CASB: Cloud Access Security Broker
Cloud Access Security Broker（CASB）は、ユーザーとクラウドアプリケーションの間の仲介役として機能し、SaaS、IaaS、PaaS 環境において可視性、制御、データ保護を提供するセキュリティソリューションです。Microsoft 365、Google Workspace、Salesforce、AWS をはじめとする数百ものクラウドアプリケーションの利用が爆発的に増加する中で、組織は従来の境界の外に存在するようになった企業データに対する可視性と制御を失いました。CASB は、4 つの基本的な柱を提供することでこの問題を解決します。すなわち Visibility（シャドー IT の検出とクラウドアプリケーションのインベントリ）、Compliance（規制ポリシーおよび業界標準の適用）、Data Security（クラウドネイティブな DLP による機密データ漏洩の防止）、そして Threat Protection（クラウドサービスにおける脅威、振る舞いの異常、マルウェアの検出）です。このソリューションは、さまざまなデプロイメントモードで動作できます。すなわちインライン（リバースプロキシ）、API ベース（クラウドプロバイダーとの直接統合）、またはログベース（アクセスログの分析）です。最新の CASB はまた、コンテキストに基づくきめ細かなアクセス制御（ユーザー、デバイス、場所、アプリケーション）、保存時および転送時のデータの暗号化、機密情報を保護するためのトークン化、ならびに SIEM、EDR、IAM システムとの統合を実装し、統一され、オーケストレーションされたセキュリティエコシステムを構築します。
シャドー IT の検出とクラウドの可視性
企業セキュリティにおける最大の課題の 1 つは、クラウドアプリケーションの無許可な利用（シャドー IT）です。従業員が IT やセキュリティの承認なしに SaaS ツールを採用し、危険な死角を生み出します。CASB は複数の方法を通じて cloud discovery を提供します。すなわちプロキシおよびファイアウォールのログ分析、DNS クエリの監視、network traffic analysis との統合、ID プロバイダーとの API connectors です。その結果として得られるのは完全な cloud app catalog であり、使用中のすべてのアプリケーション、転送されたデータ量、アクティブユーザー数、各アプリの risk score を表示します。自動リスク評価は、セキュリティ認証（SOC 2、ISO 27001）、プライバシーポリシー、侵害履歴、データセンターの場所、GDPR への準拠などの基準に基づいてアプリケーションを評価します。エグゼクティブダッシュボードは、いくつのクラウドアプリケーションが使用されているか（多くの場合、数百または数千）、どれが機密データを保存しているか、どれがセキュリティリスクをもたらすかを即座に可視化します。App sanctioning により、セキュリティチームはアプリケーションを承認済み、未承認、または監視対象として分類し、各カテゴリーに異なるポリシーを適用できます。
クラウドにおける Data Loss Prevention（DLP）
CASB はクラウド向けのネイティブな DLP を実装し、SaaS アプリケーション内の機密データを保護します。コンテンツ検査は、アップロード、ダウンロード、共有をリアルタイムで検査し、pattern matching、正規表現、machine learning を使用して、クレジットカード番号、国民識別番号、医療情報（PHI）、知的財産、ソースコード、契約書、その他の機密データを識別します。Policy enforcement は、機密ファイルのアップロードをブロックし、疑わしい文書を隔離し、自動暗号化を適用し、公開共有の権限を削除し、または追加の MFA を要求できます。Contextual controls はきめ細かなポリシーを可能にします。財務文書はオフィスからはアクセスできるが、管理されていない個人デバイスや許可されていない地理的な場所からはブロックされる、といった具合です。Data classification は企業システムと統合され、機密性ラベル（Public、Internal、Confidential、Restricted）を尊重します。Remediation actions には、暗号化（enterprise key management を使用）、トークン化（実データをトークンに置き換える）、編集による秘匿（文書の機密部分を隠す）、セキュリティチームおよび data owners へのアラートが含まれます。オンプレミスの DLP との統合により、企業境界の内外で一貫したポリシーが保証されます。
Threat Protection と異常検出
最新の CASB は、クラウド環境に特化した advanced threat protection を実装します。Behavioral analytics は machine learning を使用して正常なユーザーの振る舞いの baseline を確立し、次のような異常を検出します。すなわち不可能な場所からのログイン（impossible travel）、大量のデータダウンロード（data exfiltration）、過剰な文書共有、複数のサービスアカウントの作成、重要な構成の変更です。Malware detection は、マルチエンジンのアンチウイルス、sandboxing、threat intelligence feeds を使用して、クラウドストレージ内のファイルをスキャンします。Account compromise detection は、異常なログインパターン、既知の悪意のある IP の使用、またはユーザーのプロファイルと一致しない振る舞いを通じて、侵害された認証情報を識別します。Insider threat detection は privileged users の操作を監視し、営業時間外のアクセス、退職前のデータ流出、または chinese wall policies の違反についてアラートを発します。Threat intelligence との統合は、クラウドの活動をグローバルな indicators of compromise（IoCs）と関連付け、C2 servers との通信や threat actors に関連付けられたアプリケーションの使用を識別します。自動応答により、ユーザーのブロック、sessions の取り消し、パスワードリセットの強制、または security operations center（SOC）へのエスカレーションが可能です。
マルチクラウドにおけるコンプライアンスとガバナンス
