CASB (Cloud Access Security Broker)

CASBの費用構造は、保護対象となるユーザー数（ライセンス）と、連携するSaaSの種類・数によって決まります。主要ベンダーの場合、ユーザー1人あたり月額600〜2,000円程度が相場であり、500名規模でも月額30〜100万円の投資が必要です。加えて、初期構築費（SIerやMSSPへの委託費）として数百万〜1,000万円規模の予算を別途見込む必要があります。

投資対効果の観点では、情報漏洩インシデント1件あたりのコスト（IBM「Cost of a Data Breach Report 2023」では世界平均445万ドル）と比較した際の保険的価値が主なROI根拠となります。しかし、予防的投資であるため定量的なROI算出は困難なことが多く、コンプライアンス要件への対応や監査対応の工数削減といった間接的な便益を加味した試算が現実的です。

従業員500名未満・年間売上50億円未満の中小企業では、CASBの機能の多くはMicrosoft 365 E3/E5やGoogle Workspace Enterpriseに組み込まれたネイティブ機能（Microsoft Defender for Cloud Appsなど）で代替可能なケースがあります。まずはプラットフォームの標準機能を最大限活用し、規制要件や組織規模の拡大に応じて専業CASBへの移行を検討するアプローチが費用対効果に優れています。

CASBという概念は、2012年にGartnerのアナリストであるNeil MacDonaldとPeter firstbrookが提唱したのが起源です。当時、Dropboxを筆頭にコンシューマー向けクラウドストレージが急速に企業内に持ち込まれ始めた時代背景があります。従来の境界型セキュリティ（ファイアウォール・プロキシ）では制御しきれないクラウドへのアクセスを、ネットワークとクラウドの「仲介者（Broker）」として管理する新しいカテゴリとして定義されました。2016〜2018年頃には、Skyhigh Networks（後にMcAfeeが買収）、Netskope、Symantecなどの専業ベンダーが台頭し、グローバル市場でのカテゴリ確立が進みました。2019年のMicrosoftによるAdallom買収（Microsoft Cloud App Securityへと発展）がエンタープライズへの普及を大きく加速させました。

日本市場では、2018〜2019年頃から金融機関・製薬会社を中心に導入事例が出始めました。金融庁のクラウド利用に関するガイドライン整備や、個人情報保護法の改正（2022年全面施行）がCASB需要を後押しする形となっています。国内では、NTTデータやNRIセキュアといったSIer系MSSPが構築・運用支援サービスを提供しており、グローバルベンダーのツールを日本語環境・日本の規制要件に合わせてインテグレーションするビジネスが形成されています。2023年以降は、SASEフレームワークの文脈でCASBをSD-WANやSSE（Security Service Edge）と統合する動きが主流となりつつあります。