会社のクラウド利用を『見える化』する
CASBとは？会社に内緒のクラウド利用を見つける仕組み｜シャドーITと情報漏えいを具体例で理解する
クラウドは便利。でも「便利だから」と社員が勝手に使い始めたサービスに、顧客名簿が置かれたらどうなるでしょう。CASBの役割を、普段の仕事の場面から理解します。
01社員が個人用クラウドに名簿をアップロードしたら
小さな旅行会社で働く田中さんは、会社のPCで顧客一覧をまとめています。取引先に大きなファイルを送りたいのですが、会社指定の共有サービスでは送信方法がわかりません。そこで普段使っている個人用の無料ストレージにアップロードしました。
午後3時の出来事
STEP 1
田中さん
『いつものサービスの方が早い』と個人用ストレージを開く
STEP 2
顧客名簿.csv
氏名・電話番号・旅行日程が入ったファイルをアップロード
STEP 3
会社の管理者
会社が把握できていなければ、適切な管理や削除が難しい
田中さんは悪意を持っていないかもしれません。しかし、会社の承認を受けていないサービスでは、共有範囲・保存先・退職時のデータ回収・契約条件などを会社が把握できません。「悪い人が使う」だけでなく「良かれと思って使う」こともリスクになります。
02クラウド・SaaS・シャドーITを整理
SaaSは、ブラウザなどで使うクラウド上の完成したアプリです。オンライン会議、チャット、ファイル共有、勤怠管理、文章編集などが身近な例です。端末に一からシステムを構築せず、インターネット経由で利用できます。
シャドーITは、IT管理部門の承認・把握を経ずに使われる端末やサービスを指します。個人用ストレージに仕事の資料を置くことは典型例ですが、承認済みSaaSの個人アカウント利用も管理上の問題になり得ます。
03CASBはどこで何を見ている？
CASB（Cloud Access Security Broker：キャスビー）は、組織の利用者とクラウドサービスの間に、利用状況を把握し、ポリシーを適用するための統制機能を提供する仕組みです。
💻
社員のPCブラウザやアプリから利用
🛡️
CASBの統制可視化・ルール判定・制御
☁️
クラウドストレージ・チャットなど
概念図です。すべての方式で通信がCASBの中を通過するわけではありません。API連携でクラウド上のデータを調べる構成や、通信ログを後から分析する構成もあります。
たとえば管理者が「未承認クラウドへのアクセスが何件あるか」「会社アカウントか個人アカウントか」「機密情報の共有が発生していないか」を調査できます。ただし、どこまで見えるかは導入方式と製品の機能、ログの取得範囲によります。
04CASBが担う4つの役割
01
可視化
誰が、どんなSaaSを使い、何をしているかを把握
例：経費精算とは無関係な個人用ファイル共有サービスを発見
02
コンプライアンス
社内規程や外部ルールに沿う利用を支援
例：顧客情報を承認済みの保管先だけに限定
03
データセキュリティ
重要情報のアップロード・共有を検出し制御
例：顧客名簿の社外公開リンク作成を検知・阻止
04
脅威防御
危険な操作やアカウント悪用の兆候を発見
例：不自然な大量ダウンロードを警告
最初に考えるべきなのは可視化です。何を使っているか分からない状態では、適切なルールを決められません。ただし「見つけること」と「その場で止めること」は別機能です。
05実際の通信を順番に追いかける
① 利用
社員が会社のPCからクラウドストレージを開く
② 記録・検知
対応する通信ログやAPIイベントを使ってサービス名・アカウント・操作を把握する
③ 照合
会社の『許可サービス一覧』と照らして未承認利用を発見する
④ 判定
顧客名簿のアップロードや社外共有など、設定したポリシー違反を評価する
⑤ 対応
管理者へ通知し、方式が対応していれば操作を遮断・共有を解除するなどの対処を行う
ログだけからは「誰かがサービスへアクセスした」ことしか分からない場合があります。ファイルの中身を確認したいなら、連携APIによる情報取得や通信内容の検査など別の仕組みが必要です。
06API型・プロキシ型・ログ分析型の違い
| 方式 | どこを見る？ | 得意なこと | 注意点 |
|---|---|---|---|
| API連携型 | SaaSが公開する管理API | 保存済みファイルや共有設定の点検 | 対応SaaS・権限・取得頻度に依存。実行中の通信を止められるとは限らない |
