CASB（クラウドアクセスセキュリティブローカー）は、企業ユーザーとクラウドサービス間のチェックポイントです。クラウドの安全な利用、データセキュリティ、クラウドベースアプリケーションのセキュリティを確保するために設計された様々なセキュリティポリシーを適用できます。CASBは、ユーザー認証、マルウェア検出、暗号化、アクセス制御などに関するポリシーを適用可能です。CSPM（クラウドセキュリティポスチャ管理）は、クラウド環境のセキュリティを担当します。具体的には、セキュリティリスクや設定ミスの特定、脆弱性の発見と管理、コンプライアンス関連の問題の検知が含まれます。CASBとCSPMは、クラウド環境内外の情報セキュリティにおいて重要な役割を果たします。本記事では、実装方法、ユースケース、メリットの観点からCASBとCSPMの違いに焦点を当てます。これにより、企業向けの効果的なクラウドセキュリティ戦略の策定に役立つでしょう。
クラウドアクセスセキュリティブローカー（CASB）とは？
A クラウドアクセスセキュリティブローカー は、クラウドサービスプロバイダーとそのサービスのユーザー間に位置するセキュリティポリシー適用ポイントです。その4つの基盤は、可視性、データセキュリティ、脅威保護、コンプライアンスです。。
ユーザーとクラウドホスト型アプリケーション間の仲介役として機能し、クラウドトラフィックを監視・制御することで、許可されたユーザーのみがクラウド上にホストされたデータやアプリケーションにアクセスできるようにします。また、侵入、データ漏洩、不正アクセスから保護します。
クラウドアクセスセキュリティブローカーは、組織を保護するために様々な予防、監視、軽減技術を活用します。ユーザー活動を監視し、異常な活動についてセキュリティ管理者に警告し、マルウェアのインストールを防止し、潜在的なコンプライアンス違反を特定します。
全体として、クラウドセキュリティに対する機敏で柔軟なアプローチを提供し、組織がデータセキュリティとアクセシビリティのバランスを取るのに役立ちます。
CASBのワークフローは3層構造です：
- 発見:利用中の全クラウドサービスと関連ユーザーを特定します
- 分類: 全アプリケーション内のデータを評価し、リスク要因を特定します
- 是正措置：リスク軽減と脅威防止のためのセキュリティルールの作成と適用
CASBの主な機能とは？
前述のように、CASBには可視性、データセキュリティ、脅威対策、コンプライアンスという4つの柱があります。これらの各側面には固有の機能があり、総合的なクラウドセキュリティフレームワークを構築します。
1. 可視性
リモートワークやハイブリッドワークの普及、および組織ネットワーク内での従業員所有デバイスの増加は、可視性と制御の課題をさらに深刻化させています。CASBは、シャドーITとその関連リスクに直面している組織にとって実用的な解決策を提供します。
- クラウド発見： 使用中のすべてのクラウドアプリケーションを特定する
- シャドーIT検出：許可されていないクラウド利用の発見
- 利用状況の監視：クラウド利用パターンを追跡し、リスクや異常を発見
- アクセス制御：役割と権限に基づくきめ細かなアクセス制御の実施。
2.データセキュリティ
CASB は、クラウド環境におけるすべてのデータのセキュリティ確保において重要な役割を果たします。データ損失防止（DLP） はCASBの中核コンポーネントです。クラウド環境へのデータ流入、流出、および環境内でのデータ移動を保護します。
- データ損失防止（DLP）: 権限のない担当者による機密データの悪用、開示、複製、改ざん、削除を防止します。
- データ暗号化: 転送中および保存中のデータを暗号化します。
- 情報権利管理（IRM）:機密データに対して厳格な役割ベースのアクセス制御を確立します。
3.脅威からの保護
CASB は、通常のユーザー行動や使用パターンを分析して、クラウド環境内の異常を発見することができます。適応型アクセス制御、マルウェア対策、その他の予防機能により、CASB は組織を内部および外部の脅威から保護します。&
- マルウェア対策:マルウェア、ランサムウェア、その他の脅威をブロック
- 異常検知: 異常なユーザー行動や潜在的なセキュリティインシデントを検知
- 脅威インテリジェンス： 保護を強化するためのリアルタイムかつ更新された脅威情報を提供
4. コンプライアンス
