- 90000 SaaSのDBと検知SaaSをマッチング。日本のSaaSにも多数対応
マネーフォワードｉ株式会社が提供する「マネーフォワードAdmina」は、社内で利用しているSaaSを可視化するサービスです。監査ログ、ブラウザ拡張、会計システムからの多段検知を採用しています。エージェントを端末に導入せずに、シャドーITを検知できます。検知したSaaSはデータベースと照合され、日本のSaaSにも対応しています。契約したまま使われていないアカウントの洗い出しにも対応しているため、担当者の記憶や台帳に頼っていた棚卸しを見直す際に役立ちます。
Netskope （伊藤忠テクノソリューションズ株式会社）
- 4万種以上のクラウドサービスを検出可能
- SaaS、Web、IaaSセキュリティに対応。
- 利用実態に即した細やかな制御
CloudAccessSecurityBroker （フォースポイント・ジャパン株式会社）
- 80万超のクラウドアプリへ統合アクセスを実現。
- 総合的なデータ保護で情報流出リスクを低減。
- シャドーIT検出と利用可視化でアプリの安全性を強化。
Forcepoint ONE （株式会社日立ソリューションズ）
- 社内クラウドの利用状況とリスクを可視化。
- ポリシーでアクセス操作をリアルタイム制御
- エージェント不要で導入、既存環境と連携。
Netskope CASB （Netskope Japan株式会社）
- 高度なDLP機能で機密情報の漏洩を徹底防止！
- ATPエンジンを強化しマルウェアや高度な脅威を排除！
- 場所やデバイスにとらわれないトラフィック制御を実現！
Prisma SASE （Palo Alto Networks, Inc.）
- 包括的なセキュリティ機能で全てのユーザーと資産を保護。
- AIで高度な脅威に対応し、運用を簡素化します。
- ハイブリッドワークやゼロトラスト対応の柔軟な構成
まとめ
CASBを導入しても効果が出ない場合、導入目的の曖昧さや運用プロセスの未整備、設定の意図や判断基準の未記録、移行時の整理不足、監視範囲の抜けなど、複数の原因が考えられます。製品だけでなく、ルールと体制をあわせて見直すことが大切です。
運用の課題を整理したうえで、自社の体制にあう機能や支援を備えたCASBを、複数製品の資料請求を通じて比較検討してください。
