情報処理安全確保支援士試験 令和6年度 春期 午前2 問11
【出典：情報処理安全確保支援士試験 令和6年度 春期 午前2（一部、加工あり）】
セキュリティ対策として、CASBを利用した際の効果はどれか。
ア クラウドサービスカスタマの管理者が、従業員が利用しているクラウドサービスに対して、CASBを利用して脆弱性診断を行うことによって、脆弱性を特定できる。
イ クラウドサービスカスタマの管理者が、従業員が利用しているクラウドサービスに対して、CASBを利用して利用状況の可視化を行うことによって、許可を得ずにクラウドサービスを利用している者を特定できる。
ウ クラウドサービスプロバイダが、運用しているクラウドサービスに対して、CASBを利用してDDoS攻撃対策を行うことによって、クラウドサービスの可用性低下を緩和できる。
エ クラウドサービスプロバイダが、クラウドサービスを運用している施設に対して、CASBを利用して入退室管理を行うことによって、クラウドサービス運用環境への物理的な不正アクセスを防止できる。
CASBって何？ クラウド時代のセキュリティを支える要！
情報処理安全確保支援士やネットワークスペシャリストの資格取得を目指す皆さん、こんにちは！ 日々、最新のセキュリティ技術やネットワーク動向について学習されていることと思います。
今回は、クラウド活用が当たり前になった現代において、セキュリティの要とも言える CASB（キャスビー） について、皆さんの学習の一助となるよう、わかりやすく解説していきますね。
CASBって、そもそも何のこと？
CASBは「Cloud Access Security Broker」の略で、直訳すると「クラウドアクセスセキュリティ仲介者」となります。なんだか難しそうな名前ですが、要は企業が利用する様々なクラウドサービスと、ユーザー（従業員）の間に立って、セキュリティポリシーを適用・監視する役割を果たすソリューションのことなんです。
皆さんの会社でも、Office 365（Microsoft 365）やGoogle Workspace、Salesforceなど、たくさんのクラウドサービスを使っていませんか？ これらのクラウドサービスへのアクセスを、一元的に管理し、セキュリティを強化するのがCASBの大きな役割です。
なぜ今、CASBが必要なの？ その背景と経緯
CASBが登場した背景には、IT環境の大きな変化があります。
1. クラウドサービスの爆発的な普及
数年前までは、企業のシステムは自社内で構築・運用する「オンプレミス」が主流でした。しかし、近年は利便性やコスト効率の面から、多くの企業がクラウドサービスを積極的に導入しています。これにより、企業が利用するクラウドサービスの数が爆発的に増加しました。
2. シャドーITの台頭
従業員が会社の許可なく、業務に個人利用のクラウドサービスを利用してしまう「シャドーIT」も大きな課題となりました。例えば、業務ファイルを個人のクラウドストレージに保存したり、無料で利用できるファイル共有サービスで機密情報をやり取りしたり…こうなると、企業側はデータの所在を把握できず、セキュリティリスクが高まります。
3. 従来のセキュリティ対策では不十分に
従来のセキュリティ対策は、主に企業のネットワーク境界を守ることに重点を置いていました。しかし、クラウドサービスの利用が増えると、データは企業のネットワーク外に存在するようになります。そうなると、従来のファイアウォールやIDS/IPSだけでは、クラウドサービス利用におけるセキュリティリスクを十分にカバーすることが難しくなってきたのです。
これらの課題に対応するため、クラウドサービス利用に特化したセキュリティソリューションとして、CASBが注目されるようになりました。
CASBができること：具体的な事例
CASBは、具体的にどのようなことができるのでしょうか？ いくつか事例を挙げてみましょう。
- シャドーITの可視化と制御: 従業員が利用しているクラウドサービスを自動的に検出し、どのサービスが利用されているか、どのような情報がやり取りされているかを把握できます。危険なサービスへのアクセスをブロックしたり、利用を制限したりすることも可能です。
- データ損失防止（DLP）: 機密情報や個人情報などが、不適切な形でクラウドサービスにアップロードされたり、共有されたりするのを防ぎます。例えば、「顧客情報」というキーワードが含まれるファイルをクラウドストレージにアップロードしようとすると、自動でブロックするといった設定が可能です。
- アクセス制御の強化: ユーザーのデバイスや場所、アクセス元のIPアドレスなどに基づいて、クラウドサービスへのアクセスを制御できます。例えば、社外からのアクセスは特定のデバイスからのみ許可するといった設定ができます。
- 脅威防御: マルウェアやランサムウェアなどの脅威が、クラウドサービス経由で社内ネットワークに侵入するのを防ぎます。
- コンプライアンス遵守の支援: 各種規制やガイドライン（GDPR、PCI DSSなど）に準拠したクラウド利用を支援します。データの保管場所やアクセスログの管理などを自動化できます。
これらの機能により、企業は安心してクラウドサービスを利用できるようになるのです。
CASB導入における課題と対策
CASBは非常に有効なソリューションですが、導入にはいくつかの課題もあります。
課題
- 導入コスト: CASBソリューションは多機能であるため、導入コストが高くなる傾向があります。
- 既存システムとの連携: 既存の認証システムやID管理システムなどとの連携が必要となる場合があり、そのための設定や調整に手間がかかることがあります。
- 運用負荷: 導入後も、ポリシーのチューニングやログの監視など、適切な運用が必要となります。