CASBは組織のコンプライアンス状況監視を支援します。監査可能なアクセス履歴と詳細なセキュリティ態勢レポートを生成することで、PCI-DSSやHIPAAなどの規制遵守を実現します。
- 監査とレポート: クラウド活動とセキュリティ態勢に関する詳細なレポート
- コンプライアンスの徹底: 組織が業界規制（例：GDPR、HIPAA）を満たすのを支援します。
上記の機能に加え、CASBはモバイルアプリケーション管理（MAM）やセキュリティ統合を支援します。
クラウドセキュリティポスチャ管理（CSPM）とは？
CSPM（クラウドセキュリティポスチャ管理）とは、クラウド環境全体で様々なセキュリティワークフローを自動化し、リスクの特定と是正プロセスを効率化するシステムです。CSPMは継続的な監視、リスク評価、優先順位付け、修正、コンプライアンス審査を担当します。CSPMは、Infrastructure as a Service（IaaS）、Software as a Service（SaaS）、Platform as a Service（PaaS）といった異なるクラウド環境／インフラストラクチャにおける設定ミスやセキュリティ上の隙間を検出できます。
CSPMソリューションは設定ミスを自動スキャンし、検出された脆弱性やセキュリティ上の抜け穴を潜在的な影響度と重要度に基づいて優先順位付けします。その後、詳細な是正ガイドラインが生成されるか、場合によっては自動化された是正ワークフローが展開されることがあります。
CSPMの主要機能：詳細解説
クラウドセキュリティポスチャ管理とは、クラウドホストリソースのセキュリティポスチャを監視・強化する一連のタスクの総称です。以下にそのタスクを分解して説明します。
1. 継続的モニタリング
- リソースインベントリ：仮想マシン（VM）、ストレージ、ネットワークなどのクラウドリソースの最新インベントリを維持すること。
- 設定ドリフトの検出：セキュリティ基準から逸脱したクラウドリソース構成の変更や修正を特定すること。
- APIベースのスキャン：クラウドプロバイダーのAPIを利用した正確なデータ収集。
- リアルタイムモニタリング： セキュリティ態勢を継続的に監視し、報告します。
2.リスク評価
- 脆弱性スコアリング： 検出された脆弱性に対して深刻度スコアを割り当てます。スコアはCVSSスコア、悪用可能性、影響度などの要素に基づいて決定されます。
- 事業影響分析: 脆弱性が事業運営に及ぼす潜在的な影響を予測します。
- 脅威モデリング： 潜在的な攻撃ベクトルを発見し、悪用の可能性を評価します。
3. 脆弱性管理
- 脆弱性スキャン：&OS、アプリケーション、ネットワークにおける既知の脆弱性の特定
- パッチ管理： パッチ未適用のリソースの追跡と更新の推奨
4. コンプライアンス監視
- ポリシーマッピング： 規制要件を特定のクラウドリソースおよび構成にマッピングします。
- 監査証跡の生成： クラウドリソースの変更とユーザーアクセスを監視し、正確なコンプライアンス報告を実現します。
- ベンチマーキング：業界のベストプラクティスに対する組織のセキュリティ態勢を分析します。
5. 改善措置の推奨事項
- 自動修復: 自動パッチ適用、設定変更、インシデント対応を可能にします。
- 修復ワークフロー： 手動修復タスクのための段階的なガイダンスを提供します。
6. レポーティングと分析
- カスタマイズ可能なレポート： 特定のセキュリティおよびコンプライアンス要件に合わせたレポート作成。
- 正確な可視化： 簡素化されたセキュリティデータを提供するセキュリティダッシュボード。
- トレンド分析: 時間の経過に伴うインシデントのパターンを特定します。
CNAPPマーケットガイドCASBとCSPMの重要な違い
CASBとCSPMを比較する際、両者がクラウドセキュリティの異なる側面に焦点を当てていることを理解することが重要です。一部機能は重複しますが、目的は異なります。
#1 CASB vs CSPM:焦点と範囲
CASBは主にエンドユーザーのクラウド操作に焦点を当て、安全なデータアクセスと利用を確保します。
CSPMはクラウドインフラ自体のセキュリティを扱います。ネットワーク、ストレージ、コンピューティングリソースをその対象範囲に含みます。
#2 CASB vs CSPM: 主要機能
CASB:
- データ漏洩防止（DLP）ポリシーの適用
- クラウドアプリケーションの使用状況を追跡し、可視化を実現
- マルウェアやランサムウェアの侵入を検知
