CASBの導入条件に不安を感じる背景
CASB（Cloud Access Security Broker）は、社員のクラウド利用を見える化し、必要に応じて利用を制限する製品です。セキュリティに関わる製品のため、導入後に「想定と違った」とならないよう、導入条件を丁寧に確認したいと考える担当者もいるでしょう。不安が生まれる背景を整理します。
カタログ情報だけでは判断しにくい
製品の資料やWebサイトには、対応機能や取得認証、連携できるサービスが一覧で示されていることがあります。しかし、一覧に「対応」と書かれていても、どの方式で、どの操作まで対応しているのかまでは読み取れない場合があります。
例えば「Microsoft 365対応」とあっても、ログの取得のみか、ファイル共有の制御まで可能かは製品によって異なります。カタログの表記は確認の出発点と捉え、具体的な範囲を質問して確かめることが大切です。
自社環境との相性で結果が変わる
同じCASBでも、導入する企業のネットワーク構成、利用しているクラウドサービス、ID管理の仕組みによって、期待どおりに動作するかが変わります。他社の導入事例でうまくいっていても、自社で同じ結果になるとは限りません。
そのため、導入条件を判断する際は、自社の環境の情報をベンダーに伝え、それを前提とした回答をもらうことが重要です。可能であればトライアルや検証環境で、自社の環境に近い条件で動作を確かめましょう。
国産CASBでも対応に時間がかかるケース
「国産の製品なら日本語のサポートが受けられ、対応も早い」と考える方もいます。ただし、対応のスピードは製品の開発国だけで決まるものではありません。国産か海外製かにかかわらず確認したい点を解説します。
国産か海外製かだけで判断できない理由
サポートや機能追加の対応スピードは、提供会社のサポート体制、開発の優先順位、契約しているサポートの内容など、複数の要素によって決まります。国産の製品でも、問い合わせが集中する時期や、開発の計画によっては対応に時間がかかる場合があります。
反対に、海外製の製品でも国内に日本語のサポート窓口を設けている場合があります。開発国という属性だけで対応の早さを判断せず、具体的なサポート体制と実績を確認しましょう。
対応に時間がかかる主な要因
対応に時間がかかる要因としては、問い合わせの内容が製品の不具合か設定の問題かを切り分けるのに時間を要する、開発部門への確認が必要になる、といった点が考えられます。また、新しいクラウドサービスへの対応のように、開発を伴う要望は計画に組み込まれるまで時間がかかる場合があります。
利用者側の情報が不足していると、確認のやり取りが増えることもあります。問い合わせの際は、発生日時や操作内容、画面の表示を具体的に伝えるようにしましょう。
対応スピードを確かめる質問
契約前には、「問い合わせから初回回答までの目安時間はどの程度か」をベンダーに質問しましょう。「緊急度に応じた優先対応はあるか」「対応時間帯は平日の日中のみか」も確認したい点です。サービスレベルを契約で定めているかも確かめておきましょう。
機能追加の要望については、要望の受付方法と、過去の機能追加の頻度や告知の方法を聞いておくと参考にできます。回答は各社で同じ形式の表にまとめ、サポートの対応時間や優先対応の有無とあわせて比較しましょう。
「ISMS対応」の表記で確認したい範囲
CASBの資料で「ISMS対応」という表記を見かけた場合、それが何を意味するのかを確認することが大切です。提供会社が認証を取得していることを指す場合もあれば、利用企業のISMS運用を支援する機能を指す場合もあります。
ISMS認証が示す内容
ISMS（情報セキュリティマネジメントシステム）認証とは、組織の情報セキュリティの管理体制を第三者が認めたものです。国際規格ISO/IEC 27001の要求事項に適合しているかを、認証機関が審査します。認証は管理の仕組みを評価するもので、製品の機能や性能を保証するものではありません。
一方、「ISMS対応」という表記が、利用企業がISMSの管理策を実施する際に役立つログやレポートの機能を指している場合もあります。表記がどちらの意味かをベンダーに確認しましょう。
適用範囲と有効期間の確かめ方
ISMS認証は、会社全体ではなく、特定の部門や事業所、サービスを対象に取得されている場合があります。そのため、検討しているCASBの開発や運用、サポートを担う部門が、認証の適用範囲に含まれているかを確認することが大切です。
また、認証は定期的な審査を経て維持されるため、現在も有効かを確かめておきましょう。認証の登録情報は認証機関などの公開情報で確認できる場合があり、ベンダーに認証書の写しの提供を依頼する方法もあります。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でCASBの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
API連携が必須という導入条件で起こりうる制限
社内のセキュリティ方針や運用の都合から、CASBをAPI連携で使うことを前提にしている企業もあります。API型のCASBには利点がある一方で、方式の特性やクラウドサービス側の仕様による制限もあるため、事前に確認しておきましょう。
API型CASBで生じうる制限
API型のCASBは、クラウドサービスと直接接続して、保存されたファイルや設定、操作の記録を確認する方式です。社員の通信経路を変更せずに導入できる利点がある一方、通信をリアルタイムに止めるのではなく、保存された後に検知して対処する方式をとる場合があります。
そのため、アップロードの瞬間に止めたい場合は、プロキシ型との併用が必要になる可能性があります。自社が求める制御のタイミングと、API型で実現できる範囲を照らし合わせましょう。
SaaS側のAPI仕様による制約
