働き方改革やクラウドサービス利用の増加によって、最近話題の「CASB」ですが、その意味をご存知ですか？
この記事で「なんか最近トレンドのセキュリティの用語だよね」レベルの知識から、その定義、必要性まで解説できるようになりましょう。
CASBとは？
CASBとは、「Cloud Access Security Broker」の略称で、「キャスビー」と読みます。
CASBは、2012年に米ガートナーが初めて提唱したセキュリティの概念で、「ユーザーと複数のクラウドサービスとの間に単一のコントロールポイントを置いて、一貫したセキュリティポリシーでクラウド利用を運用する」というものです。
クラウド利用のためにインターネットを経由する際に、どのクラウドの場合でも必ずCASBを経由させることで、一貫したポリシーでセキュリティ対策をすることができるようになります。
このCASBの根底には、近年話題の「すべてを信頼せずにセキュリティ対策を行うべき」というゼロトラストの考え方があります。
CASBの機能、従来のセキュリティ製品との違いは？
クラウド利用に対するセキュリティ対策ということはわかってもらえたかと思いますが、では具体的にはCASBにはどんな機能があるんでしょうか？
機能①クラウド利用の可視化/制御
一つ目が、「クラウド利用の可視化/制御」です。
社員が使っているクラウドサービスの利用状況を可視化し、独自のセキュリティ基準に基づき評価、制御を行うことが可能です。
また、ただ「どのクラウドを使っているか」だけでなく、データのアップロード/ダウンロードまで検知することができるのも特徴です
機能②コントロール
二つ目が、「コントロール」です。
通信のブロックやアラート、暗号化などの制御を行います。
もちろんそれぞれ個別に設定をすれば他の製品でも制御は可能ですが、設定が複雑で高いセキュリティレベルが必要とされます。
それに対し、CASBは単一のポイントでコントロールを行うため、クラウドサービスごとにセキュリティポリシーがバラバラになることもなく、一元的に制御できます。
機能③データセキュリティ（データ保護）
三つ目が、「データセキュリティ（データ保護）」です。
企業ごとにキーワードや多数の識別方法を設定し、クラウドにアップロードされたファイルに企業の機密情報が含まれていないかをチェック、情報漏洩対策を行います。
危険を検知した際は、データを検疫フォルダに自動で移動、アカウントの停止といった対処まで実行してくれます。
社員が勝手にBoxやGoogleクラウドに機密書類をあげていないかまで企業がいちいちチェックして把握することはほぼ不可能なので、この機能は企業の情報漏洩対策としてとても有効です。
機能④脅威防御
四つ目が、「脅威防御」です。クラウドサービスに潜むマルウェアを検知し、隔離します。
例えば、退職予定者が短時間に大量にデータをダウンロード・コピーしていた、などの怪しい行動も検知し、通知します。
従来のセキュリティ製品との違いは？
上の４つの機能は、「CASBでないとできないもの」ではありません。
では何が従来のセキュリティ製品と違うかというと「クラウドサービスに特化し、きめ細やかなデータセキュリティ/制御を簡単に設定できる」ことです。
上の４つの機能をファイアーウォール等でそれぞれ実装しようとすると、IPアドレスや通信先のURLなどそれぞれにとても複雑な設定が必要で、高度なセキュリティレベルが要求されます。
それに対し、CASBはダッシュボード上で簡単にデータを閲覧、設定変更等ができるため、セキュリティ部門の負担を減らし、一元的に運用をすることが可能です。
なぜ今必要なのか？
ひと昔は言葉自体聞くことのなかった「CASB」ですが、なぜ今必要と言われているのでしょうか？
シャドーIT対策
シャドーITとは、「社員が会社で承認されていない私有のPCやスマートフォンを業務に利用したり、会社に許可されていないクラウドサービスを活用すること」です。
テレワークが普及したことで、社員が勝手に私有のパソコンで業務に関係する書類をストレージに保管したり、gmailなどのフリーメールで資料を転送したりしていても、企業はとても全てを把握しきれなくなり、情報漏洩のリスクが非常に高まっています。
その対策として有効なのが、CASBです。
各クラウドサービスの利用状況を監視し、一元的に制御することで、一定のセキュリティレベルを担保することができます。
※なお、CASBはクラウドの利用状況を可視化/制御することはできますが、シャドーITとなる私有の端末自体の制御はできないので、その点は注意が必要です。
業務のクラウドシフトを進めている企業にとって、この対策は必須と言えるでしょう。
おわりに
いかがだったでしょうか。
業務のクラウド化が急速に進む中で、CASBは必須の対策になってくると思います。
知らないうちに社員がクラウドサービスを通じて情報漏洩を起こしていた、なんてことがないよう、一元的なセキュリティポリシーでクラウドサービスの制御・運用をしていくのが重要です。
コメント