【ITニュース解説】クラウドセキュリティ“元”主役「CASB」の今　絶滅どころか「SASE」で返り咲き

現代のIT環境は、インターネットを通じて様々なサービスを利用する「クラウド」が主流になっている。これにより、企業はシステムを自前で構築・管理する手間を省き、ビジネスをより迅速に進められるようになった。しかし、クラウドサービスの利用が広がるにつれて、セキュリティの課題も増している。会社のデータがインターネット上のクラウドサービスに保存されるため、サイバー攻撃や誤操作による情報漏洩のリスクが高まるからだ。このような背景から、クラウド環境のセキュリティを守るための様々なツールや考え方が生まれてきた。

その一つが「CASB（キャスビー）」と呼ばれる技術だ。CASBは「Cloud Access Security Broker」の略で、直訳すると「クラウドアクセスセキュリティ仲介者」となる。企業が利用するクラウドサービスとユーザーの間に立ち、セキュリティ対策を仲介する役割を果たすツールとして、クラウド利用の初期段階で非常に注目を集めた。CASBが生まれた背景には、従業員が会社の許可なく個人的なクラウドサービスを利用してしまう「シャドーIT」の問題や、重要なデータがクラウドサービスから漏洩するリスク、そして様々な規制（コンプライアンス）への対応が求められたことがある。

CASBの主な機能は大きく分けて四つある。一つ目は「可視化」だ。これは、社内で誰が、いつ、どのクラウドサービスにアクセスし、何をしたのかを把握する機能だ。例えば、特定の従業員が機密情報を個人のファイル共有サービスにアップロードしようとした場合などに、それを検知して管理者に通知する。二つ目は「データセキュリティ」だ。クラウドに保存されるデータや、クラウド経由でやり取りされるデータを保護する。例えば、機密情報を含むファイルがクラウドにアップロードされるのを防いだり、特定の情報にアクセスできる人を制限したりする。三つ目は「脅威防御」だ。マルウェア（悪意のあるソフトウェア）や不正アクセスからクラウドサービスを守る。クラウドサービス経由でウイルスが侵入するのを防いだり、不審な挙動を検知してブロックしたりする。四つ目は「コンプライアンス」だ。これは、企業が守るべき様々な法律や業界のルール、社内規定などにクラウド利用が適合しているかを確認し、違反を防止する機能だ。

CASBはかつてクラウドセキュリティの「主役」とも言える存在だったが、IT環境の変化とともにその立ち位置も変わってきた。現代のセキュリティの考え方として「ゼロトラスト」というものが主流になりつつある。これは「何も信用しない」という考え方に基づき、社内ネットワークであっても、クラウドサービスであっても、すべてのアクセス元や利用者を常に検証し、最小限の権限しか与えないというものだ。従来のセキュリティは、社内と社外を明確に分け、社内は安全、社外は危険と考える「境界型セキュリティ」が中心だったが、クラウドサービスの普及やリモートワークの増加により、この境界が曖昧になり、通用しなくなってきた。

そこで登場したのが「SASE（サシー）」という新しいセキュリティフレームワークだ。SASEは「Secure Access Service Edge」の略で、ネットワーク機能とセキュリティ機能を統合し、クラウドサービスとして提供するという考え方だ。具体的には、VPN（仮想プライベートネットワーク）やファイアウォールといったネットワーク機能と、CASB、SWG（Secure Web Gateway）、ZTNA（Zero Trust Network Access）といったセキュリティ機能を一体的に提供する。これにより、ユーザーがどこからでも、どのデバイスからでも、安全にクラウドサービスや社内システムにアクセスできる環境を構築できる。SASEは、ネットワークとセキュリティの管理を簡素化し、運用コストを削減しながら、ゼロトラストの原則に基づいた強固なセキュリティを実現することを目指している。

このようなSASEの登場により、CASBの役割は「絶滅」したわけではなく、「SASEを構成する重要な要素の一つ」として生まれ変わった。SASEは様々なセキュリティ機能を統合するが、その中でもクラウドサービスへのアクセスや利用に特化したセキュリティ機能は、引き続きCASBが担っている。SASEの枠組みの中で、CASBはクラウドサービス利用における可視化、データセキュリティ、脅威防御、コンプライアンスといった得意な部分を発揮する。SASEが提供する統一的なポリシー管理システムの下で、CASBの機能が他のセキュリティ機能と連携することで、より一貫性があり、効率的で強固なクラウドセキュリティが実現されるのだ。

CASBをSASEの一部として活用するためのポイントはいくつかある。まず、自社のクラウド利用状況やセキュリティ要件を明確にすることだ。どのようなクラウドサービスを、誰が、どのように利用しているかを正確に把握することがCASB活用の出発点となる。次に、適切なSASEソリューションを選定することだ。SASEを提供するベンダーは多岐にわたるため、自社の既存システムとの互換性や、必要なCASB機能が十分に含まれているかを確認する必要がある。また、SASEは多くの機能を統合するため、導入後のポリシー策定と継続的な見直しが非常に重要となる。どのユーザーに、どのクラウドサービスへのアクセスを許可し、どのようなデータ操作を制限するかといった細かなルールを適切に設定し、運用していくことが成功の鍵だ。そして、セキュリティツールだけでなく、それを利用する従業員への適切な教育も欠かせない。新しいセキュリティ環境のルールやリスクについて周知徹底することで、セキュリティ対策の実効性を高めることができる。

結論として、CASBは単独のセキュリティツールから、SASEという新しい統合型セキュリティフレームワークの重要な構成要素へとその姿を変えた。クラウドサービスが企業のIT基盤として不可欠となる現代において、CASBが担うクラウド利用のセキュリティは、SASEの一部として、これからもその重要性を増していくだろう。システムエンジニアを目指す上で、このようなセキュリティ技術の進化と、それらがどのように連携して現代の脅威に対応しているかを理解することは、非常に重要な知識となる。