選定ポイント2：運用性向上の工夫

　できる限り運用者の手作業をなくしたい場合は、リスクの可視化から取るべきアクションまでをワークフロー化できるCASB製品が有効です。CASB製品も他のセキュリティ製品と同様、「導入して終わり」ではありません。可視化したリスクに対して、定期的に自社のクラウド利用ポリシーを見直したり、CASB製品自身やURLフィルタリング製品など連携対象のセキュリティ製品の設定をチューニングしたり、社内への周知や従業員教育をしたりする必要があります。

　運用性の観点でCASB製品を選定する際は、以下のような観点でヒアリングや検証をするとよいでしょう。

1. 管理画面の利便性
   • 条件による解析結果のフィルタリングの可否
   • 検索機能の充実度
   • ポリシー設定のテンプレートの有無など
2. レポーティング機能の柔軟性
   • レポーティング内容、集計期間、フォーマットなどの変更の可否
   • 特定の宛先への定期的なレポート送付の可否など
3. 既存環境との親和性
   • URLフィルタリング製品とのAPI連携によるシャドーIT遮断の可否
   • 認証製品と「SAML」などの認証連携テクノロジーによる、サンクションITへのシングルサインオン（SSO）の可否
   • セキュリティ情報イベント管理（SIEM）製品へのアラートの送信や集約、SIEMによる分析の可否など

選定ポイント3：新サービスや仕様変更への追従体勢

　シャドーITのセキュリティ対策を目的とする場合、検知可能な登録済みクラウドサービス数はもちろん、未登録のクラウドサービスへの対処方法も確認しておくとよいでしょう。CASBベンダー各社は、日々誕生する未知のクラウドサービスを発見し、そのリスクを評価して、自社のデータベースに登録しています。便利なクラウドサービスが登場すると、ソーシャルネットワーキングサービス（SNS）やコミュニティーを通じて拡散し、シャドーITとして利用される可能性があるからです。

　サンクションITのセキュリティ対策を目的とする場合、クラウドサービスの仕様変更にどれだけ迅速に追従できるかも確認しておく必要があります。CASBベンダー各社が標準の保護対象として選定しているクラウドサービスは、「Office 365」「Box」「Sales Cloud」など現在主流のサービスが中心で、この点で製品間の違いはほとんどありません。ただしクラウドサービスは、利便性向上のため頻繁に機能追加や仕様変更をするため、こうした変化にどこまで早く対処できるかが重要になります。

選定ポイント4：CASBベンダーのセキュリティ対策

　CASB製品は前述の通り、クラウドサービスとして提供されることが一般的です。クラウド形式のCASBサービスのセキュリティレベルは、ベンダーのセキュリティ対策にある程度左右されます。CASBサービスを選定する場合は当然ながら、分散型サービス停止（DDoS）攻撃や脆弱（ぜいじゃく）性を悪用した攻撃など、外部からの攻撃に対するベンダーの防御体勢を確認することが重要です。その他、例えば下記のような事柄に関しても、ベンダーの技術面での対策や契約面での対応を確認しておく必要があります。

• ログに含まれる個人情報の取り扱い
• 管理者アカウントの認証情報の取り扱い

ログに含まれる個人情報の取り扱い

　CASBサービスを選定する際は、そのサービスが重要情報をクラウド側へ転送する際、ユーザー企業の拠点内でその部分を暗号化またはトークン化し、社外から解読できない状態にする仕組みを持っているかどうかを確認しておくべきです。シャドーIT保護で解析対象となるファイアウォールやWebプロキシのアクセスログは、ユーザー名や送信元IPアドレスといった個人情報を含むからです。

管理者アカウントの認証情報の取り扱い

　API連携構成のCASBサービスの場合、サンクションITとAPI連携をするためには、CASBサービスにサンクションITの管理者権限を付与する必要があります。ただし、CASBサービスにサンクションITの管理者アカウントの認証情報（ID／パスワードなど個人を識別する情報）を保管すると、CASBサービスが個人情報漏えいのリスクを保有することになります。それを避けるためには、サービス内に認証情報を保管せず、「OAuth」などの認可テクノロジーを活用し、クラウドサービスやその機能の利用可否を判断する認可情報だけを委譲可能なCASBサービスの選定が重要です。

　個人情報をはじめとする機密情報は、CASBサービスを利用するかどうかにかかわらず、社外に出さないことが最も安全であることは間違いありません。

　以上のようにCASB製品と一口に言っても、企業のクラウドサービスの利用方針によって、選定すべき製品は異なります。導入しようとしているCASB製品が、自社のニーズを実現できるかどうか、イメージしている運用との間にギャップはないかどうかを事前に調査、評価することが、CASB製品選びに失敗しないために重要です。特に一般的には見えにくい脅威であるシャドーITに関しては、まずは現在の状況を可視化できるかどうかが重要になるでしょう。

　日本では働き方改革が進む中、生産性や運用性を向上させる手段として、クラウドサービスの利活用が着実に進んでいます。それに伴い、社内システムと社外システム、企業デバイスと個人デバイスの間に明確な境界がなくなりつつあります。セキュリティ製品も従来の境界防御だけではなく、クラウドを視野に入れたものへとシフトする必要があるのです。クラウドサービスのコントロールポイントであるCASBはまさに、こうした変化を体現したセキュリティ製品分野だといえます。

　従業員のクラウド利用を見て見ぬふりするのではなく、どのように管理、統制するのか――。こうした視点は、企業ITにおけるクラウドサービスの利用が広がるにつれて、より重要になります。適切なクラウドサービス利用の鍵となるCASBは近い将来、現在の境界防御製品と同じような位置付けで、当たり前のように多くの企業で導入されることになるでしょう。