CASBとは、社員とクラウドサービスの間に置いて、利用状況を把握し、リスクを評価し、ルールを適用する仕組みのことです。Cloud Access Security Brokerの略です。中小企業では、まず「社員が何のクラウドを使っているか」を見える化する道具として考えると、要否を判断しやすくなります。
今日やることは、CASBの見積もりではありません。社内のファイアウォールの管理者に、どのクラウドへの接続履歴が見られるかを聞いてください。Microsoft 365やGoogle Workspaceの管理者なら、接続されているアプリの一覧を開きます。手元の情報でどこまで分かるかが、判断の出発点です。
CASBは何をする道具？
Microsoftの説明によれば、CASBは企業の利用者とクラウド事業者の間に置く、セキュリティポリシーの適用点です。動きは3段階に分かれます。
- 発見：使われているクラウドと、使っている社員を見つける
- 分類：サービスごとにデータを確かめ、リスクを評価する
- 対処：会社の方針に沿ったルールを作り、違反や脅威に対応する
CASBの話が難しく聞こえるのは、機能が広いからです。同社は可視化、データの保護、脅威への対処、法令順守を柱に挙げています。中小企業が最初に使うなら1番目の発見です。残りは、使われているものが分かってから決めても遅くありません。
見える化で何が分かる？
会社が許可していないクラウドの利用を、シャドーITと呼びます。総務省のクラウドの設定に関するガイドラインは、社員が個人で使うクラウドに業務の機密情報を置き、公開設定になっていた漏えいの例を挙げています。要因の1つとして、シャドーITへの対応策など体制面の不備に触れています。
見える化で手に入る情報を、MicrosoftのDefender for Cloud Appsを例に見ます。CASBの機能を持つ製品の1つで、公式の説明では次のことができます。
ここで得られるのは「誰が、どのサービスを、どれくらい使っているか」の地図です。この地図があると、次の3つの判断ができます。
- 業務に必要なのに未契約のものを、会社の契約に切り替える
- 同じ用途のサービスを1つに寄せる
- 扱う情報に対してリスクが高いものを止める
禁止する前に、なぜ社員がそれを使っているのかを聞くほうが筋が通ります。仕事に必要だから使っているのに、代わりを用意せず止めると、別のサービスへ移るだけになりかねません。
製造業では、どこで役に立つ？
たとえば、海外の協力工場へ大きな図面データを送る場面です。会社のメールに添付できないとき、担当者が個人の判断で無料のファイル転送サービスを使うことがあり得ます。
CASBで見えるのは、そのサービスへの接続があることと、使っている人です。ここから、会社として正式なファイル共有の手段を決め、協力工場にも案内する、という流れを作れます。
取引先から預かった図面なら、社外に置いてよいかという別の問題もあります。IPAのクラウドサービス安全利用の手引きの説明資料は、社外に置くことを禁じているデータの例に「お客様から預かった情報」を挙げています。製造業では、図面の扱いで特に確かめたい点です。
CASBの方式で、見える範囲はどう変わる？
CASBの限界は、方式を見ると分かります。Microsoftの説明では、配置の方法は3つです。
| 方式 |
できること |
届かないところ |
| API接続 |
許可したアプリの保存データを点検する |
その場で止めることはできない |
| フォワードプロキシ |
許可の有無を問わず、通信をその場で制御する |
会社が管理する端末だけ。保存データは見ない |
| リバースプロキシ |
管理外の端末も含めて、その場で制御する |
許可したアプリだけ |
1つの方式で全部を見られるわけではありません。3方式すべてを使える製品のほうが柔軟だとも同社は説明しています。ただ、その分だけ設定と運用の手間は増えると考えておくのが現実的です。
見える化に使うログの範囲にも注意が要ります。Defender for Cloud Appsの場合、ファイアウォールやプロキシのログを手動で上げてその時点の報告を作る方法と、ログを送り続ける方法があります。Defender for Endpointと連携すると、社内ネットワークの外まで発見の範囲を広げられると説明されています。
裏を返すと、社内のログだけに頼る方法では、自宅や外出先からの通信を見落とす可能性があります。私物の端末から使われた場合も同様です。
CASBでは足りないことは？
導入を決める前に、次の4つは知っておきたいところです。
見える化だけでは解決しないこと
- カタログにないサービスは見えないことがある（Microsoftは既定で検出できないと明記）
- 許可したSaaSの設定不備までは、発見の機能だけでは分からない
- 見つけた後の判断をする人がいなければ、一覧が残るだけになる
- 社員の通信ログを扱うので、社内への説明が要る
2つ目の設定不備は、別の道具の範囲です。Defender for Cloud Appsのように、CASBとSSPMを1つの製品で持つ例もあります。SSPM（SaaSの設定管理）の製品比較を見ると、CASBと一体になった型も分かります。
社員のWebアクセス全体を制御したい場合は、SWGも比べる対象に入ります。Microsoftの説明では、対応するSWGと連携すると未許可アプリの自動遮断などができます。SWG（Webアクセスの制御）の製品比較で範囲の違いを確かめてください。
責任の面でも誤解が生まれやすいところです。CASBを入れても、データ、ID、設定に対する自社の責任は残ります。クラウドの責任の境目をSaaSとIaaSで整理した記事と合わせて読むと、位置づけが分かりやすくなります。AWSなどのクラウド基盤の設定を見たい場合は、CSPMのほうが目的に合います。
買う前に無料か手持ちでできることは？
専用の製品に費用をかける前に、手持ちのもので試せる範囲があります。
Microsoftの機能比較によれば、Microsoft Entra ID P1、EMS E3、Microsoft 365 E3には、追加費用なしでCloud App Discoveryが含まれます。Defender for Cloud Appsの一部で、発見の機能が中心です。自社の契約に当てはまるか、管理画面か販売代理店で確かめてください。
Google Workspaceなら、管理コンソールのアプリのアクセス制御で、Googleのデータにアクセスしたアプリを確認できます。ここで分かるのはGoogleのアカウントとつながったアプリです。社員が別のIDで使っているサービスまでは出てきません。
導入を決める基準はどう置く？
私たちは、次の3つのうち2つが当てはまるならCASBを比較する段階だと考えています。効果を保証する基準ではなく、検討の順番を決めるための整理です。
- 手持ちのログと管理画面だけでは、社員が使うクラウドの全体が分からない
- 持ち出しや社外共有を、その場で止める必要がある（図面や預かった情報を扱うなど）
- 見つかった内容を見て判断する担当者を、社内か委託先に置ける
3つ目が欠けているなら、製品より先に担当を決めるのが先です。製品の方式、対象のサービス、費用の出し方はCASBの製品比較で並べて見られます。関連する話題はクラウドセキュリティの記事一覧にまとめています。
