CASB（Cloud Access Security Broker）とは？¶
最終確認: 2026-09-29
SASEの全体像に戻る
30秒で復習¶
- CASB（キャスビー）＝会社が使うSaaSの「中で何をしているか」を見張り、制御する仕組み。
- SWGが「どこへ行くか」を見るのに対し、CASBは「何を・どう操作するか」を見る。
- 実務で特に大事なのはテナント制御（会社のM365はOK、個人のOneDriveはNG）。
- 方式はインライン型（その場で止める）とAPI型（保存済みデータを後からチェック）の2つで、併用が一般的。
- Microsoftでは Microsoft Defender for Cloud Apps。
こんな場面で出会う¶
- 「個人の OneDrive や Gmail に会社のファイルを上げられないようにしたい」と言われる
- 社員が勝手に使っている SaaS（シャドー IT） を洗い出したい
質問：CASBとは？¶
答え： CASB（Cloud Access Security Broker）＝会社が使うSaaS（M365、Box、Salesforce等）の「中で何が起きているか」を見張り、制御する仕組み。 SWGが「どこへ行くか」を見るのに対し、CASBは「クラウドの中で何をしているか」を見る。
主な機能¶
| 機能 | 内容 | 例 |
|---|---|---|
| シャドーITの可視化 | 通信ログから、会社が許可していないSaaSの利用を洗い出す | 「営業部で無許可のファイル共有サービスが使われている」 |
| テナント制御 | 同じサービスでも、会社のアカウントだけ許可し、個人アカウントを禁止する | 会社のM365はOK、個人のOneDriveへのアップロードはNG |
| 操作単位の制御 | ダウンロード・アップロード・共有などの操作ごとに許可・禁止する | 管理外の端末からは閲覧のみ、ダウンロード禁止 |
| DLP | 機密情報を含むファイルの共有やアップロードを止める | マイナンバーを含むファイルの外部共有をブロック |
| 設定の監査 | SaaSの設定ミスや、危険な共有設定を見つける | 「リンクを知っている全員」で共有されているファイルを検出 |
2つの動作方式¶
| 方式 | 仕組み | 得意なこと |
|---|---|---|
| インライン（プロキシ型） | 通信の途中で検査する（SWGと同じ経路） | アップロードなどの操作をその場で止める |
| API型 | SaaSのAPIと連携し、保存済みのデータや設定を確認する | すでに保存されているファイルや共有設定を後からチェックする。私物端末からの操作も見られる |
Microsoftでは Microsoft Defender for Cloud Apps がCASBにあたる。
確認したいこと¶
- 社内でどんな未許可のSaaSが使われているか（シャドーIT）
- Purview の DLP と CASB の DLP をどう使い分けるか（DLPとは）