CASBとは何ですか？

クラウド・アクセス・セキュリティ・ブローカー（CASB）とは、ゲートウェイを介してインラインで展開されるか、SaaSプロバイダーとの直接的なAPI連携を通じて導入されるセキュリティ制御ポイントです。これはユーザーとクラウドアプリケーションの間に位置し、組織がクラウドの利用状況を可視化し、シャドーITを検知するとともに、クラウドサービスへの送受信およびサービス内を移動するデータに対して、リスクベースのアクセス制御およびデータ漏洩防止ポリシーを適用することを可能にします。

主なポイント

• CASBは、承認済みおよび未承認のSaaSの利用状況を可視化し、管理することを可能にします。
• インライン型CASBはトラフィックをリアルタイムで検査しますが、API型CASBはすでに保存されているデータをスキャンします。
• シャドウITの検出では、各アプリケーションを「承認済み」または「未承認」に分類します。
• CASBはDLPおよびATPと連携し、アップロード、ダウンロード、共有、投稿を検査します。
• CASBは、SASE 内のSecurity Service Edge（SSE）を構成するSaaS制御コンポーネントです。

このページの内容： その重要性 ・ 仕組み ・ 種類 ・ CASB とVersa · よくある質問

CASBはなぜ重要なのでしょうか？

アプリケーションがSaaSに移行すると、組織のデータの大部分は、セキュリティチームが管理する境界を通らなくなりました。従業員はIT部門が承認するよりも早くクラウドツールを導入するようになり、また、同じ企業ドメインが、承認済みの業務用テナントとユーザーの個人アカウントの両方に使用されることが多いため、ログイン画面だけでは両者を区別することができません。

CASBはそのギャップを埋めます。 CASBは、IT部門の知らぬ間に従業員が利用しているSaaSアプリケーション、いわゆる「シャドウIT」を検出し、各アプリケーションのリスクプロファイルを「許可」「ブロック」「検査付き許可」といった適用可能なルールに変換します。さらに、その適用範囲をデータ自体にまで拡大し、ログイン、アップロード、ダウンロード、共有活動を制御することで、機密ファイルが外部に共有された瞬間に、「承認済み」のアプリケーションが管理外のデータ流出経路となることを防ぎます。

CASBとは？

CASBは、2つの相互に補完し合う導入モデルを用いてポリシーを適用します。インライン型CASBはトラフィックの経路上に配置され（通常はセキュアWebゲートウェイの背後にリバースプロキシとして設置されます）、ユーザーがログイン、アップロード、ダウンロード、またはコンテンツの共有を行う際にセッションをリアルタイムで検査し、アクティビティごとに「許可」、「ブロック」、または「拒否」のアクションを適用します。 一方、API CASBはSaaSテナントの管理APIに直接接続し、インライン検査では把握できない情報、つまりテナント内にすでに保存されているデータや、ファイルの公開といった共有イベントを把握します。

どちらのモードも単独では不完全です。インライン型CASBでは、証明書で固定されたネイティブアプリやブラウザのキャッシュの動作を把握できません。一方、API型CASBでは、進行中のセッションに介入することができません。これらを組み合わせることで、同じSaaSおよびIaaSテナント全体において、リアルタイムのアクセス制御と保存データのガバナンスを網羅することができます。

CASBの種類

CASBの導入形態は、一般的に適用が行われる場所によって分類されます。フォワードプロキシ型CASBは、エージェントまたは明示的なプロキシ設定を通じてアウトバウンドトラフィックをルーティングします。これは、管理対象のエンドポイントで最も一般的な方式です。リバースプロキシ（インライン）型CASBは、エンドポイントの設定を必要とせず、ゲートウェイでトラフィックを傍受し、通過するセッションを検査します。これは、エージェントレスであらゆるデバイスをカバーするほとんどのCASBの基盤となるモデルです。APIベース（アウトオブバンド）のCASBは、トラフィックの経路上に配置されるのではなく、SaaSプロバイダーの管理APIに直接接続します。これは、すでに保存されているデータを検査したり、ライブトラフィックを生成しない変更情報を共有したりするための唯一の方法です。成熟した導入環境では、インラインモードとAPIベースモードのいずれか一方に依存するのではなく、両方を組み合わせています。これは、それぞれが構造上、もう一方が対応できないシナリオをカバーしているためです。

CASB およびVersa

Versa同社のCASBは、VOS™データパスに組み込まれており、SASE ファブリックの一部として提供されます。展開モデルには、インライン型とAPI型の両方が用意されています。インライン型CASBは、Versa クラウドゲートウェイまたはVOSアプライアンスを介してVOSのディープパケットインスペクション機能を活用するソフトウェアとして動作し、DirectorまたはConcertoのインターネット保護ルールに紐付けられたCASBプロファイルとして設定される、5段階のリスク分類に基づき、約80のSaaSアプリケーションをサポートしています。

Concerto で API-DP コネクタとして構成された API モデルは、テナントにすでに保存されているデータを検査し、共有イベントに反応して、DLP および Advanced Threat Protection プロファイルと連携して是正措置を講じます。CASBセキュリティのベストプラクティスでは、対象となるすべてのテナントに対して両方のモードを展開し、シャドーITの分類や、個人のクラウドアカウントへのデータ流出を阻止するテナント制限ヘッダーを多層的に適用することが推奨されています。管理者は、ConcertoのセキュリティダッシュボードにあるCASBタブを通じてアクティビティを追跡します。

よくある質問

インライン型CASBとAPI型CASBの違いは何ですか？

インライン型CASBはトラフィックの経路に配置され、ユーザーがログインしたり、コンテンツをアップロードしたり、共有したりする際に、セッションをリアルタイムで検査します。一方、API型CASBはSaaSテナントの管理APIに直接接続し、インライン検査では検出できない、すでに保存済みのデータを検査します。

CASBは、ファイアウォールやセキュアWebゲートウェイに取って代わるものですか？

いいえ。CASBは、一般的なネットワークトラフィックではなく、SaaSやクラウドアプリケーションのアクティビティに特化した補完的な制御手段です。通常、セキュアWebゲートウェイや次世代ファイアウォールと併せて導入され、多くの場合、単体のアプライアンスとしてではなく、統合型SSE（Secure SSE）やSASE プラットフォームの一部として導入されます。

シャドウITとは何ですか？また、CASBはそれをどのように対処するのでしょうか？

シャドウITとは、IT部門の知らぬ間、あるいは承認なしに行われるクラウドアプリケーションの利用を指します。CASBは、どのアプリケーションが利用されているかを特定し、そのリスクを評価した上で、管理者が各アプリケーションを「承認済み」または「未承認」に分類できるようにします。これにより、その分類に基づいて「許可」または「拒否」のルールを適用することが可能になります。

CASBは、転送中のデータだけでなく、SaaSアプリケーションにすでに保存されているデータも保護できるのでしょうか？

はい、それがAPI CASBの役割です。SaaSプロバイダーの管理APIに直接接続することで、すでに保存されているコンテンツをスキャンし、共有状況の変化を監視し、トラフィックをゲートウェイを経由させることなく、違反を隔離または是正することができます。

CASBは、SASE やSSEとどのように関連しているのでしょうか？

CASBは、セキュアWebゲートウェイ、ZTNA、DLPと並んで、Security Service Edge（SSE）の中核となるサービスの一つです。SSEはSASE のセキュリティ機能の一部であるため、CASBは独立した製品としてではなく、より広範なSASE ファブリックの一部としてユーザーに提供されます。

CASBに関する詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

CASBについて調べているなら、次はこれらをチェックしてみる価値があります。