CASBとSASEの違いは？単体で入れるか全部まとめるかの判断基準

CASBはクラウドの利用を見えるようにして制御する機能で、SASEはCASBを含むセキュリティ機能と回線をクラウドからまとめて提供する形です。単体か一括かは、拠点の数と、VPN機器やファイアウォールの更新時期で決めます。

今日やることは2つです。拠点ごとに、VPN機器とファイアウォールの機種、保守の期限、最新の更新を当てた日を1枚⁠の表にしてください。そして、今の困りごとがクラウドの利用なのか、拠点と社外からの接続なのかを1行⁠で書きます。

クラウドの対策全体はクラウドセキュリティの一覧⁠にまとめています。

CASBとSASEはどう違う？

包含関係で見ると整理できます。CASBはSASEの中の1つ⁠の機能です。パロアルトネットワークスの解説は、CASBをクラウドサービスのセキュリティの道具、SASEをCASBを含む複数の機能を1つ⁠にまとめる枠組みと説明しています。

米国標準技術研究所のNIST SP 800-215（2022年11月）⁠によると、SASEはガートナーが2019年⁠に作った言葉です。新しい機能というより、すでにある回線とセキュリティの機能を、個別の製品ではなく1つ⁠のパッケージとしてクラウドから届ける形だと説明しています。

表の下の2行⁠は私たちの整理です。製品ごとに細かな違いはあります。

SASEには何が含まれる？

MicrosoftのSASEの説明では、主な構成は次の5つです。

右の列は対応の目安で、私たちの整理です。全ての製品がそのまま置き換えられるわけではありません。

間に立つ言葉がSSEです。Microsoftの説明では、SSEはSWG、CASB、ZTNA、FWaaSのようなセキュリティの機能を指します。つまり、CASBがSSEの中にあり、SSEと回線をまとめたものがSASE、という順番で理解できます。回線を変えずにセキュリティの機能だけまとめるならSSEの範囲で考えられるので、「単体かSASE全部か」⁠の間に、もう1つ選択肢があります。

Microsoftは、SASEの形として、1つ⁠のプラットフォームと、2社⁠の組み合わせの両方を挙げています。「SASE」⁠と書かれていても、同じ1社⁠の製品とは限りません。名前より、どの機能がどの契約に入るかを確かめてください。

単体か一括か、どう判断する？

基準は2つ⁠、拠点の数と機器の更新時期です。下の表は、私たちが考えの順番として整理したものです。統計にもとづく区分ではなく、拠点の数の分け方も目安です。

更新時期を見る理由は、費用の二重払いを避けるためです。買ったばかりの機器を抱えたまま一括で移ると、機器の保守とクラウドの契約が重なる期間が長くなります。反対に、保守が切れる直前に調べ始めると、比べる時間がありません。保守の期限から逆算して、半年から1年前には比較を始めてください。期間の長さは私たちの目安で、社内の決裁と移行の手間で変わります。

拠点の数を見る理由は、管理の手間です。NISTは、SASEの機能の1つとして、場所によらず同じルールを当てられること、管理する物理機器の数を減らせることを挙げています。拠点が1か所なら、この利点は小さくなります。

たとえば、本社と3つ⁠の工場をVPNで結び、機器の保守が来年に同時に切れる部品メーカーの場合を考えます。機器を4台買い直す案と、SASEかSSEへ移す案を同じ期間の費用で比べる理由があります。逆に、本社1か所でMicrosoft 365が中心、ファイアウォールを昨年更新した会社なら、一括で移す理由はほとんど見当たりません。

判断を変える例外

上の表に当てはまらない場面もあります。

• 外から使う社内システムが無く、VPNをやめられる：機器の更新前に、VPNが本当に要るかを先に確かめる
• 工場の設備用の回線が事務の回線と一緒：移行の範囲を分け、設備の通信を止めない計画を先に作る
• 海外拠点がある：利用する国での接続点や規制を、販売店に確かめる
• 拠点の担当が機器の管理者：クラウドへ移しても、ルールを管理する人の手間は残る

