CASBの機能でトラブルが起こる背景
CASB（Cloud Access Security Broker）は、社員とクラウドサービスの間で利用状況を把握し、制御する仕組みです。多くの要素が関わるため、トラブルの原因を一つに決めつけず、関係する要因を整理して確認することが重要です。
トラブルに関わる複数の要因
CASBのトラブルには、主に3つの側面の要因が関わります。1つ目はCASB製品側の要因で、判定の仕組みや不具合、処理の遅れなどが該当します。2つ目は利用企業側の要因で、ポリシーの設定内容、ネットワーク構成、端末の設定などです。
3つ目はクラウドサービス側の要因で、仕様の変更、APIの制限、一時的な障害などが考えられます。どの側面に原因があるかによって対処の方法や相談先が変わるため、まずは切り分けを意識しましょう。
トラブル時に集めておきたい情報
トラブルの原因を切り分けるには、発生した状況を正確に記録することが大切です。発生日時、影響を受けた利用者と端末、対象のクラウドサービス、行おうとした操作、表示されたメッセージを記録しておきましょう。
あわせて、CASBの管理画面で該当する時間帯のログやアラートを確認し、どのポリシーが適用されたかを調べます。直前に設定変更を行っていないかも確認すると、原因の見当がつきやすくなります。集めた情報はベンダーへの問い合わせにも活用できます。
業務に必要なクラウドまでブロックされるケース
シャドーIT対策として可視化と制御を進めると、業務に必要なクラウドサービスまでブロックされてしまう場合があります。起こりうる要因と、業務への影響を抑えながら対処する方法を、設定と運用の両面から紹介します。
カテゴリ判定やリスク評価による誤ったブロック
CASBは、クラウドサービスをカテゴリやリスクスコアで分類し、それをもとに制御を行う場合があります。リスクスコアが一定以下のサービスを一律にブロックする設定にしていると、業務で使っている専門的なサービスや、新しく登場したサービスが対象に含まれる可能性があります。
リスク評価の基準や更新のタイミングは製品によって異なり、評価が変わったことで突然ブロックされるケースも考えられます。一律の自動ブロックを設定する際は、影響範囲を事前に確認しましょう。
同じドメインを使う複数サービスの判定
クラウドサービスの中には、共通のインフラや配信の仕組みを使っているものがあり、通信先のドメインだけでは個別のサービスを見分けにくい場合があります。その結果、禁止したサービスの制御が、同じ仕組みを使う業務用のサービスにまで影響する可能性があります。
このような場合は、ドメイン単位ではなく、サービスやアプリケーション単位で識別できる設定があるかを確認します。製品の識別の仕組みについては、ベンダーに相談すると具体的な対処方法を案内してもらえる場合があります。
許可リストと例外申請による対処
業務に必要なサービスがブロックされないよう、許可リストを整備しておくことが基本の対策です。可視化の結果をもとに、業務で利用しているサービスを部署ごとに確認し、許可するものを明示的に登録しましょう。
あわせて、ブロックされた際に利用者が例外を申請できる手順を用意し、申請の受付先と回答の期限を決めておきます。新しい制御を適用する前に、一定期間は警告表示のみで運用し、影響を確認してからブロックに切り替える方法も有効です。
クラウドサービスごとの利用制御で起こるエラー
サービスごとに細かな利用制御を設定すると、ログインや操作の途中でエラーが発生する場合があります。エラーの要因はCASBの処理だけでなく、認証の仕組みやクラウドサービス側の仕様にも関わるため、主なケースを確認しましょう。
認証やセッションの処理で起こるエラー
プロキシ型のCASB（通信を中継して制御する方式）では、通信の暗号化を解いて内容を確認する処理を行う場合があります。このとき、端末にCASBの証明書が正しく配布されていないと、通信が拒否されたり、セキュリティの警告が表示されたりすることがあります。
