令和7年度秋期 システム監査技術者 午前Ⅱ 問20

導入目的と効果の対応を確認する

CASBに関する選択肢を読むときは、導入の目的と、導入後に期待される効果が同じ観点で結び付いているかを一つの軸として整理しましょう。説明同士の関係に注目します。

この問題で問われていること

確認の中心は、各選択肢が示す導入目的と期待効果の関係です。対象、得られる変化、説明の範囲が自然につながるかを落ち着いて見比べ、主張の対応だけを確認します。ここに集中します。

視点

技術の名称だけで判断せず、導入によって解決したい管理上の課題と、その結果として説明される効果を対応付けます。目的と効果のつながりを確認することが重要です。

確認ポイント

• 導入目的と期待効果が同じ課題を指しているか
• 対象となる利用場面と説明の範囲がずれていないか
• 効果の表現が目的から無理なく導かれているか

正解

イ

解説

CASBは、組織内で利用されているクラウドサービスやアクセス状況を可視化し、未承認のサービス利用者などを把握するために用いられる。したがって、利用状況の可視化と未承認利用者の特定を結び付けたイが適切です。

理由

CASBはクラウドサービス利用の可視化や制御などを行うセキュリティ対策です。クラウドサービスカスタマー側の管理者が利用状況を把握すれば、組織の許可を得ていない利用の発見につなげられる。

比較

脆弱性診断、DDoS攻撃対策、施設の入退室管理は、それぞれ脆弱性管理、可用性対策、物理セキュリティに関する機能であり、設問のCASBによるクラウド利用状況の可視化とは対象が異なる。

選択肢ア

これは不正解だよ。脆弱性診断はシステムやアプリケーションの弱点を調べる活動である。この選択肢はCASBの利用対象をクラウドサービスとしているが、CASBの利用状況可視化という役割ではなく、脆弱性特定を効果としている点が設問の想定と合わない。

選択肢イ（正解）

これは正解だよ。クラウドサービスカスタマーの管理者が、従業員によるクラウドサービスの利用状況をCASBで可視化すれば、組織の許可を得ていない利用の実態や利用者を把握することにつながる。利用主体、方法、効果の対応が適切である。

選択肢ウ

これは不正解だよ。DDoS攻撃対策は、サービスへの大量通信などによる可用性低下を抑えるための対策である。この選択肢はクラウドサービスプロバイダ側の対策としているが、CASBの中心的な利用方法であるクラウド利用状況の可視化とは異なる。

選択肢エ

これは不正解だよ。入退室管理は、データセンターなど施設への物理的な侵入を管理する対策である。この選択肢はクラウドサービスプロバイダと施設を対象にしているが、CASBが担うクラウドサービスの利用状況管理の効果としては適切でない。

学習のポイント

CASBの利用主体と、可視化によって得られる管理上の効果を整理する。