CASBは、組織のユーザとクラウドサービスプロバイダーの間に配置され、クラウドベースのサービスやデータへのアクセスに際して、可視性の提供、監視、脅威からのデータ保護、セキュリティポリシーの適用を実現するサイバーセキュリティソリューションです。
目次
CASBは、さまざまなセキュリティサービスとテクノロジーを単一のプラットフォームに統合し、SaaS（Software-as-a-Service）、IaaS（Infrastructure-as-a-Service）、PaaS（Platform-as-a-Service）といったクラウドベースのデータとサービスに対する完全な可視性と制御を実現します。
主な2つの機能は次のとおりです。
- データやアプリケーションがオンプレミスとクラウドのどちらに保存されているか、また通信中か保存されているかを問わず検出します。
- 組織を保護し、円滑な事業継続を支援するためにセキュリティポリシーを適用します。
CASBは、認証、シングルサインオン、承認、資格情報マッピング、デバイスプロファイリング、暗号化、トークン化、ログ記録、アラート、マルウェアの検出と防御といった多様な機能により、クラウドセキュリティを強化します。
CASBという用語の由来
「CASB」という用語は、組織におけるデータ、デバイス、アプリケーションの保存・保護方法の変化に着目したGartner社によって2012年に作られました。
従来、組織はアプリケーションとデータを自組織のデータセンターに保管していましたが、データ量の増加に伴いこのモデルでは拡張性に課題があることが明らかになり、クラウドベースのストレージとアプリケーションの普及が加速しました。同時に、組織がリモートワークやハイブリッドワークといった勤務形態を導入し始めたことで、従業員はさまざまな場所から個人所有のデバイスを使用してネットワークにアクセスするようになりました。管理されていないデバイスが多数のクラウド環境のデータやアプリケーションにアクセスするようになり、ITチームはユーザ、データ、デバイス、アプリに関する詳細な情報を把握することが困難になりました。
IT部門は、管理・制御できる範囲が限られる一方で監視対象が大幅に増加し、新たなクラウドセキュリティリスクに直面することになりました。
- データがリモートで保管され、あらゆるデバイスからインターネット経由でアクセスされるため、データの安全性とプライバシーを維持することがより困難になった。
- ユーザの行動を追跡することが困難になった。
- IT部門は、組織が所有していないサードパーティのアプリやサービスを監視する必要に迫られるようになった。
- 組織に、データ侵害、コンプライアンス違反、マルウェアなどを防ぐために不可欠な、環境全体の可視性が欠けていた。
かつてセキュリティ担当者は、複数のベンダーが提供する異なるセキュリティソリューションを使用していましたが、その管理は煩雑で時間のかかるものでした。ITチームは全体像を把握するために多数のツールを運用する必要がありましたが、ソリューションによっては他のプラットフォームとの連携が容易でない場合もありました。
このような複雑性に対応するため、CASBが誕生しました。CASBは当初、オンプレミスのハードウェアとして、既存のセキュリティインフラとは独立したプロキシソリューションとして機能していました。CASBの役割は以下のとおりです。
- すべてのユーザ、デバイス、アプリケーションを検出し、監視
- クラウド内のデータとアプリケーションがどのように利用・アクセスされているかを可視化し、IT部門が攻撃を検知・阻止できるよう支援
- ユーザのアクティビティが、組織のセキュリティポリシーに準拠していることを確認
これによりセキュリティ担当者は、単一のプラットフォームからクラウドベースのデータ、デバイス、アプリケーションを監視・制御できるようになりました。
CASBを利用するメリット
複数のベンダーが提供する、連携が困難な場合もあるセキュリティソリューションを個別に導入・管理する代わりに、CASBはSaaS環境に必要なすべての監視とポリシー適用を単一のプラットフォームで提供します。そのメリットは次のとおりです。
- 一元的な可視性
- 単一ベンダーによる、迅速かつシンプルなクラウドセキュリティ管理
- 統合されたツール群による、一貫性のあるエコシステム
- 組織が利用するすべてのSaaSアプリケーションを可視化・制御し、見逃しが発生するかもしれないという懸念を払拭
- データへのアクセス状況を追跡・制御し、ユーザに応じて異なるポリシーを適用できるため、データ保護とコンプライアンスを強化
- ポリシーを自動適用する単一のポイントを設けることで、一貫性を向上
CASBはどのように機能するのか？
CASBは既存のセキュリティインフラと統合し、以下のプロセスを通じてクラウドベースのデータとアプリケーションを追跡・制御します。
