3．コンプライアンス

　CASBのコンプライアンス機能は、業界の規則や社内ポリシーなどで規定した機密情報に対する漏えい防止に役立ちます。従業員が機密情報を含んだファイルをサンクションITへアップロードしたり共有したりしていると、CASBがそのことを検知し、管理者がアップロードのブロックやファイルの隔離／削除、共有の停止といったアクションを取れるようにします。一般的なCASB製品で扱うことができる機密情報の例は、以下の通りです。

• クレジットカード番号
• マイナンバー（社会保障と税の共通番号）
• 医療情報をはじめとする業界特有の情報
• 社内コンプライアンスに関わる情報
  • プロジェクト名や特定の拡張子（図面、動画など）を持つファイル情報など

　コンプライアンス機能の活用に当たっての課題は、機密情報を定義し、その公開範囲を定める「文書管理規定」の策定です。CASBがコンプライアンス機能を搭載していても、そもそも文書管理規定が存在しない状態では、どのファイルに対してどのようなアクションを取るべきかが決められず、ポリシーを設定できません。

　自社に文書管理規定が存在しない、またはその浸透が不十分な企業にはCASBが不要かというと、そうではありません。クラウドサービスをセキュアに活用するためには、文書管理規定の策定が必要不可欠です。ただし、クラウドサービスの利用状況を把握しないまま規定を策定することは、非常に困難です。CASBを利用すれば、まず可視化機能を活用しながら規定を策定し、コンプライアンス機能でその規定を実際に施行してみて、試行錯誤を繰り返しながら実効性を高めることができます。

4．データセキュリティ

　CASBのデータセキュリティ機能には、データ暗号化やアクセス制御、デジタル著作権管理（DRM）などがあります。第1回「クラウドセキュリティの“熱い”キーワード『CASB』とは何か？　誕生の理由は？」で詳述した通り、クラウドサービスはアクセス経路が多様で厳密なアクセス制限をしにくく、データの保管場所もクラウド側となるため、最終的にはデータそのもの、つまりサービス全体ではなくデータへのアクセスについて、セキュリティ対策を取ることを検討する必要があります。

　ここでいうデータセキュリティには、クラウドサービスベンダーに起因するセキュリティリスクへの対処も含みます。例えば「データ廃棄」に伴うリスクです。クラウドサービスベンダーは、データを廃棄する場合、通常はデータを上書きします。クラウドサービスのリソースは一般的に他社と共有するため、個別のユーザー企業が物理的にディスクを破壊するのが難しいからです。基本的にはベンダーを信じて、契約によって担保するしかありません。

　ここで有効な手段となるのが「クリプトシュレディング」（Crypto Shredding）です。クリプトシュレディングは、クラウドサービスへ保管するデータを暗号化してからアップロードし、保管したデータを廃棄する場合には暗号化に使用した暗号鍵も廃棄することで、ベンダーに依存しないデータ廃棄を可能にする手法です。暗号鍵はデータのアップロード先となるクラウドサービスではなく、ユーザー企業のオンプレミス環境、もしくは他のクラウドサービスへ保管する必要があります。

　複数のクラウドサービスのコントロールポイントとなるCASBならば、単一の暗号鍵で複数のクラウドサービスにアップロードするデータを暗号化できるため、クリプトシュレディングとの相性が良いのです。その他、クラウドサービスベンダーの内部不正に対しても、データセキュリティは有効な対策です。

CASBの効果的な導入には「フェーズ分け」が不可欠

　以上、CASBを構成する4機能を紹介しました。CASBには幅広い機能が備わっていることを理解していただけたと思います。ここまで読んで、「どこから取り掛かるべきなのか」「どれだけのコスト（工数）がかかるのか」と考えている人もいらっしゃるでしょう。そこで重要となるのが、フェーズ分けです。

　一見すると遠回りのように見えますが、CASBの4機能をそのままフェーズとして順序立てて捉え、

1. 可視化
2. 脅威からの防御
3. コンプライアンス
4. データセキュリティ

の順に実施することが最も効率良く、効果的です。

　そもそもシャドーITやサンクションITの利用状況を可視化／分析しなければ、どのような脅威が存在するのかが十分に分かりません。脅威が分からなければ、どんな対策やポリシーが必要となるのかも分からないのです。

　コンプライアンス機能を説明する際に、文書管理規定について触れました。クラウド利用推進の過渡期にある国内企業は少なくありません。こうした企業は、施行すべきクラウド利用ポリシーをまだ策定していない、もしくは現在策定しようとしている状況にあると考えられます。自社のクラウド利用ポリシーの策定や施行、浸透に関して、PDCA（計画、実行、検証、見直し）サイクルを回しながら中長期的に取り組むために、CASBが大いに役立つはずです（図）。

図　CASB製品を活用したクラウド利用ポリシー策定のPDCAサイクル《クリックで拡大》

　今回は、CASBを構成する可視化、脅威からの防御、コンプライアンス、データセキュリティの4機能について説明しました。最終回となる次回は、これまでの内容を踏まえ、具体的なCASB製品の選定に役立つ評価軸や、選定に当たって注意すべき点を整理します。