また、シングルサインオンの設定や、ログイン状態を保つ仕組みとの組み合わせによっては、ログインを繰り返し求められる場合もあります。証明書の配布状況や、認証の設定がCASBの要件にあっているかを確認しましょう。
SaaS側の仕様変更による影響
クラウドサービスでは機能追加や画面の変更が随時行われることがあり、その変更によってCASBの制御が意図どおりに働かなくなる場合があります。例えば、通信の方式やAPIの仕様が変わると、それまで制御できていた操作が検知できなくなる可能性があります。
CASB側が新しい仕様に対応するまでには時間がかかる場合があるため、ベンダーからの告知や更新情報を確認する担当を決めておきましょう。重要なサービスについては、定期的に制御が効いているかを確かめる手順を設けておくと安心です。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でCASBの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
アップロード・ダウンロード制御の反映遅れ
ファイルのアップロードやダウンロードを制御する機能では、設定した制御がすぐに反映されない、あるいは一部の操作で効かないといった状況が起こる場合があります。接続方式ごとに考えられる要因と対処法を解説します。
API型で反映に時間差が生じる理由
API型のCASB（クラウドサービスと直接接続する方式）は、クラウドサービスに保存されたファイルや操作の記録をAPI経由で取得し、検査や対処を行います。そのため、ファイルがアップロードされてから検知・対処されるまでに、時間差が生じる場合があります。
時間差は、クラウドサービス側がAPIで情報を提供するまでの時間や、APIの呼び出し回数の制限、CASB側の処理の状況などによって変わります。即時の制御が必要な操作については、プロキシ型との併用を検討しましょう。
プロキシ型で制御が効かない場合
プロキシ型では通信をリアルタイムに制御できますが、CASBを経由しない通信には制御が効きません。例えば、テレワーク中の端末が社内のプロキシを経由せずに直接インターネットへ接続している場合が考えられます。
また、一部のアプリは独自の通信方式を使っているため、通信の内容を検査できない場合があります。制御が効かない操作がある場合は、端末の通信経路の設定と、アプリの通信方式への対応状況を確認しましょう。
ポリシー変更が反映されるまでの時間
ポリシーを変更してから、実際の制御に反映されるまでに時間がかかる製品もあります。変更の直後に動作を確認して「設定が効いていない」と判断し、さらに設定を変えてしまうと、意図しない状態が生じるおそれがあります。
ポリシーの反映にかかる時間の目安は、製品の資料やベンダーへの問い合わせで確認しておきましょう。設定を変更する際は、変更内容と時刻を記録し、反映を確認してから次の変更に進む手順にすると、混乱を減らせます。
DLP機能の誤検知や不具合への対処
DLP（Data Loss Prevention）は、個人情報や機密情報を含むファイルを検知して、外部への送信や共有を止める機能です。検知の仕組みが複雑なため、誤検知や検知漏れが起こる場合があります。その要因と対処の進め方を紹介します。
誤検知や検知漏れの要因を把握する
DLPの誤検知は、検知ルールの条件が広すぎる場合に起こることがあります。例えば、番号の並びだけで判定するルールでは、個人情報ではない管理番号や型番まで検知される可能性があります。
反対に検知漏れは、ファイルが暗号化や圧縮されている、スキャンした画像で文字として読み取れない、ファイルの容量が検査の上限を超えているといった場合に起こりえます。検知の条件と対象ファイルの形式の両面から確認しましょう。
不具合か設定の問題かを切り分ける
DLPが想定どおりに動かない場合、製品の不具合なのか、設定の問題なのかを切り分けることが大切です。同じ条件のテスト用ファイルで再現するか、別のクラウドサービスや端末でも起こるかを確認すると、原因の見当をつけやすくなります。