- ユーザーへの影響: 強固なセキュリティポリシーを適用しすぎると、ユーザーの利便性を損ねてしまう可能性があります。
対策
- 段階的な導入: まずはリスクの高いクラウドサービスから適用を開始するなど、段階的に導入を進めることで、コストや運用負荷を分散できます。
- 既存システムとの連携性の確認: 導入前に、自社の既存システムとの連携がスムーズに行えるか、十分な検証を行うことが重要です。
- 運用体制の確立: 導入だけでなく、運用フェーズも視野に入れ、担当者の育成や運用フローの整備を進めましょう。
- ユーザーとのコミュニケーション: セキュリティポリシーの適用理由や、それがユーザーにもたらすメリットを事前に周知し、理解を得ることが大切です。
今後のCASBの動向
クラウドの利用がさらに広がるにつれて、CASBも進化を続けています。
- SASE（Secure Access Service Edge）との統合: SASEは、ネットワークとセキュリティ機能をクラウド上で統合し、どこからでも安全にアクセスできる環境を提供するコンセプトです。CASBはSASEの中核的な要素の一つとして、より広範なセキュリティ機能と統合されていくでしょう。
- AI/機械学習の活用: より高度な脅威検知や、異常な振る舞いの自動検知にAIや機械学習の技術が活用されていくと考えられます。これにより、運用者の負担を軽減しつつ、セキュリティレベルを向上させることが期待されます。
- IoT/OTセキュリティとの連携: 今後、IoTデバイスやOT（Operational Technology）のクラウド連携が進むにつれて、これらの領域におけるセキュリティ対策としてもCASBの技術が応用されていく可能性があります。
まとめ
今回は、クラウドセキュリティの要となるCASBについて解説しました。クラウド利用が不可欠な現代において、CASBは企業の情報資産を守る上で非常に重要な役割を担っています。
情報処理安全確保支援士やネットワークスペシャリストを目指す皆さんにとって、CASBは必ず押さえておくべき重要なキーワードです。ぜひ、今回の記事で得た知識を、皆さんの学習や今後のキャリアに役立ててくださいね。
問題解説：セキュリティ対策として、CASBを利用した際の効果はどれか。
まずは、選択肢を一つずつ見て、CASBの機能と照らし合わせていきましょう。
ア クラウドサービスカスタマの管理者が、従業員が利用しているクラウドサービスに対して、CASBを利用して脆弱性診断を行うことによって、脆弱性を特定できる。
- CASBの役割: CASBは、クラウドサービスへのアクセスを仲介し、セキュリティポリシーを適用・監視するものです。主に「利用状況の可視化」「データ損失防止（DLP）」「アクセス制御」「脅威防御」などが主な機能です。
- 脆弱性診断: 脆弱性診断は、システムやアプリケーションの脆弱性（セキュリティ上の弱点）を特定するためのものです。これは、CASBの直接的な機能ではありません。脆弱性診断は、脆弱性診断ツールや専門のサービスを利用して行われます。
したがって、この選択肢はCASBの効果としては適切ではありません。
イ クラウドサービスカスタマの管理者が、従業員が利用しているクラウドサービスに対して、CASBを利用して利用状況の可視化を行うことによって、許可を得ずにクラウドサービスを利用している者を特定できる。
- CASBの役割: 前述の記事で「シャドーITの可視化と制御」として解説した通り、CASBは従業員が利用しているクラウドサービスを自動的に検出し、利用状況を可視化する機能を持っています。
- シャドーITの特定: 企業が許可していないクラウドサービス（シャドーIT）の利用状況を可視化することで、どの従業員が、どのようなクラウドサービスを、どのように利用しているかを特定できます。これにより、許可を得ずに利用している者を特定し、適切な対策を講じることが可能になります。
これは、CASBのまさに主要な効果の一つです。
ウ クラウドサービスプロバイダが、運用しているクラウドサービスに対して、CASBを利用してDDoS攻撃対策を行うことによって、クラウドサービスの可用性低下を緩和できる。
- CASBの役割: CASBは「クラウドサービスカスタマ」（つまりサービスを利用する企業や組織）の視点から、クラウドサービス利用におけるセキュリティを強化するものです。
- DDoS攻撃対策: DDoS攻撃対策は、主にクラウドサービスプロバイダ側や、DDoS対策専門のサービスが行うものです。CASBは個々のユーザーのクラウドサービス利用を監視・制御するものであり、クラウドサービス全体の可用性を守るDDoS攻撃対策を直接的に行うものではありません。
したがって、この選択肢はCASBの効果としては適切ではありません。
エ クラウドサービスプロバイダが、クラウドサービスを運用している施設に対して、CASBを利用して入退室管理を行うことによって、クラウドサービス運用環境への物理的な不正アクセスを防止できる。
- CASBの役割: CASBは「物理的なアクセス制御」とは全く関係ありません。CASBは、クラウドサービスへの「論理的なアクセス」を監視・制御するものです。
- 入退室管理: 入退室管理は、施設への物理的なアクセスを制限・監視するためのもので、主に物理セキュリティの領域です。
したがって、この選択肢はCASBの効果としては適切ではありません。
結論
以上の考察から、CASBの効果として最も適切なものは、イ であることがわかります。
CASBは、クラウド利用が加速する現代において、企業が直面するシャドーITやデータ漏洩のリスクを軽減し、安全なクラウド利用を促進するための重要なツールです。この問題を解くことで、CASBの役割と効果について、より深く理解できたのではないでしょうか。