| フォワードプロキシ型 | 利用端末からクラウドへの通信経路 | 対象通信の検査やリアルタイム制御 | 経路に乗らない通信は対象外。暗号化通信の検査には設計上の配慮が必要 |
| リバースプロキシ型 | 対象SaaSの認証後の接続経路 | 管理対象外端末などに対するセッション制御 | 連携できるアプリや認証フローなどに制約 |
| ログ分析型 | SWG・FWなどのアクセスログ | 未承認SaaSの利用傾向の発見 | 後追い分析が中心。ファイル内容や操作内容は見えないことも |
07操作ラボ：社員のクラウド利用を調べる
社員の操作・情報の種類・検知方式を切り替えてみましょう。「利用を見つけられる」と「直ちにブロックできる」の違いがわかります。
INTERACTIVE LAB
社員のクラウド操作をCASBで追跡する
条件を変えると右側の判断も変わります。実際の製品では機能や設定に差があります。
CASBが見た結果
接続先
個人用クラウドストレージ（未承認・シャドーIT候補）
観測のタイミング
事後分析
どこまで見える？
サービスへのアクセス傾向を確認できる
🔎 可視化・記録／判定できない部分あり
ログ分析単体では、対象の操作をその場で止められない。
判定は通信経路・連携・ルールを単純化した教材です。『個人PCは必ず見えない』『API方式は必ず事後』という普遍的な断定ではありません。実際の製品・ネットワーク・認証連携で異なります。
リセット回数 0
08CASBにできないこと
CASBは「クラウド利用に関する統制」が中心です。便利だからといって、他の安全対策をすべて置き換えるものではありません。
Webアプリの脆弱性診断
脆弱性スキャナ・診断サービスなどの役割
大規模DDoS攻撃の吸収
DDoS防御サービスやネットワーク側の対策の役割
データセンターの入退室管理
施設管理・物理セキュリティの役割
社員本人の教育
情報を持ち出さない運用・周知の役割
例えば「クラウド上の設定ミスを見つける」機能がある製品でも、それを「すべての脆弱性を検査できる」と理解してはいけません。CASB、CSPM、脆弱性診断、DDoS対策は重なる部分があっても目的が異なります。
09DLP・SWG・ZTNA・SASEとの関係
DLP
Data Loss Prevention。機密情報が外へ出るのを防ぐ考え方・機能。CASBでクラウド向けDLPを実現することがある
SWG
Secure Web Gateway。危険なWebサイトや不適切なWeb通信を検査・制御する
ZTNA
Zero Trust Network Access。主に社内アプリなどへのアクセスを、利用者や端末の状態に基づき制御する
SASE / SSE
複数のネットワーク・セキュリティ機能をクラウド側で組み合わせる考え方／構成。CASBが一機能として含まれることがある
全部を別製品として導入するとは限りません。最近は一つのサービスに複数の機能がまとまっている場合もあります。名前よりも、何を観測でき、何を制御できるのかを確認することが大切です。
10会社で導入するときの考え方
最初から「禁止するクラウド一覧」を作るだけでは十分ではありません。営業・経理・開発などで実際に何を使っているかを把握し、必要なサービスには安全な代替手段を用意します。顧客情報を扱うサービスにはアカウント管理、共有権限、保管先などの条件を設定します。
CASBが見つけた利用履歴は個人の行動に関わる情報にもなります。監視の目的、記録する情報、保存期間、閲覧権限を明確にし、従業員に周知して運用することも欠かせません。
11よくある疑問
CASBを入れれば全社員のすべてのクラウド利用がわかる？
いいえ。端末・ネットワークの範囲、取得できるログ、SaaS連携などにより見える範囲は変わります。
会社で認められたサービスなら安全？
承認済みでも、誰でも閲覧できる共有リンクや盗まれたアカウントの利用などは別途対策が必要です。
未承認クラウドを見つけたら即ブロックすべき？
業務への影響とデータの移行先を確認しましょう。可視化→評価→ルール設定→制御の順が現実的です。
CASBがあればクラウド事業者のサーバも管理できる？
通常はできません。CASBは主にクラウド利用者側の可視化・統制を担い、事業者設備の物理管理などとは別です。
12まとめ
CASBは「クラウドを誰がどう使っているかを把握し、適切に守る仕組み」。
会社に無断で使われるクラウド（シャドーIT）を見つける可視化から、機密データの扱い、ルール遵守、危険な操作への対処までが守備範囲です。ただし、どんな利用も自動で止められるわけではなく、導入方式や連携先によってできることは変わります。