API連携で取得できる情報や操作は、クラウドサービス側が公開しているAPIの仕様に左右されます。サービスによっては、一定時間内に呼び出せる回数に上限があったり、取得できるログの種類や反映までの時間に制約があったりします。
また、利用しているクラウドサービスの契約プランによって、APIで取得できる情報が異なる場合もあります。CASB側の制限か、SaaS側の制限かを切り分けて確認することが大切です。
制限を前提にした設計
API連携の制限は、導入後に発覚すると運用の見直しが必要になる場合があります。導入前に、自社で使う主要なクラウドサービスごとに、API連携で実現できる機能と制約をベンダーに確認し、一覧にまとめておきましょう。
制限がある部分は、プロキシ型との併用や運用ルールで補う方法を検討します。トライアルで実際にAPI連携を設定し、ログの反映時間や取得できる項目、上限に達した際の挙動を確かめておくと安心です。
カスタマイズ前提の導入で失敗するケース
自社の業務や既存の仕組みにあわせて、CASBをカスタマイズしたいと考える企業もあります。しかし、カスタマイズを前提に導入を進めると、費用や期間、保守の面で想定外の負担が生じる場合があります。
標準機能で対応できない要件が多い場合
クラウドサービスとして提供されるCASBでは、利用企業ごとに独自の機能を追加する個別開発に対応していない場合があります。設定やAPIを使った連携で対応できる範囲は製品によって異なり、要件の多くがその範囲を超える場合は、導入自体が難しくなる可能性があります。
導入前に、要件のうち標準の設定で対応できるもの、外部との連携で対応できるもの、対応できないものを分けて整理しましょう。対応できない要件が業務に欠かせないかどうかを見極めることが大切です。
追加開発に伴う保守の負担
APIを使って社内システムとの連携を独自に開発した場合、CASBやクラウドサービスの仕様が変わるたびに、連携部分の修正が必要になる場合があります。開発を外部に委託していると、修正のたびに費用と時間がかかるおそれがあります。
独自の開発を行う場合は、保守の担当と費用、仕様変更の情報をどのように入手するかを事前に決めておきましょう。開発した内容を文書化し、担当者が変わっても対応できるようにしておくことも重要です。
標準機能に業務をあわせる検討
カスタマイズの負担を避ける方法として、業務の進め方をCASBの標準機能にあわせて見直すことも選択肢です。例えば、申請や承認の流れを標準のワークフローにあわせる、レポートの形式を標準のテンプレートに寄せるといった調整です。
業務の進め方を一律に標準へあわせる必要はありませんが、カスタマイズの必要性を一つずつ見直すことで、導入の費用と期間を抑えられる場合があります。調整の範囲は、業務部門と相談しながら決めましょう。
導入条件を具体的に確かめたいCASB関連製品
開発国や表記だけで判断せず、サポート体制や連携方式、カスタマイズの範囲を資料で確かめながら比較したいCASB関連製品を紹介します。
CYGIENE ECAP（サイジーン イーキャップ）
- 社内外問わず、インターネットアクセスを保護、不正な通信は遮断
- クラウドサービスやWebサイトへのアクセスをAIが自動識別＆分類
- 国産・自社開発だから提供できる、日本語・日本時間・日本円
スカイゲートテクノロジズ株式会社が提供する国産ゼロトラストセキュリティ『Cygiene（サイジーン）』は、CASB、SWG、SIEMなどの機能を一元的に提供するセキュリティサービスです。国産・自社開発の製品で、個社別のカスタマイズサービスが用意されています。サポート窓口は電話とメールで、受付時間は平日10時～18時と掲載されています。カスタマイズを検討する場合は、標準機能で対応できる範囲と、追加の費用や期間を事前に確認しましょう。
マネーフォワードAdmina
- エージェントレスで社内のシャドーITを簡単検知
- 監査ログ、ブラウザ拡張、会計システムからの多段検知を採用
- 90000 SaaSのDBと検知SaaSをマッチング。日本のSaaSにも多数対応
マネーフォワードｉ株式会社が提供する「マネーフォワードAdmina」は、複数のSaaSと連携して社内のSaaSを可視化するサービスです。エージェントレスでシャドーITを検知できます。監査ログやブラウザ拡張、会計システムからの多段検知を採用しています。検知したSaaSはデータベースと照合され、日本のSaaSにも対応しています。自社で使うSaaSとの連携方式や取得できる情報の範囲は、契約前に確認しておくとよいでしょう。
Forcepoint ONE （株式会社日立ソリューションズ）
- 社内クラウドの利用状況とリスクを可視化。
- ポリシーでアクセス操作をリアルタイム制御
- エージェント不要で導入、既存環境と連携。
Netskope （伊藤忠テクノソリューションズ株式会社）
- 4万種以上のクラウドサービスを検出可能
- SaaS、Web、IaaSセキュリティに対応。
- 利用実態に即した細やかな制御
Netskope CASB （Netskope Japan株式会社）
- 高度なDLP機能で機密情報の漏洩を徹底防止！
- ATPエンジンを強化しマルウェアや高度な脅威を排除！
- 場所やデバイスにとらわれないトラフィック制御を実現！
Proofpoint CASB （日本プルーフポイント株式会社）
- あらゆる場所で働く従業員のためのクラウドセキュリティ！
- 脅威に対する包括的な機密情報の保護を徹底！
- 不適切なクラウド利用による情報漏えいの防止！
まとめ
CASBの導入条件で不安を感じたら、「国産」「ISMS対応」「API連携可能」といった表記の意味と範囲を具体的に確認することが大切です。対応スピードは開発国ではなくサポート体制で、ISMSは適用範囲と有効性で、API連携は方式とSaaS側の制約で判断しましょう。
カスタマイズの必要性も見直したうえで、複数製品の資料請求を通じて導入条件を比較検討してください。
