CASBとは何か？
CASBはCloud Access Security Brokerの略で、一般的には「キャスビー」と呼ばれます。これは2012年にGartnerが提唱した考え方です。
クラウドサービス利用者とクラウドサービス供給者の間に、単一のコントロールポイントを設けて、クラウドサービスの利用状況を可視化/制御することで、一貫性のあるセキュリティポリシーを適用することになります。
クラウドベースのリソースにアクセスする際に、この設置したコントロールポイントで企業のセキュリティポリシーを適用します。セキュリティポリシーの例としては、認証、シングルサインオン、認可、クレデンシャルマッピング、デバイスプロファイリング、暗号化、トークン化、ロギング、アラート、マルウェア検出・防止などがあります
クラウドサービス利用時において、直接、クラウドにアクセスするのではなく、CASBを経由してアクセスをすることでセキュリティを担保することができます。
CASBには4つの機能があります。
1.可視化
社内ユーザーがどのSaaSを使っているのかを可視化し、IT管理者が監視できるようにします
2.脅威防御
マルウェア感染の恐れがあるなど、危険性の高いクラウドサービスへのアクセスを禁止・ブロックします
3.データセキュリティ
ファイルの暗号化や、データの漏洩・改ざんの検知を行い、必要に応じて操作をブロックします
4.コンプライアンス
セキュリティに関する基準やポリシーを満たしていることをチェックし、逸脱した場合にはアラートを上げるなどの対応を行います
CASBの生まれた背景
CASBが生まれた背景は、昨今、情報システム部門において問題としてあがっているシャドーITがあります。
シャドーITというと、ひと昔はExcelのマクロなどのツールをイメージすることが多かったが、昨今のクラウドサービスの普及により、事業部門が独自で導入したクラウドサービスなどが当てはまることが多くなってきた。
このクラウドサービスの普及により、例えば、悪意のある社員が社内の機密情報を持ち出そうとし、クラウドサービスのプライベートアカウントへのアクセスをしたとしても、URLのアクセスを許可しているため、これに気付けないことが発生します。
これが、数が多くなると会社のセキュリティレベルは大幅に低下し、情報漏えいなどが発生しやすくなり、多大な損失を受ける可能性があります。
そこで、リスクを回避しつつ、社員の利便性を損なわないように組織内で利用されているクラウドサービスの把握と適切な利用の制御、そして一貫性のあるセキュリティポリシーを適用するのがCASBとなり、昨今、注目されるようになりました。
CASBのメリット
上記記載の通り、クラウドサービスを利用する際に発生しうるリスクを回避しつつも社員の利便性を確保できるという点がこのCASBのメリットとなります。
CASB導入時の注意点
メリットのあるCASBですが、製品ごとに特長も異なるため、導入時には以下の点で注意が必要です。
1：導入における要件の優先事項の整理と明確化
CASBと言っても利用する製品によって技術的な実装方法が異なるため、機能比較を行おうとすると、膨大な労力と時間がかかる恐れがあります。なので、まず何を優先的に実現しなければならないのか、検討の初期段階から整理、明確化しておくことが重要です。
2：導入後の運用検討（自社運用するのか他社に委託するのか？）
導入してそのままという状態にならないよう、自社で運用していくには、どのような方法で管理・運用するのか、それにはどのような体制が必要になるのかを検討しておく必要があります。また、外部に委託する場合も要件が自社に合うのか検討が必要です。
3：導入構成の検討
既存環境と共存させるのか、新しい環境で構成するのかでは、事前に考慮すべき点も異なります。
既存環境と共存の場合、構成として共存可能なのか、既存環境側で必要な対応は何か、他のシステムやソフトウェアの動作へ影響がでないかなど、上手く共存させるための検討が必要です。
関連記事
CASBとセットでよくかたられるゼロトラストについては、【情シス初心者向け】ゼロトラストセキュリティ対策の特長と進め方に記載しているのでご確認ください。
