技術解説
マルチクラウド時代のセキュリティ対策～「CASB」とは？
2018年10月11日
「クラウドファースト」は企業におけるクラウド導入の動向を指す言葉ですが、ITインフラを利用するパブリッククラウドのようなクラウドサービスの普及とあわせて、ERPなど基幹業務システムやSFAと呼ばれる顧客管理システムが、SaaS型クラウドサービスとして浸透してきました。その他、さまざまなレベルで、企業活動を支援するクラウドサービスが企業内で活用されています。
このように、クラウドは企業活動に必須のインフラとなってきていますが、同時に自社の重要なデータを外部に置くことからセキュアに活用する必要もあります。複数のクラウドサービスを併用するのが当たり前になりつつある現在、マルチクラウド時代のセキュリティとして注目されているのが、「CASB」というソリューションです。
本記事をご覧いただいた方向けに、おすすめの記事をまとめました。こちらもあわせてご確認ください。
「CASB」とは？
クラウドファーストや働き方改革の実現のためのリモートワークなど、クラウドサービスを巡る状況は目まぐるしく変化しています。
迅速な開発やサービスの投入、リソースの効率的な運用、コアコンピタンスへの集中など、クラウド導入のメリットにばかり注目が集まっていますが、クラウドを利用する上でリスクが数多く存在することを正しく認識している企業は、実はあまり多くないのではないでしょうか？
そこで、クラウドのセキュリティソリューションとして注目を集めているのが「CASB（Cloud Access Security Broker）」であり、頭文字4つをとって通称「キャスビー」と呼ばれています。
CASBは日本ではまだ認知度が低いのが実情ですが、グローバルなセキュリティ市場では注目されており、その概念は2012年にアメリカの調査会社「ガートナー」が提唱したもの。「クラウドサービスと企業内のユーザー間に位置し、ユーザーのクラウドサービス利用状況を把握するソリューション」のことです。
4つの主要な機能を持つとされていますが、それは以下のような機能です。
CASBの主要な機能
- クラウド利用の可視化／制御
シャドーITの可視化と制御、サンクションITの保護 - データセキュリティ
アクセス権限の監視、情報漏洩の監視・防止 - コンプライアンス
セキュリティ・ポリシー準拠の監査 - 脅威防御
脅威を検出／分析し、防御する
企業では、クラウドサービスを含むITシステムを情報システム部門が一括して管理するのが普通ですが、一方で情報システム部門が関知していないユーザーレベルでのクラウド利用や事業部門による独自のクラウド利用例が増加しています。
CASBは、そういった企業内外からのすべてのクラウドサービスの利用について、セキュリティを一括してコントロールするためのソリューションとなっています。
「CASB」が注目される背景
では、なぜCASBに注目が集まっているのでしょうか。CASBが必要とされている理由はどのようなものでしょうか。
1つめの理由は、クラウドやモバイルの急速な企業ITへの採用です。ストレージ、メール、アプリケーションなど、複数のIaaS／SaaSのクラウドサービスを併用している企業が増加しています。そのため、クラウドサービスのセキュリティを一括してコントロールする必要が生じているのです。
2つめは、いわゆる「シャドーIT」の増加です。先ほど述べたような情報システム部門を通さずに、ユーザーレベルでファイルサーバーが設置されるという例はこれまでにもありました。しかし、社外とデータのやりとりが生じるクラウドの場合、しっかりとしたガバナンスのもとに利用する必要があります。
さらに、働き方改革などによるワークスタイルの多様化です。リモートワークやテレワークの普及は、クラウドサービスの存在なしには成立しません。しかし、同時に社内ネットワークのような、コントロールされたセキュアな環境も必要になってきました。
クラウドの業務効率化の効果が高いことは言うまでもありません。その一方で、クラウド利用が進むに連れて、リスクも顕在化してきました。
複数クラウド利用の際のリスク
- クラウドサービスが適切に利用されているか
- クラウド上のデータとユーザーIDのデータが保護されているか
- セキュリティ上の脅威はないか
- クラウド上の機密データは保護されているか
- デバイスのアクセスは制御されているか
複数のクラウド利用が当たり前になった現在、クラウド利用のリスクについても把握しておく必要があります。
「CASB」で何ができるのか
CASBの主要な4つの機能は前述の通りですが、具体的にはどのような目的でCASBが導入されているのでしょうか。以下に4つのユースケースを紹介します。
| シャドーITの可視化 | 企業が許可していないにも関わらず、従業員が独自にクラウドサービスを利用している場合があります。CASBを導入することで、企業の内外からユーザーがアクセスするクラウドサービスを可視化することが可能です。 |
|---|---|
| サンクションITの保護 | 企業のシステムや、企業が利用を許可しているクラウドサービスをサンクションITと呼びます。CASBにより、企業における適切なクラウド利用が可能になります。 |
| クラウドリスクアセスメント期間の短縮 | 企業がクラウドを利用する際には、リスクアセスメントが不可欠です。CASBを導入すれば、CASBが提供するセキュリティ機能がカバーするリスクのアセスメントを簡略化できます。 |
| クラウドアクセスガバナンスの策定 | CASBの導入によって、社内外のクラウド利用のアクセスを一括して管理することが可能になります。 |
情報漏洩の原因の一つである内部不正などのコンプライアンスに関わるリスクは、現在主流のセキュリティ手法である「多層防御」だけでは防ぐことが難しいのが実情です。
しかし、CASBと多層防御を組み合わせることで、よりセキュアなクラウド利用環境を構築することが可能になると言われています。
「CASB」導入時のポイント&活用方法
現在、「Symantec（シマンテック）」「McAfee（マカフィー）「Netskope（ネットスコープ）」が、CASB三大ベンダーとして知られています。実際にCASBを導入する際には、以下を選定ポイントにするのがいいでしょう。
CASB選定ポイント
- 代表的なユースケースから自社に必要な使い方を決定
- 代表的なユースケースが実施できるかを軸に比較
- 個々のユースケースでどういった機能や制約があるかを検証
企業ITのクラウドへのシフトは大きな潮流です。SaaSの利便性を生かしながら、セキュリティやコンプライアンスに対応するためには、CASBの活用が重要になってきます。働き方改革への対応や、機密性の高いファイルをクラウド経由で利用するような機会が多い企業は、CASBの導入を検討してみるのもいいかもしれません。