CASB は、クラウド環境における規制コンプライアンスを維持するために不可欠です。Compliance monitoring は、クラウドアプリケーションが GDPR、LGPD、HIPAA、PCI-DSS、SOX、その他のフレームワークの要件を満たしているかどうかを継続的に検証します。たとえば GDPR の場合：欧州市民のデータが法的な措置なしに EU 域外のデータセンターに保存されないことを検証し、データ保持ポリシーを通じて right to be forgotten を保証し、data processing activities を監査し、privacy by design を実装します。PCI-DSS の場合：カードデータが非準拠のアプリケーションに保存されないことを保証し、転送時および保存時の暗号化を実装し、CHD（cardholder data）へのすべてのアクセスの audit trails を維持します。Audit reporting は、access logs、data movement、policy violations、remediation actions を含む監査用の自動レポートを生成します。Data residency enforcement は、規制上または契約上の要件に従って、データが特定の地理的領域内に留まることを保証します。Configuration auditing は、クラウドアプリケーションの設定（公開された S3 buckets、過剰な権限、脆弱な暗号化など）を監視し、security baselines からの逸脱についてアラートを発します。
デプロイメントモードとアーキテクチャ
CASB は、ニーズに応じてさまざまなアーキテクチャで実装できます。Inline/Proxy mode は reverse proxy として機能し、ユーザーとクラウドアプリの間のすべてのトラフィックをリアルタイムで傍受し、インラインでの blocking および暗号化を可能にします。利点：リアルタイムの制御。欠点：追加のレイテンシーおよび single point of failure。API mode は、クラウドプロバイダー（Office 365、Google Workspace、Salesforce）の API に直接接続し、次のことを可能にします。すなわちデータのインベントリ、すでに保存されているファイルに対する遡及的な DLP、安全でない構成の remediation、活動の監査です。利点：パフォーマンスへの影響なし。欠点：API を提供するアプリでのみ機能します。Log-based mode は、クラウドアプリによって生成されたアクセスログを分析し、実際のトラフィックに触れることなく可視性と analytics を提供します。Hybrid deployment は、重要なアプリケーション向けのインライン（real-time blocking）と、クラウドエコシステム全体の幅広いカバレッジ向けの API を組み合わせます。Multi-tenancy support により、MSP のシナリオで子会社、部門、または顧客ごとに異なるポリシーを管理できます。High availability と scalability は、bottleneck にならないために不可欠です。
Security Ecosystem との統合
CASB は単独で動作するのではなく、次のものと統合されます。Identity and Access Management (IAM)：ユーザー、グループ、ロールに基づくポリシーの適用；Single Sign-On (SSO)：統一された認証；Multi-Factor Authentication (MFA)：機密アクセスにおける step-up authentication；SIEM：クラウドイベントと on-premises security incidents の相関付け；Endpoint Detection and Response (EDR)：device health と posture に基づくアクセス判断；Secure Web Gateway (SWG)：一貫した web filtering と threat protection のポリシー；Zero Trust Network Access (ZTNA)：クラウドアクセスにおける never trust, always verify の実装；Cloud Security Posture Management (CSPM)：IaaS のガバナンス；Data Classification tools：文書の自動ラベル付け。この統合により risk-based access control が可能になり、許可/ブロック/step-up authentication の判断が完全なコンテキストに基づいて行われます。すなわち ID + デバイス + 場所 + アプリケーション + data sensitivity + threat intelligence です。
ユースケースと実装
CASB の実践的なユースケース：(1) シャドー IT の制御：すべてのクラウドアプリケーションを検出し、リスクを評価し、安全な代替手段を承認しながら未承認のアプリをブロックする；(2) Office 365/Google Workspace のデータ保護：機密文書の外部共有を防止するために DLP を実装する；(3) GDPR/LGPD への準拠：PII が許可された地理的領域から出ないことを保証し、data processing の audit trail を維持する；(4) account takeover の検出：疑わしいログインを識別し、MFA を強制するかセッションをブロックする；(5) Secure BYOD：制限付き（ダウンロード不可、閲覧のみ）で個人デバイスからクラウドアプリへのアクセスを許可する；(6) Contractor access：強化された監視のもとで第三者に限定的なアクセスを付与する。実装を成功させるには：(1) blocking なしで cloud app landscape をマッピングするために discovery mode から始める；(2) risk と compliance requirements に基づいてポリシーを定義する；(3) 全体的な rollout の前に小グループでパイロットを行う；(4) 承認済みのアプリと例外プロセスについてユーザーを教育する；(5) 透明性のある user experience のために IAM/SSO と統合する；(6) ダッシュボードを監視し、false positives/negatives に応じてポリシーを調整する；(7) シャドー IT のリスクに関する security awareness を実施する。