令和7年度 秋期 システム監査技術者試験 午前II 問20
テクノロジセキュリティ技術クラウド・仮想化ネットワーク防御・セキュリティ製品クラウドサービスの利用・統制
セキュリティ対策としてのCASBの利用方法とその効果はどれか。
解答・解説
正解: イ. クラウドサービスカスタマーの管理者が，従業員が利用しているクラウドサービスに対して，CASBを利用して利用状況の可視化を行うことによって，クラウドサービスを許可を得ずに利用している者を特定できる。
CASBとは
CASB（Cloud Access Security Broker）は、組織の従業員が利用するクラウドサービス（SaaS、PaaS、IaaSなど）の利用状況を可視化し、一元的にセキュリティポリシーを適用するためのソリューションです。特に、IT部門の許可を得ずに従業員が勝手に利用しているクラウドサービス（シャドーIT）を検知・制御する目的で広く利用されています。
正解の根拠
選択肢イは、クラウドサービスカスタマー（利用者側）の管理者が、従業員のクラウドサービス利用状況を可視化し、未許可の利用を特定するという内容であり、CASBの代表的な利用方法と効果に合致します。したがって、イが正解です。
各選択肢の解説
- ア: 誤り。CASBはクラウドサービスの利用状況の可視化やアクセス制御を行うものであり、クラウドサービス自体の脆弱性診断を行うツールではありません。脆弱性診断には専用の脆弱性スキャナなどを利用します。
- イ: 正解。CASBの主要な機能である「可視化」により、許可を得ずに利用されているクラウドサービス（シャドーIT）を特定できます。
- ウ: 誤り。CASBはクラウドサービスプロバイダ側ではなく、クラウドサービスカスタマー（利用者側）が自組織の利用を統制するために用いることが多いです。また、DDoS攻撃対策を主目的としたものではありません。DDoS攻撃対策には専用のDDoS緩和サービスやWAFなどを利用します。
- エ: 誤り。CASBはネットワーク上の通信を監視・制御する論理的なセキュリティ対策であり、施設への物理的な入退室管理を行うものではありません。