VPN機器の見直しは急ぐ？

SASEを買うかどうかにかかわらず、今あるVPN機器の更新は別に進めます。警察庁の令和7年⁠の脅威情勢（2026年3月）⁠によると、ランサムウェアの被害企業へのアンケートで、侵入経路はVPN機器が6割以上⁠を占めます。被害企業の約6割⁠は中小企業で、業種では製造業が約4割でした。

警察庁のアンケートの資料（2026年1月）⁠で⁠は⁠、VPN機器の最新パッチを適用していない組織が52%あります。社外からの業務アクセスの認証がIDとパスワードだけの組織も39.8%です。

ZTNAについて、Microsoftは利用者のIDや端末の状態で接続を決める仕組みで、従来のVPNを置き換えるものと説明しています。VPNを減らす手段の1つですが、ZTNAを入れれば被害に遭わないわけではありません。IDの管理や端末の更新は、ここでも必要です。

単体のCASBで足りるのはどんなとき？

困りごとがクラウドの中に閉じているときです。総務省のテレワークセキュリティガイドライン第5版（2021年5月）⁠は⁠、社内を通らずに直接クラウドへつなぐ形では、オフィスの機器による対策が使えないとして、クラウドプロキシやCASBの導入の検討を挙げています。

CASBが向くのは次のような課題です。

• 部署ごとに使うクラウドが増え、一覧がない
• 個人のストレージに図面を上げていないか確かめたい
• 大量のダウンロードや、社外への共有に気づきたい

CASBの製品ごとの違いはCASBの製品比較で並べています。製品を選ぶときに使うのは、対象のクラウドと方式です。Web全体の閲覧を制御したい場合はCASBの範囲を超えるので、SWG（クラウド型プロキシ）⁠の製品比較も見てください。

SaaSの設定を確かめたいのであれば、CASBではなくSSPMの話になることがあります。分け方はCSPMとSSPMの違い⁠にまとめています。

SASEへ移すときの順番は？

全部を一度に移す必要はありません。Microsoftの説明も、今の環境を整理し、検証のうえ、利用者と拠点とアプリを段階的に移す手順を示しています。中小企業に合わせると、次の順番が考えやすいと私たちは見ています。

1. 今の環境を書き出す（拠点、回線、機器の期限、外から使う社内システム、使うクラウド）
2. 動かしてはいけない通信を決める（工場の設備、基幹システム、取引先とのEDIなど）
3. 少数の利用者と1拠点で試す
4. 社外からの接続、Webとクラウド、拠点間の順に広げる
5. 移し終えた機器を止め、古いアカウントを消す

3の順番は、止まったときの影響が小さい場所から試すためです。工場は生産への影響が大きいので、後ろに置く判断もあります。移行後に古いVPN機器を動かしたまま残すと、守る対象だけが増えます。5まで終えて、移行の完了とします。

見積もりで確かめること

SASEは、機能の範囲で価格が変わります。比べるときは同じ前提に揃えてください。

• 含まれる機能はどれか（SD-WAN、SWG、CASB、FWaaS、ZTNA⁠）⁠。標準か別契約か
• 人数での課金か、拠点や通信量も関わるか
• 国内の接続点はどこか。工場の回線の遅れをどう試すか
• 事業者側の障害時に、業務をどう続けるか
• 設定と運用を誰が担うか。自社か、販売店か
• 既存の機器の保守の残りを、移行の間どう扱うか

Microsoftは費用面の利点として機器と保守の費用を下げられる点を挙げていますが、これはメーカー側の説明です。自社の場合は、機器の更新費と保守費、運用の手間と、クラウドの契約を同じ年数で比べて確かめてください。製品の違いはSASEの製品比較で見られます。

結局、自社はどれから始める？

3つ⁠の質問に順に答えると、話が絞れます。

1. 困りごとはクラウドの中か、接続の経路か。クラウドの中なら、手持ちの機能かCASB単体を先に見る
2. 接続の経路なら、拠点はいくつあるか。1か所なら、VPNの見直しを先に行う
3. 複数拠点なら、機器の保守はいつ切れるか。1〜2年以内⁠に重なるなら、SSEとSASEの比較を始める

どの答えでも、今日作る機器の一覧は同じです。社内のルールや読む資料の整理がまだなら、クラウドのガイドラインを読む順番から確かめてください。機器の期限が見えると、CASBかSASEかという製品の話が、いつ何を替えるかという計画の話に変わります。