クラウドセキュリティの“熱い”キーワード「CASB」とは何か？　誕生の理由は？（1/2 ページ）

クラウドサービスのセキュリティ対策を可能にする「CASB」は、どのようないきさつで生まれたのか。誕生の背景を探る。

公開 2017年05月29日 09時01分

著者

清水健雄

三島千恵

[ネットワンシステムズ]

印刷する連載新着通知を受け取る

CASB登場のいきさつとは

　近年、セキュリティ分野において急速に注目度が高まっているキーワードに「CASB」（Cloud Access Security Broker）があります。ニュース記事や解説記事でCASBという単語をよく目にする人は少なくないでしょう。一方でCASBとはそもそも何なのか、肝心な中身について十分に把握できている人は、それほど多くないのが現状です。

　本連載ではCASBの全体像をつかんでいただくことを目的として、CASBが生まれた背景や主な機能、具体的な製品選定の指針まで紹介していきます。第1回目となる今回は「CASBが生まれた背景」について解説します。

　なぜCASBの機能紹介の前に、登場の背景について解説する必要があるのか。CASBのような新たなセキュリティ対策は、突如として出てくるのではなく、必ず何らかの理由があって生まれてくるからです。

併せて読みたいお薦め記事

「クラウドセキュリティ」についてもっと詳しく

「シャドーIT」にどう対処するか

CASBを生み出した働き方の変化

　CASB登場のきっかけとして挙げられるのが、働き方改革です。働き方の変化がセキュリティに与える影響を考える際、重要なポイントとなるのが以下の3つです。

雇用環境の変化
企業のクラウド利用の加速
働く場所やデバイスの変化

ポイント1：雇用環境の変化

　労働力人口の低下による国力低下は、日本が直面する大きな課題です。こうした課題に対処すべく、国は働き方改革の推進を積極的に後押ししており、実際にさまざまな働き方が出てきています。

　その例が雇用形態の変化です。総務省が毎年実施している「労働力調査」によると、雇用における非正規雇用の割合は1984年で15.3％だったのに対し、2016年では37.5％へ拡大しています。外国人労働者比率や女性労働者比率も上昇傾向にあり、最近ではインターネットで仕事を受注する「クラウドワーカー」も浸透しつつあります。企業が多様な働き手や働き方を擁するに当たっては、故意・過失にかかわらずリスクを想定し、必要な範囲で自社の従業員や業務委託先を監督する責任が生じます。

　さまざまな考え方や性質、文化、感性を持った多種多様な働き手が混在する中、企業には在宅勤務やモバイルワークなどのテレワークをはじめ、より多様な働き方を可能にすることが求められています。その実現に当たっては多くの場合、ITツールや制度を整備することになり、それに伴って新たなセキュリティ対策の検討やセキュリティポリシーの見直しが必要になるわけです。

ポイント2：企業のクラウド利用の加速

　今や多くの企業において、利用形態の違いこそあれ、クラウドを全く使っていないといえる企業はほとんどないでしょう。働き方改革の一環として、クラウドサービスの導入に踏み切る企業も少なくありません。クラウドサービスは、インターネットを経由してどこからでもアクセスできます。こうした利点に目を付け、場所を問わずに仕事ができる環境作りにクラウドサービスを生かす動きが広がっているのです。

　企業におけるクラウドサービス利用の種類は、大きく分けて2つあります。企業のIT部門が認知しておらず従業員が個々に利用している「シャドーIT」と、企業が利用を許可している「サンクションIT」です。

　シャドーITについては、以前からその危険性が指摘されてきました。特にSaaS（Software as a Service）の多くは、Webやブラウザといった汎用（はんよう）的な技術を利用してサービスを構成しており、専門知識がない従業員でも容易に利用できます。翻訳サービスや日本語入力システム（IME）など一般的なサービスに関しては、従業員がクラウドだと知らずに利用しているケースさえあります。

　企業側は、このようなシャドーITに対して、有効な対策をなかなか取れず苦慮してきました。要因は、

管理する手だてやツールがなかった
対策を取っても新たなサービスの出現に追い付くのが難しかった
利便性を損ねたくなかった

など、さまざまです。

　シャドーITは一概に「悪」ではありません。日々進化していく便利なクラウドサービスを活用すれば、従業員、ひいては企業全体の生産性が高まることは事実です。従って企業は、安易にシャドーIT禁止へ走るのではなく、積極的にクラウドサービスを利用するためのセキュリティを確保すべきなのです。

　一方でサンクションITとしてのクラウドサービスの採用も進んでいます。Microsoftの情報系アプリケーション群「Office 365」やオンラインストレージ同期サービスの「Box」をはじめ、企業向けのクラウドサービスが充実してきたことが、その動きを後押ししています。

　クラウドサービスをサンクションITとして採用することは、セキュリティ面ではどういうことを意味するのか。それは自社の従業員や業務委託先が、正規の通信経路、正規のID／パスワード、正規の権限かつ正当な理由で、自社のデータをオンプレミスからクラウドへ持ち出すツールの利用を許可したことになります。こうした決断をする以上、どのデータであればクラウドへ出してもよく、どのデータを出してはいけないのか、さらには外部へ共有してよいのかどうかなどのセキュリティポリシーを真剣に検討し、策定する必要があります。

次ページへもう1つのポイント「働く場所やデバイスの変化」