情報処理安全確保支援士試験 情報処理安全確保支援士試験 令和3年度春期 午前Ⅱ 問11: セキュリティ対策として，CASB（Cloud Access Security Broker）を利用した際の効果はどれか。

問題本文

セキュリティ対策として，CASB（Cloud Access Security Broker）を利用した際の効果はどれか。

選択肢

• ア.クラウドサービスプロバイダが，運用しているクラウドサービスに対して DDoS 攻撃対策を行うことによって，クラウドサービスの可用性低下を緩和できる。
• イ.クラウドサービスプロバイダが，クラウドサービスを運用している施設に対して入退室管理を行うことによって，クラウドサービス運用環境への物理的な不正アクセスを防止できる。
• ウ.クラウドサービス利用組織の管理者が，組織で利用しているクラウドサービスに対して脆弱性診断を行うことによって，脆弱性を特定できる。
• エ.クラウドサービス利用組織の管理者が，組織の利用者が利用している全てのクラウドサービスの利用状況の可視化を行うことによって，許可を得ずにクラウドサービスを利用している者を特定できる。

正解

エ. クラウドサービス利用組織の管理者が，組織の利用者が利用している全てのクラウドサービスの利用状況の可視化を行うことによって，許可を得ずにクラウドサービスを利用している者を特定できる。

解説

CASB(Cloud Access Security Broker)は、利用者とクラウドサービスの間に立ち、利用状況の可視化・制御・データ保護・脅威防御を一元的に行う仕組み。特に、組織が把握していない無許可のクラウド利用(シャドーIT)を検出できるのが大きな効果で、全クラウド利用状況を可視化し無許可利用者を特定できるエが正解。実務ではポリシー違反の通信制御や情報漏えい防止にも活用される。

選択肢ごとの解説

• ア.DDoS対策はクラウド事業者側の可用性確保策であり、利用組織側で機能するCASBの効果ではない。
• イ.施設の入退室管理は事業者側の物理的セキュリティで、利用状況を制御するCASBの効果ではない。
• ウ.脆弱性診断による脆弱性特定は別の手段であり、利用の可視化・制御を担うCASBの主目的ではない。
• エ.全クラウド利用状況を可視化しシャドーIT(無許可利用)を特定できる点がCASBの効果で、これが正解。