CASB｜情報処理安全確保支援士試験 令和6年春期午前Ⅱ 問11
出典：令和6年春期 午前Ⅱ 問11
分野：セキュリティ ／ 情報セキュリティ対策
セキュリティ対策として，CASBを利用した際の効果はどれか。
- ア：クラウドサービスカスタマの管理者が，従業員が利用しているクラウドサービスに対して，CASBを利用して脆弱性診断を行うことによって，脆弱性を特定できる。
- イ：クラウドサービスカスタマの管理者が，従業員が利用しているクラウドサービスに対して，CASBを利用して利用状況の可視化を行うことによって，許可を得ずにクラウドサービスを利用している者を特定できる。
- ウ：クラウドサービスプロバイダが，運用しているクラウドサービスに対して，CASBを利用してDDoS攻撃対策を行うことによって，クラウドサービスの可用性低下を緩和できる。
- エ：クラウドサービスプロバイダが，クラウドサービスを運用している施設に対して，CASBを利用して入退室管理を行うことによって，クラウドサービス運用環境への物理的な不正アクセスを防止できる。
TSUNAGARU-ADVICE
まず押さえたいこと
CASBは、組織の利用者が使っているクラウドサービスを把握し、利用状況の可視化や制御を行うための仕組みです。
迷ったときの判断軸
CASBは、脆弱性診断やDDoS対策、物理的な入退室管理を行うものではありません。従業員が許可なくクラウドサービスを使っていないかを確認するように、クラウド利用の可視化と統制を支援するものと整理すると判断しやすくなります。
科目Bにつなげるために
科目Bでは、クラウドサービス利用時のリスクとして、管理者が把握していないクラウド利用、いわゆるシャドーITをどう見つけるかが問われます。CASBは、クラウド利用状況を可視化し、ポリシーに基づいて制御する仕組みとして理解しておきましょう。
CASB（Cloud Access Security Broker：キャスビー）は、利用者とクラウドサービスの間に入り、クラウドサービスの利用状況を管理・保護する仕組みです。
近年は、テレワークなどによりクラウドサービスの利用が増えています。一方で、会社が許可していないクラウドサービスを従業員が勝手に使う「シャドーIT」が問題になっています。
CASBを使うと、管理者は「誰が」「どのクラウドサービスを」「どのように使っているか」を確認できます。これにより、不適切な利用や情報漏えいのリスクを減らせます。
CASBの主な機能は、次の4つです。
CASBには、端末にソフトウェアを入れて利用を管理するタイプや、通信を必ず経由させるプロキシ型などがあります。また、クラウドサービス側に設置して、管理外の端末からの利用を検知できるリバースプロキシ型もあります。
つまりCASBは、クラウドサービスを「見える化」し、安全に使うための管理役と考えると分かりやすいです。
したがって、イが適切です。
❌他選択肢が誤りの理由ア：クラウドサービスカスタマの管理者が，従業員が利用しているクラウドサービスに対して，CASBを利用して脆弱性診断を行うことによって，脆弱性を特定できる。
⇒脆弱性診断を行う、という点で違います。CASBはクラウド利用の可視化や制御を行う仕組みであり、脆弱性診断ツールではありません。
ウ：クラウドサービスプロバイダが，運用しているクラウドサービスに対して，CASBを利用してDDoS攻撃対策を行うことによって，クラウドサービスの可用性低下を緩和できる。
⇒DDoS攻撃対策を行う、という点で違います。CASBはクラウド利用者側のアクセス制御や利用状況の可視化を主な目的とし、DDoS対策の仕組みではありません。
エ：クラウドサービスプロバイダが，クラウドサービスを運用している施設に対して，CASBを利用して入退室管理を行うことによって，クラウドサービス運用環境への物理的な不正アクセスを防止できる。
⇒入退室管理を行う、という点で違います。CASBはクラウドサービス利用のセキュリティを仲介する仕組みであり、物理的な施設管理を行うものではありません。