- モバイルデバイス管理（MDM）をサポートモバイルデバイス管理
CSPM:
- クラウドの誤設定を特定
- PCI、HIPAA、GDPR、その他の規制への準拠状況を確認します
- クラウドリソースを発見し、そのインベントリを維持します
- リスク評価と脆弱性管理を実行します
- セキュリティポリシーを適用します
#3 CASB vs CSPM: 導入モデル
CASBは通常、プロキシまたはエージェントベースのソリューションとして導入できますCSPM は通常、クラウドベースのエージェントレスソリューションとして導入されます。
#4 CASB 対 CSPM：導入場所
CASB ソリューションは、ユーザーとクラウドアプリケーションの間、つまりネットワークのエッジで動作します。CASB は、クラウド内、またはハイブリッドソリューションとして導入できます。
CSPM は通常、クラウド環境内で動作し、クラウドプロバイダーの API と連携します。
#5 CASB 対 CSPM：代表的なユースケース
CASB は通常、以下のタスクに使用されます：
- クラウドホスト型データの漏洩防止
- 内部者脅威の検知と防止
- データプライバシー規制へのコンプライアンス確保
- エンドユーザーが引き起こすセキュリティ問題からクラウドアプリケーションを保護する
- 安全なリモートアクセスを実現する
CSPM は以下のユースケースに関連付けられます：
- クラウドセキュリティ態勢の全体的な強化
- データ侵害リスクの低減
- 業界標準へのコンプライアンス維持
CSPMとCASB：主な違い
| 機能& | CASB (クラウドアクセスセキュリティブローカー) | CSPM (クラウドセキュリティポスチャ管理) |
|---|---|---|
| 焦点 | クラウドアプリケーションおよびデータへのユーザーアクセスを保護します。 | クラウドインフラストラクチャの保護 |
| 主な機能 | クラウドリソースおよびクラウドトラフィックへのアクセスを制御および監視します。& | リスクと脆弱性を評価し、コンプライアンスとともにクラウド環境全体のセキュリティ態勢を改善します。 |
| 主要機能 | データ損失防止（DLP）、脅威防御、クラウド利用状況の可視化、ユーザー認証、認可。 | 構成評価、脆弱性管理、コンプライアンス監視、リスク評価。 |
| 導入場所 | ユーザーとクラウドアプリケーション間のネットワークエッジ | クラウド環境内 |
| 代表的なユースケース | データ漏洩の防止、内部脅威の検知、クラウドアプリケーションの保護。 | 設定ミスの特定と修正、コンプライアンスの確保、リスクの低減。 |
| 関連技術 | DLP、SSO、暗号化、異常検知。 | 設定スキャン、脆弱性評価、コンプライアンスチェック |
| 主な利点 | 機密データの保護、可視性の向上、データ漏洩リスクの低減。 | クラウドセキュリティ態勢の強化、コンプライアンスリスクの低減、クラウドリソースの最適化 |
組織において、CSPM ではなく CASB を選択すべき場合、または CASB ではなく CSPM を選択すべき場合は？
CASBまたはCSPMの採用は、組織が直面している、または予見されるセキュリティ課題によって決定されるべきです。CASBとCSPMは焦点が異なります。両者の機能の一部は重複しますが、一方を他方よりも優先して使用すべき異なるシナリオを想定することは可能です。
クラウドアクセスセキュリティブローカー（CASB）を使用すべきタイミングとは？
組織がクラウドホストリソースを使用して機密データを保存・処理している場合、CASBの導入は必須となります。CASBはクラウドストレージ施設へのデータトラフィックの保護において重要な役割を果たします。
したがって、従業員やユーザーがクラウドソリューション経由でアクセスするデータのセキュリティが懸念される場合、CASBは有効な選択肢です。
シャドーITの管理に苦労している組織も、CASBを解決策として検討できます。許可されていないクラウド利用を特定・管理する簡便な手段となり得ます。
クラウドセキュリティポスチャ管理（CSPM）はいつ使うべきか？
クラウドセキュリティポスチャ管理（CSPM）は、クラウド環境全体のセキュリティ健全性を管理します。仮想マシン、クラウドホストリソース、情報などが含まれます。クラウドの設定ミスやセキュリティポリシー違反から生じるセキュリティ問題が懸念される場合、CSPMはその問題に対処する適切な手段となる可能性があります。