- 検出：CASBは、サードパーティのクラウドサービスを含むユーザ、デバイス、アプリケーションを検出し、リアルタイムの監視と脅威検出を実行します。
- 評価：CASBは、疑わしいアクティビティを検出すると、リスクレベルに基づいてそれを分類し、アラートを発行します。
- 適用：組織のセキュリティポリシーに基づき、CASBはデータとアプリへのユーザアクセスを管理し、ユーザ、デバイス、データに対して必要な制御を適用します。
CASBに求められる主要機能
CASBを選定する際には、組織の現在のテクノロジー、セキュリティニーズ、予算といった基準を考慮することが重要です。最も重要なのは、CASBがGartner社の提唱する「4つの柱」を満たしていることです。
- データセキュリティと暗号化：オンプレミス向けのデータ損失防止（DLP）ツールはクラウドには適用できないため、CASBがデータセキュリティと暗号化の機能を提供する必要があります。これにより、機密データやセンシティブなデータが外部や攻撃者に漏えいすることを防ぎ、アクセス制御、コラボレーション制御、DLP、暗号化、情報権利管理、トークン化などのツールが活用されます。
- 脅威保護と異常検知：CASBは、データやアプリへの不正アクセスといった疑わしいアクティビティを検知することで、サイバー攻撃やマルウェアを特定・阻止する必要があります。その実現のために、URLフィルタリングなどのテクノロジーを活用します。多くのCASBは、機械学習や大規模データ分析を活用して、脅威検出の効率化やアラートの自動化を実現しています。
- コンプライアンス管理とレポート：特定の業界の組織は、データやサービスが自社管理かサードパーティ管理かを問わず、HIPAAやEUのGDPRといった法規制への準拠が求められます。そのため、CASBはレポート作成、自動修復、ポリシー適用などのツールを提供し、クラウドエコシステムの隅々まで可視性と制御を提供する必要があります。
- クラウドアプリケーション利用の可視化と管理：クラウド利用の急増に伴う最大の課題の一つがシャドーITです。これは、IT部門が公式に把握・管理していないデバイス、システム、またはアプリケーションを指し、未知のセキュリティリスクをもたらす可能性があります。CASBには、データがどのように共有・アクセスされているか、どのアプリが誰によってどのように利用されているか、そしてどのアプリが組織のデータにアクセスしているかを完全に可視化することが求められます。
CASBの実装方法
CASBの実装方法にはいくつかあります。インライン方式では、CASBをプロキシとして設定し、情報にアクセスするデバイスとクラウドストレージまたはアプリケーションの間に配置してトラフィックを傍受します。これにより、通信中のデータ（データ・イン・トランジット）が保護されます。
一部のクラウドアプリケーションはプロキシベースのCASBにトラフィックを転送できないため、インライン方式だけではクラウド環境全体を可視化できない場合があります。このような場合には、APIベースの実装が必要となることがあります。これにより、保存データ（データ・アット・レスト）の保護と、より包括的な可視性が実現します。APIベースのCASBはトラフィックを転送する必要がないため、ユーザの接続に影響を与えることなく、複数のSaaSおよびIaaS環境にセキュリティポリシーを適用できます。
実際には、両方のタイプのCASBを組み合わせることが最適と言えるでしょう。
CASBに関するサポート
Trend Vision One™ Cloud Securityは、クラウドの可視性、クラウドリスク管理、運用効率を向上させ、クラウドおよびハイブリッド環境のセキュリティを強化します。一元化されたダッシュボードは、リアルタイムのリスク評価、エクスポージャー管理、監視、そして予測される攻撃経路の可視化を提供します。包括的な可視性と制御、継続的な評価と優先順位付け、簡素化されたコンプライアンスとコスト管理により、組織はオンプレミスとクラウドの両環境で脅威を迅速に特定し、対応することが可能になります。
関連記事
Verizon's data breach report & unsecured cloud storage
Shared Responsibility for Cloud Security
You're One Misconfiguration Away from a Cloud-Based Data Breach
Microsoft Azure Well-Architected Framework
Using Shift-Left to Find Vulnerabilities Before Deployment
AWS Well-Architected
Safe, Secure and Private, Whatever Your Business
National Institute of Standards and Technology (NIST)