CASB製品は、社内で使うクラウドの数と、その場で止めたい操作を先に決めてから比べます。使うクラウドが少なく回線の見直しもないなら単体か手持ちの機能から、拠点と端末の通信もまとめて見直すならSASEの一部として考える、という順番です。
今日やることは、社内で使っているクラウドの一覧を作ることです。経理のカード明細と、各部署への聞き取りで構いません。サービス名、使っている部署、扱う情報、会社として契約しているかの4列にします。この数が、以降の判断の基準になります。
CASBとSASEはどう違う？
CASBは製品の種類で、SASEは複数の機能をまとめる考え方です。パロアルトネットワークスの解説は、CASBをクラウドサービスを守る道具、SASEをCASBなどの複数の機能を1つにまとめる枠組みと説明しています。
SASEに含まれる機能は、同じ解説では次の5つです。
| 機能 |
役割 |
| SD-WAN |
拠点の回線を束ねて制御する |
| SWG |
Webへの通信を確かめる |
| CASB |
クラウドの利用を見えるようにし、制御する |
| FWaaS |
ファイアウォールをクラウドで提供する |
| ZTNA |
社内アプリへの接続を利用者ごとに制御する |
各社の製品名はこの分け方どおりとは限りません。たとえばMicrosoftの説明では、Entra Internet AccessとEntra Private AccessをSSEと呼び、CASBであるDefender for Cloud Appsと組み合わせる形を示しています。パロアルトネットワークスの解説では、SSEはSASEのうちセキュリティの部分で、SD-WANを含みません。
名前で判断せず、必要な機能が標準で入るか、別契約かを確かめてください。
SASEの一部か、単体か、何で決める？
基準にするのは、社内で使うクラウドの数と、回線を見直す予定の有無です。下の表は私たちの整理で、統計にもとづく区分ではありません。
| 社内の状態 |
考える順番 |
理由 |
| 主に使うのは1〜2個で、全体を把握できている |
手持ちの管理機能 |
製品を足す前に確かめられる範囲が広い |
| 部署ごとに増え、全体を把握できていない |
CASB単体か手持ちの検出機能 |
課題はまず見える化にある |
| 持ち出しをその場で止める必要がある |
インラインの方式を持つCASB |
APIだけでは止められない |
| 複数の拠点とVPNの更新時期が重なる |
SASEも比較する |
回線とセキュリティを一緒に決められる |
SASEの検討が本当に必要になるのは、最後の行です。課題がクラウドの利用だけなら、回線まで含む入れ替えは範囲が広すぎます。一方、VPN機器の更新や拠点の増設を控えているなら、CASBだけを先に買うと、後から機能が重なるおそれがあります。
単体で始めるときに確かめること
後でSASEへ広げる可能性があるなら、同じメーカーの製品につなげられるかを聞いておきます。Netskopeの製品説明は、インラインのCASBをSWGやSSEと組み合わせて使う形を示しています。
反対に、すでに別のメーカーのSWGやファイアウォールを使っているなら、連携できるかを確かめます。Microsoftの説明のとおり、CASBの配置の方式には複数あり、どの通信を通すかで既存の機器との関係が変わります。
方式で、止められる範囲はどう変わる？
CASB製品の比較で最初に見るのは方式です。Microsoftの説明では、配置の方法は次の3つです。
| 方式 |
できること |
できないこと |
| API |
許可したアプリの保存データを点検する |
その場で止める |
| フォワードプロキシ |
許可の有無を問わず通信を止める |
管理外の端末の制御、保存データの点検 |
| リバースプロキシ |
管理外の端末も含めて通信を止める |
許可していないアプリの制御 |
1つの方式ですべてに届くわけではありません。比較表を作るときは「CASB対応」の丸ではなく、方式ごとに丸を付けます。
各社の公式の説明からも、構成の違いが分かります。
FortiCASBのように、同じCASBの名前でも、設定の点検に重きを置く製品があります。通信をその場で止めたい会社と、SaaSの設定を点検したい会社では、見るべき製品が変わります。設定の点検が主な課題なら、SSPM（SaaSの設定管理）の製品比較も並べて確かめます。
製造業なら、どの操作を止めたい？
たとえば、協力工場と図面をやり取りする会社の場合です。止めたい操作は、次のように分けて書き出します。
- 個人契約のファイル転送サービスへの図面のアップロード
- 会社で契約したストレージから、私物のパソコンへのダウンロード
- 社外の相手への、リンクを知っていれば開ける形の共有
1つ目は未許可のサービスが相手なので、Microsoftの説明によればフォワードプロキシの範囲です。ただし会社が管理する端末に限られます。2つ目は管理外の端末なので、リバースプロキシの範囲です。3つ目は保存データの点検や共有設定の話なので、APIの方式か、クラウド側の管理画面で扱えます。
こうして操作ごとに分けると、必要な方式が決まります。3つ目だけなら、製品より先にGoogle Workspaceの共有設定の見直しやMicrosoft 365の共有設定の見直しで足りる場合があります。
工場の設備につながる端末や、社員ごとに割り当てていない共用の端末がある会社は、その端末に部品を入れられるかも聞いておきます。フォワードプロキシは管理された端末を前提にするので、対象に入らない端末が残る場合があります。
買う前に、手持ちで確かめられることは？
Microsoftの場合、機能の比較ページによれば、クラウドアプリの検出はMicrosoft Entra ID P1やEMS E3などに追加コストなしで含まれます。ライセンスの内訳を確かめてください。
Google Workspaceなら、管理コンソールのアプリのアクセス制御で、Googleのデータにアクセスするアプリを確認できます。
ただし、見える範囲には限りがあります。手持ちの機能で確かめて、次のどれが残るかを見ると、製品に求める条件がはっきりします。
手持ちの機能で確かめたあとに残る課題
- 会社のサービス以外の利用が、どの端末からも見えていない
- 持ち出しをその場で止める手段がない
- 複数のサービスの設定を、1か所で点検できない
- 拠点ごとに通信の管理がばらばらになっている
上の2つはCASB、3つ目はSSPM、4つ目はSASEの話に近づきます。
見積もりでは何を確かめる？
CASBやSASEの費用は、問い合わせて確かめる製品が多くあります。見積もりの条件をそろえるため、次の項目を各社に同じ形で伝えます。
- 利用者の数と、端末の種類（会社管理か私物か）
- 検査の対象にするサービスと、方式（API、プロキシ）
- データ保護の機能が標準かオプションか
- ログの保存期間
- 導入の支援と、警告を見る運用を誰が担当するか
最後の項目は、担当が少ない会社では特に確かめておきます。検出した結果を見て判断する人がいなければ、一覧が増えるだけになるからです。社内に置けないなら、運用まで任せられるサービスかどうかも比較の条件にします。
SASEまで広げて比べる場合は、これに拠点の数、今の回線と機器の更新時期、海外拠点の有無を足します。各製品の方式や対象の違いはCASBの製品比較で、回線まで含む違いはSASEの製品比較で並べて確かめられます。クラウド全般の考え方はクラウドセキュリティの記事一覧にまとめています。