設定を見直しても改善しない場合は、再現の手順と記録した情報を添えてベンダーに問い合わせましょう。製品の更新情報や既知の不具合が公開されている場合は、該当するものがないかもあわせて確認します。
検知ルールを段階的に調整する
DLPの誤検知を減らすには、検知ルールを段階的に調整する進め方が有効です。最初は検知のみで通知を行い、一定期間の検知結果を確認して、誤検知が多いルールの条件を絞り込みます。
調整が進んだルールから、警告表示やブロックへ切り替えていきましょう。ルールを変更した際は、その理由と日時を記録し、変更後に検知漏れが増えていないかもテスト用ファイルで定期的に確認することが大切です。
制御ルールの調整を前提に比べたい製品
誤ったブロックや誤検知を減らすには、制御の仕組みやルールの調整方法を導入前に確かめることが大切です。アクセス制御や利用状況の把握に関わるCASB関連製品を紹介します。
CYGIENE ECAP（サイジーン イーキャップ）
- 社内外問わず、インターネットアクセスを保護、不正な通信は遮断
- クラウドサービスやWebサイトへのアクセスをAIが自動識別＆分類
- 国産・自社開発だから提供できる、日本語・日本時間・日本円
スカイゲートテクノロジズ株式会社が提供する国産ゼロトラストセキュリティ『Cygiene（サイジーン）』は、CASB、SWG、SIEMなどの機能を一元的に提供するセキュリティサービスです。ITトレンドの掲載情報ではアクセス制御とシャドーIT検出に対応しており、社内外を問わず不正な通信を遮断する仕組みです。業務にあわせたルール設計が必要な場合は、個社別のカスタマイズサービスやサポート窓口に相談できます。
マネーフォワードAdmina
- エージェントレスで社内のシャドーITを簡単検知
- 監査ログ、ブラウザ拡張、会計システムからの多段検知を採用
- 90000 SaaSのDBと検知SaaSをマッチング。日本のSaaSにも多数対応
マネーフォワードｉ株式会社が提供する「マネーフォワードAdmina」は、社内で利用しているSaaSを可視化するサービスです。エージェントレスでシャドーITを検知できます。監査ログやブラウザ拡張、会計システムからの多段検知を採用しており、検知したSaaSはデータベースと照合されます。日本のSaaSにも対応しています。社内で使われているSaaSを把握しておくと、業務に必要なクラウドを許可リストへ反映する際の確認に役立ちます。
Netskope CASB （Netskope Japan株式会社）
- 高度なDLP機能で機密情報の漏洩を徹底防止！
- ATPエンジンを強化しマルウェアや高度な脅威を排除！
- 場所やデバイスにとらわれないトラフィック制御を実現！
CloudAccessSecurityBroker （フォースポイント・ジャパン株式会社）
- 80万超のクラウドアプリへ統合アクセスを実現。
- 総合的なデータ保護で情報流出リスクを低減。
- シャドーIT検出と利用可視化でアプリの安全性を強化。
Forcepoint ONE （株式会社日立ソリューションズ）
- 社内クラウドの利用状況とリスクを可視化。
- ポリシーでアクセス操作をリアルタイム制御
- エージェント不要で導入、既存環境と連携。
CloudSOCCASB （Broadcom Inc.）
- クラウドアプリを可視化し、シャドーITとリスクを把握。
- 機密データ検出とポリシーで情報漏えいを抑止。
- DLP・プロキシ連携でクラウド利用を統合的に保護。
Netskope （伊藤忠テクノソリューションズ株式会社）
- 4万種以上のクラウドサービスを検出可能
- SaaS、Web、IaaSセキュリティに対応。
- 利用実態に即した細やかな制御
まとめ
CASBの機能で起こるトラブルは、製品の判定の仕組み、ポリシーの設定、接続方式の特性、クラウドサービス側の仕様変更など、複数の要因が関わる場合があります。発生時の情報を記録して要因を切り分け、許可リストの整備や段階的なルール調整で対処することが大切です。
トラブル時の支援体制や機能の仕組みを含めて、複数製品の資料請求を通じてCASBを比較検討してください。
