情報処理安全確保支援士試験 情報処理安全確保支援士試験 令和6年度春期 午前Ⅱ 問11: セキュリティ対策として，CASB を利用した際の効果はどれか。

問題本文

セキュリティ対策として，CASB を利用した際の効果はどれか。

選択肢

• ア.クラウドサービスカスタマの管理者が，従業員が利用しているクラウドサービスに対して，CASB を利用して脆弱性診断を行うことによって，脆弱性を特定できる。
• イ.クラウドサービスカスタマの管理者が，従業員が利用しているクラウドサービスに対して，CASB を利用して利用状況の可視化を行うことによって，許可を得ずにクラウドサービスを利用している者を特定できる。
• ウ.クラウドサービスプロバイダが，運用しているクラウドサービスに対して，CASB を利用して DDoS 攻撃対策を行うことによって，クラウドサービスの可用性低下を緩和できる。
• エ.クラウドサービスプロバイダが，クラウドサービスを運用している施設に対して，CASB を利用して入退室管理を行うことによって，クラウドサービス運用環境への物理的な不正アクセスを防止できる。

正解

イ. クラウドサービスカスタマの管理者が，従業員が利用しているクラウドサービスに対して，CASB を利用して利用状況の可視化を行うことによって，許可を得ずにクラウドサービスを利用している者を特定できる。

解説

CASB(Cloud Access Security Broker)は、利用者とクラウドサービスの間に立ち、利用状況の可視化・制御・データ保護・脅威検知を行う仕組み。特にシャドーITの発見、すなわち管理者の許可なく使われているクラウドの可視化に有効。イが正しい。実務では従業員の無断利用を把握し、ポリシー違反の利用を抑止してクラウド利用のガバナンスを確立する。

選択肢ごとの解説

• ア.CASBは利用制御・可視化が主目的で、クラウド自体の脆弱性診断を行う仕組みではない。
• イ.利用状況を可視化し許可なく使われているクラウド(シャドーIT)を特定でき、正しい。
• ウ.DDoS対策はWAFやCDN等の役割で、CASBの効果ではない。
• エ.施設の入退室管理は物理セキュリティの話で、CASBの機能ではない。