CASB｜情報処理安全確保支援士試験 令和4年秋期午前Ⅱ 問10

• ア：クラウドサービスプロバイダが，運用しているクラウドサービスに対して，CASBを利用してDDoS攻撃対策を行うことによって，クラウドサービスの可用性低下を緩和できる。
• イ：クラウドサービスプロバイダが，クラウドサービスを運用している施設に対して，CASBを利用して入退室管理を行うことによって，クラウドサービス運用環境への物理的な不正アクセスを防止できる。
• ウ：クラウドサービス利用組織の管理者が，従業員が利用しているクラウドサービスに対して，CASBを利用して脆弱性診断を行うことによって，脆弱性を特定できる。
• エ：クラウドサービス利用組織の管理者が，従業員が利用しているクラウドサービスに対して，CASBを利用して利用状況の可視化を行うことによって，許可を得ずにクラウドサービスを利用している者を特定できる。

解説

CASBは、クラウドサービスの利用状況を可視化し、制御や監視を行うための仕組みです。

組織の従業員が、許可されていないクラウドサービスを利用している場合、いわゆるシャドーITの状態になります。CASBを利用すると、どの利用者がどのクラウドサービスを利用しているかを把握し、不適切な利用を発見しやすくなります。

したがって、エが適切です。

❌他選択肢が誤りの理由
ア：クラウドサービスプロバイダが，運用しているクラウドサービスに対して，CASBを利用してDDoS攻撃対策を行うことによって，クラウドサービスの可用性低下を緩和できる。
⇒DDoS攻撃対策の説明です。CASBは、主にクラウドサービス利用組織が、クラウド利用の可視化、制御、データ保護、コンプライアンス対応などに用いる仕組みであり、クラウドサービスプロバイダがDDoS対策として利用するものではありません。

---

イ：クラウドサービスプロバイダが，クラウドサービスを運用している施設に対して，CASBを利用して入退室管理を行うことによって，クラウドサービス運用環境への物理的な不正アクセスを防止できる。
⇒物理的な入退室管理の説明です。CASBは、クラウドサービスの利用状況やアクセスを監視・制御するための仕組みであり、データセンターなどの施設への物理的な入退室管理を行うものではありません。

---

ウ：クラウドサービス利用組織の管理者が，従業員が利用しているクラウドサービスに対して，CASBを利用して脆弱性診断を行うことによって，脆弱性を特定できる。
⇒脆弱性診断の説明です。CASBは、クラウドサービスそのものの脆弱性を診断するというより、利用状況の可視化、不審なアクセスの検知、ポリシー違反の制御などに使われます。脆弱性を特定する目的であれば、脆弱性診断ツールやセキュリティ診断の領域です。

---

TSUNAGARU-ADVICE

まず押さえたいこと

CASBは、クラウドサービスの利用状況を可視化し、組織のポリシーに沿って利用を制御するための仕組みです。特に、許可されていないクラウドサービス利用、いわゆるシャドーITの把握に役立ちます。

迷ったときの判断軸

CASBは、クラウドサービス利用組織の管理者が、従業員のクラウド利用を把握・制御するために使います。DDoS対策、物理的な入退室管理、脆弱性診断が主目的ではありません。したがって、クラウドサービスの利用状況を可視化し、不許可の利用者やサービスを特定する説明が該当します。

科目Bにつなげるために

科目Bでは、クラウド利用時の統制として、誰がどのサービスを使っているか、機密情報が外部サービスに保存されていないかを読み取ることがあります。CASBは、クラウド利用の可視化・制御・監視を行う管理者側の対策として理解しておきましょう。