クラウドアクセスセキュリティブローカー（CASB）の機能と運用実務

背景と概要

企業におけるクラウドサービス（SaaS/IaaS）の活用が一般化するにつれ、従来のネットワーク境界（ファイアウォールやプロキシ）だけでは、どの従業員がどのクラウドにアクセスし、どのようなデータをアップロードしているのかを完全に把握することが難しくなりました。

この「クラウド利用の可視化と制御の隙間」を埋めるセキュリティ概念として導入が進んでいるのが「CASB（Cloud Access Security Broker）」です。

CASBが提供する4つのコア機能

CASBは、ユーザーと複数のクラウドサービスの「間」に位置し、単一のコントロールポイントとして機能します。

1. 可視化（Visibility）：シャドーITの発見

ネットワークログを解析し、会社が把握していない未許可のSaaS（シャドーIT）の利用状況を洗い出します。数千種類に及ぶSaaSの安全性を自動評価（リスクスコアリング）します。

2. データセキュリティ（Data Security）：DLPと外部共有制御

マイナンバーやクレジットカード番号などの機密データがクラウドへアップロードされるのを防ぎます。また、BoxやGoogle Drive等で「誰でも閲覧可能」に設定された公開リンクを自動検知して取り消します。

3. 脅威防御（Threat Protection）：マルウェア感染防止

クラウドストレージにアップロード・同期されたファイル内にマルウェアが含まれていないかをリアルタイムでスキャンし、他のユーザーへの感染拡大を防ぎます。

4. コンプライアンス（Compliance）：アクセス制御とポリシー適用

「未対策の個人所有PCからはデータのダウンロードを禁止する」「特定の国からのアクセスは拒否する」といったコンディショナルアクセスを制御します。

CASBの代表的な実装アーキテクチャ

導入環境に応じて「APIモード」と「プロキシモード」が使い分けられます。

APIモード：

クラウドサービス側のAPIと直接連携してバックグラウンドで監視・制御します。ネットワーク構成を変更せず導入できますが、リアルタイムのインライン遮断が難しい場合があります。

プロキシモード（インライン）：

ユーザーの通信経路に代理サーバー（プロキシ）として介入します。アップロード時の即時遮断が可能ですが、ネットワーク構成の変更やエージェントソフトの導入が必要となります。

CASB運用を成功させるためのポイント

単に製品を導入するだけでなく、運用のルール化が大切です。

1. 「禁止」ではなく「安全な代替手段」の提示

危険なSaaSを一方的にブロックするだけでなく、「ファイル共有には会社指定のBoxを使ってください」といった代替手段を提示することで、現場の業務停止を防ぎます。

2. SSE（Security Service Edge）への統合検討

CASB単体で運用するだけでなく、SWG（Webプロキシ）やZTNA（ゼロトラストアクセス）と統合されたSSEプラットフォームとして一括管理することで、運用ポリシーの一貫性を保ちます。