今理解すべき「CASB」の実力【第2回】

いまさら聞けない、「CASB」と「URLフィルタリング」は何が違うのか？（1/2 ページ）

クラウドセキュリティの注目株である「CASB」は、既存のセキュリティ製品やクラウドサービスのセキュリティ機能と、何がどう違うのか。分かりやすく解説する。

公開 2017年09月13日 05時00分

更新 2019年07月10日 10時41分

著者

三島千恵

[ネットワンシステムズ]

印刷する連載新着通知を受け取る

　第1回「クラウドセキュリティの“熱い”キーワード『CASB』とは何か？　誕生の理由は？」は、「CASB」（Cloud Access Security Broker）の生まれてきた背景と、CASBに注目すべき理由について説明しました。第2回となる今回は、CASBの技術的・機能的特徴やメリットに踏み込み、既存セキュリティ技術との違いに着目して、CASBとは一体何なのかをお話しします。

　結論から言うと、CASBは「従業員がクラウドサービスへアクセスする際のセキュリティを一括するコントロールポイント」です（図1）。

図1　CASBはクラウドサービスのコントロールポイントとしての役割を果たす《クリックで拡大》

　ここで言う「クラウドサービス」とは、

会社が許可しておらず、従業員が個別に利用しているクラウドサービス
会社から利用を許可されているクラウドサービス

の両方を指します。前者を「シャドーIT」、後者を「サンクションIT」と呼びます。

　ここで多くの人は2つの疑問を持つでしょう。1つ目はシャドーITのコントロールに関して、既存のURLフィルタリングによる可視化やアクセス制御と何が違うのか、という点。2つ目はサンクションITのコントロールに関して、クラウドサービス側が提供しているセキュリティ機能と何が違うのか、という点です。

併せて読みたいお薦め記事

「CASB」「クラウドセキュリティ」についてもっと詳しく

「シャドーIT」にどう対処するか

URLフィルタリングとCASBの違い

　まずシャドーITのコントロールにおけるURLフィルタリングと、CASBとの違いについて説明します。

　URLフィルタリング（「Webフィルタリング」とも）は、アダルトサイトや薬物・犯罪に関するWebサイトのように、教育上または職務上、閲覧することが不適切なWebサイトをフィルタリングし、エンドユーザーに見せなくすることを指します。クラウドサービスもWebサイトの1種だと考えれば、クラウドサービスのコントロールは、URLフィルタリングがあれば十分なのではないかと考える人もいるでしょう。

　今や企業が当たり前に導入しているURLフィルタリングと、CASBによるシャドーITのコントロールは何が違うのでしょうか。下記の表1に両者の違いをまとめました。

表1　URLフィルタリングとCASBとの違い
	URLフィルタリング	CASB
対象	・クラウドサービスを含むWeb全般	・クラウドサービスのみ
目的	・URLごとのアクセス制御	・クラウドサービス利用の統制
得意	・URL単位でのサイトの全般的な評価・アクセス自体のブロック	・クラウドサービスに特化した危険度評価・アップロードデータの詳細な制御
不得意	・クラウドサービスに特化した危険度評価・アップロードデータの詳細な制御	・アクセス自体のブロック・クラウドサービス以外のWebサイトの全般的な評価

　URLフィルタリングは、宛先がクラウドサービスかどうかにかかわらず、Web全般に対してURLごとにアクセスを許可・拒否します。従って指定のURLが危険かどうかを判断する指標は、そのURL（Webサイト）に脆弱（ぜいじゃく）性やマルウェア感染がないかどうか、また業務上のアクセスとしてふさわしいかどうかといった、従来の脅威防御の観点となります。

　対してCASBは対象をクラウドサービスに絞り、その利用統制に特化しています。これによりクラウドサービスの危険性を判断する指標が、前述した従来の脅威防御の観点に加え、クラウド特有の指標を加えたクラウドセキュリティの観点を含んだものとなります。具体的には「ファイル共有機能を有しているか」「アップロードしたデータの知的財産権がユーザー企業とクラウドサービスのどちらにあるか」などの観点を基にした危険性の判断を可能にします。

　現在のCASB製品の多くは、シャドーITに関しては利用状況の可視化とクラウドサービスのリスク評価機能の提供に重点を置いています（画面1、2）。CASB製品自身ではアクセス制御はせず、実際のアクセス許可・拒否は、URLフィルタリング製品と連携する形式を取っています。すなわちアクセス許可・拒否をする前段の「クラウドサービス自身のリスクに関する判断」という、既存のURLフィルタリングではカバーし切れなかった部分をCASBが補完するのです。

画面1、2　現状のCASB製品はリスク評価機能に重点を置く（画面はSkyhigh Networks「Skyhigh Cloud Access Security Broker」）《クリックで拡大》

　さまざまなクラウドサービスが登場する中、ユーザー企業が各サービスのリスクを都度調査し、アクセス許可・拒否を判断することは非常に困難です。CASBによる客観的なリスク評価は、大きな助けとなります。

　クラウドサービスにアップロードするファイルの制御にも、大きな違いがあります。現在のURLフィルタリング製品は、エンドユーザーが送信するファイルの中身までは確認できません。例えばクレジットカード番号や日本でのマイナンバー（社会保障と税の共通番号）のような、機密情報を含むファイルの漏えいを防止することはできません。

　CASB製品は一般的に、クラウドサービスへアップロードされるファイルの中身を確認し、機密情報が含まれていた場合にはアップロードの阻止やファイルの隔離・削除をするという漏えい防止機能を持っています。ただし基本的には、全てのクラウドサービスに対して、この漏えい防止機能を利用できるわけではありません。どのクラウドサービスに対して漏えい防止機能が利用できるかはCASB製品によって異なるため、製品選定の1つのポイントとなります。

次ページへクラウドサービスのセキュリティ機能との違いは？