クラウド・アクセス・セキュリティ・ブローカー（CASB）とは？

従来のセキュリティ・サービスは、企業ネットワークの境界を保護し、オンプレミスのユーザー、アクセス、データ・ストレージに重点を置いていた。企業がアプリケーション、データ・アクセス、データ・ストレージをクラウドに移行し、ネットワークの境界が消滅すると、セキュリティ・ギャップが生じました。CASBは、オンプレミスまたはクラウドで展開されるクラウドに特化した新しい製品とサービスを開発し、企業がクラウドサービスを利用する際の新たなセキュリティリスクに対応しました。

CASBは、従来の企業境界内外のユーザーからクラウドサービスへのセキュアなアクセスを可能にし、セキュアなクラウド・ツー・クラウド・アクセスをサポートし、セキュアなワークフロムエウェアを実現し、管理されていない個人デバイスからのクラウドアクセスを保護し、SaaS（Software-as-a-Service）、PaaS（Platform-as-a-Service）、IaaS（Infrastructure-as-a-Service）環境全体にセキュリティを拡張します。また、SaaS（Software-as-Service）、PaaS（Platform-as-Service）、IaaS（Infrastructure-as-Service）の各環境にセキュリティを拡張します。

CASB製品とサービスは、クラウド上のデータと脅威の可視化と制御を実現し、企業のセキュリティ要件と規制要件を満たします。充実した機能を備えたCASBソリューションは、以下を支援します：

• ユーザー・コミュニティがアクセスするクラウド・サービスのリストと、誰がアクセスしているのかを把握できます。
• アプリケーションとその中で使用・共有されるデータを分析することにより、各クラウドアプリケーションに関連するリスクレベルを決定する。
• リスクレベルに基づいて企業のセキュリティポリシーを実施し、違反を防止します。
• マルウェア対策やデータ暗号化などの追加保護を導入する。

CASBの中核となる4つの機能領域は以下の通り：

• 可視化：使用中のクラウドサービスを発見し、誰がこれらのクラウドサービスを使用しているかを発見し、クラウド支出、冗長性の可能性、ライセンスコストに関する財務的洞察を提供する。
• コンプライアンス：アプリケーションとデータをクラウドに移行する際に、規制コンプライアンスを維持、改善、レポートします。
• データセキュリティ：高度なクラウドDLP検知メカニズムと連携し、静止中および移動中のデータは暗号化などの方法で保護されます。
• 脅威からの保護クラウドアプリケーションやアクセスを通じて企業に侵入するマルウェアやその他の脅威から組織を保護します。

CASBは、クラウドアプリケーションディスカバリー、データセキュリティ、アダプティブアクセスコントロール、マルウェア検出、ユーザーとエンティティの行動分析という5つの重要なセキュリティ機能を提供する。

CASBのメリット

CASB製品やサービスを組織に導入することで、セキュリティや管理の面で多くのメリットがあります：

• ユーザーとデバイス（BYODを含む）の両方に対して、複数のクラウド・サービスにまたがる一貫したポリシーとガバナンスのための中心的な場所。
• ユーザーのアクティビティ、アプリケーション、機密データ、SaaSのアクティビティを詳細に可視化し、管理します。
• 安全な労働力の移動が可能
• Office 365などのクラウドアプリケーションの使用を監視し、管理する。
• 企業は、機密データの保護、コンプライアンス、およびポリシーの適用に対してきめ細かなアプローチをとることができ、時間短縮、生産性向上、コスト効率に優れたクラウドサービスを安全に活用できるようになります。
• BYODに対応するため、業界が従来のデバイスやデバイス管理手法から移行する中、SaaSアプリケーションへのすべてのデバイス・アクセスを保護します。
• クラウドサービスにおけるデータ、アプリケーション、ユーザーの挙動を検査し、分析を提供します。これには、承認されていない従業員のクラウド利用やシャドーITの存在も含まれます。
• 企業の既存のIDプロバイダー、セキュリティ情報・イベント管理（SIEM）ツール、統合エンドポイント管理（UEM）製品と統合。
• 機密性の高いコンテンツを暗号化またはトークン化してプライバシーを保護します。
• 悪意のある活動を示す異常な行動を検出し、ブロックする。
• クラウドの可視化と制御を既存のセキュリティ・ソリューションと統合する。
• マルチテナントのクラウド環境で運用する。
• クラウドサービスの企業インスタンスと個人インスタンスを区別し、両者間のデータ交換を制限またはブロックする機能を提供する。

CASBの導入方法

CASBは、オンプレミス、コロケーション、またはパブリッククラウドベースのセキュリティポリシー実施ポイントであり、クラウドサービスコンシューマとクラウドサービスプロバイダの間に配置され、クラウドベースのデータやアプリケーションにアクセスする際に企業のセキュリティポリシーを注入します。CASBアーキテクチャ柔軟性を重視して設計されており、CASB は仮想アプライアンスまたは物理アプライアンスとして動作することも可能です。

組織のニーズに合った CASBアーキテクチャ 導入することは、想定しているすべての機能とユースケースを使用できるようにするために非常に重要です。一部の機能は、特定の導入モデルでのみ利用可能です。クラウド・アクセス・セキュリティ・ブローカーを評価する際には、ベンダーとソリューションが必要な導入モデルをサポートしていることを確認してください。企業は、ニーズを完全にカバーするために複数の導入モデルを組み合わせることがよくあります。

主なCASBソリューションは2つある：

帯域外

CASBは、ユーザーとクラウド間、あるいはクラウドとクラウド間のトラフィック経路には存在しない。CASBはアクティビティを監視してログに記録し、APIアクセスを通じてポリシーアクション（許可、拒否、削除、チャレンジ許可など）を注入することができる。

アウトオブバンドのCASBソリューションは、イベントとアクティビティを監視してレポートすることはできるが、インタラクションの内容を可視化することはできない。

インライン

これらのCASBソリューションは、ユーザーとクラウド間、あるいはクラウドからクラウド間のトラフィックを終端/再起源するプロキシモードを使用する。CASBは、リバースプロキシ（クラウドに近い）またはフォワードプロキシ（ユーザーに近い）のいずれかとしてデプロイできる。

インラインCASBソリューションは、すべてのポリシー決定を行うだけでなく、モニタリングとレポーティングを行うことができる。

マルチモードCASBプロバイダーは、APIとインライン動作モードの組み合わせを提供するプロバイダーである。著名なクラウド・アプリケーション・プロバイダーやサービス・プロバイダーはパブリックAPIを公開しているが、ほとんどのSaaSアプリケーションはAPIを提供していないため、少なくとも1つのインライン機能を備えたCASBソリューションが必要となる。