CSPMにより、脆弱性管理、修復、コンプライアンス監視に関連するプロセスを大幅に自動化できます。
より安全なクラウド環境のためのCASBとCSPMの統合
組織は、統一された可視性と制御を備えた単一プラットフォームでCASBとCSPMを統合することで、大きな利点を獲得できます。これにより、クラウド環境とエンドユーザーのクラウド操作の両方を集中管理で保護できます。つまり、もはやCASB対CSPMではなく、CASBとCSPMの融合が求められています。
CASBとCSPM統合のメリット
1. 統合された可視性
ユーザー行動とクラウドインフラを単一の視点から監視することで、脅威の検知と対応が向上します。
2. 効率性の向上
単一のコンソールによる脆弱性・リスク管理の効率化で運用負荷を軽減します。
3. 相関分析の強化
CASBとCSPMの両方からのデータを統合することで、脅威の検知とインシデント対応の精度が向上します。
4. コンプライアンスの簡素化
統合プラットフォームは、セキュリティ制御の集中管理ビューを提供することでコンプライアンス活動を支援します。
SentinelOneによる包括的なクラウドセキュリティ
SentinelOneは、受賞歴のあるエージェントレスのクラウドネイティブアプリケーション保護プラットフォーム（クラウドセキュリティソリューションを開発しました。受賞歴のあるエージェントレスのクラウドネイティブアプリケーション保護プラットフォーム（CNAPP）。カスタマイズされた機能により、統合コンソールからあらゆるクラウドセキュリティニーズをカバーします。
提供内容
- 2000以上の組み込みチェックを備えたCSPMで、設定ミスのあるクラウド資産をすべて検出仮想マシン、コンテナ、サーバーレス関数
- 業界をリードするCNAPP：コンテナとKubernetesのセキュリティ、クラウド検知と対応（CDR）、Infrastructure as Code（IaC）スキャン(IaC) スキャン&
- 組織内のプライベートおよびパブリックリポジトリに分散する750種類以上のシークレットの特定と保護
- 誤検知を排除しつつ脆弱性を発見する無害な攻撃シミュレーション
SentinelOneの静的AIエンジンは5億件のマルウェアサンプルで訓練されており、行動分析AIエンジンと連動することであらゆる種類のマルウェアとその意図を検知します。ペタバイト規模のSingularity Data Lakeを基盤とするDevOps対応プラットフォームは、脅威ハンティングの効率性を向上させます。
SentinelOne導入組織の成果例&
- MTTD最大95%削減、MTTR88%削減、誤検知91%削減
- 比類のないクラウド可視性、検知、保護
- AIによるクラウドワークロード保護
- シームレスなコンプライアンスによるマルチクラウドイノベーションの加速
まとめ
CASBとCSPMについて、その定義、機能、ユースケースを詳細に検討してきました。両クラウドセキュリティアプローチの構成要素と、包括的なクラウドセキュリティ戦略への貢献方法を検証しました。最後に、CASBとCSPMを統合して組織のセキュリティ態勢を強化する方法を議論しました。これによりCASB対CSPMの議論に決着をつけ、確固たる概念化を促進できるはずです。
FAQs
ASPM（アプリケーションセキュリティポスチャ管理）は、アプリケーションの開発ライフサイクルおよび実行環境におけるセキュリティ問題の特定と修正を扱います。CSPMは、ご存知の通り、クラウドインフラストラクチャのセキュリティに焦点を当てています。
CASBがクラウド上にホストされたデータやアプリケーションへのアクセス保護に焦点を当てるのに対し、CWPP（クラウドワークロード保護プラットフォーム）はクラウド内で実行されるワークロード自体を保護します。
はい、SentinelOneのようなプラットフォームを使用すれば、CASBとCSPMを統合できます。これにより、クラウドのエッジとクラウド環境そのものの両方を保護する統合的なアプローチが可能になります。
CASB（クラウドアクセスセキュリティブローカー）は、エンドユーザーとクラウド間のセキュリティチェックポイントとして機能し、セキュリティポリシーを適用します。
CSPM（クラウドセキュリティポスチャ管理）とは、クラウドインフラストラクチャのセキュリティを確保することを目的とした一連の実践を指します。