システム監査技術者試験 令和7年度 秋期 午前II 問20

【正解】イ

CASBは、Cloud Access Security Brokerの略で、クラウドサービスの利用者とサービス事業者との間に位置し、利用状況の可視化や制御を行う仕組みです。組織の管理者は、通信ログなどをCASBで把握することによって、従業員がどのクラウドサービスを利用しているかを確認できます。これにより、組織の許可を得ずに外部のクラウドサービスを業務利用するシャドーITを発見できます。さらに、利用者や端末に応じたアクセス制御、機密情報の持出し防止、脅威検知などにも活用できます。したがって、利用状況を可視化して無許可利用者を特定するイが正解です。

アの説明は誤りです。脆弱性診断は、診断ツールなどでシステムの設定不備や既知の脆弱性を調査する対策です。利用状況の可視化やアクセス制御を主目的とするCASBの代表的な利用方法ではありません。

ウの説明は誤りです。DDoS攻撃への対策には、通信量の監視、トラフィックの分散、攻撃通信の遮断を行うDDoS防御サービスなどを用います。CASBはクラウドサービス事業者が自らのサービス基盤を守るためのDDoS対策ではありません。

エの説明は誤りです。施設への入退室管理は、ICカード、認証装置、監視カメラなどを用いる物理的セキュリティ対策です。CASBが扱うクラウド利用時の論理的なアクセス管理とは対象が異なります。

【ポイント】 CASBの主要機能は、可視化、コンプライアンス確保、データ保護、脅威防御です。 「従業員によるクラウドの無許可利用」や「シャドーIT」が示されたら、CASBを連想します。