保存中のデータ（data at rest）とは、ローカルのハードドライブ、オンプレミスサーバー、クラウドストレージなど、固定の場所に置かれているデータです。いま多くの企業が SaaS プラットフォームを使っており、業務データは構造化形式（データベースなど）と非構造化形式（文書、画像、表計算などのファイル）の両方で保存されています。暗号化や信頼性の高いバックアップなど、実際のストレージのセキュリティは、多くの場合、利用者の管理外にあります。ただし SaaS アプリケーションでは、ユーザーアカウントの管理、アクセス可能なデータの定義、データへのアクセス共有ができます。
Cloudflare は主に、自社ネットワークを通る転送中のデータを保護します。加えて、SaaS アプリケーションへ接続し、DLP プロファイルで十分に保護されていない可能性がある保存中のデータを調べ、取るべき対応を提案することもできます。
Cloudflare の API 連携型 Cloud Access Security Broker（CASB）は、SaaS API と連携して動作します。文書や表計算などの非構造化の保存中データを発見し、アプリケーションとユーザーアカウントの全般的な設定も調べて、データへのアクセス制御が正しく設定されているかを確認します。
DLP プロファイル を使い、SaaS アプリケーションに保存されたファイルに機密データが含まれるかを発見します。一致結果をアクセス制御と照らし合わせ、検出結果（Findings）を生成します。たとえば、クレジットカード情報が入った表計算ファイルがインターネット上の誰からでもアクセスできる場合に、警告する検出結果です。
Cloudflare CASB を、SaaS アプリケーションとの間のすべてのトラフィックを検査する Cloudflare の Secure Web Gateway と組み合わせると、SaaS アプリケーションの転送中データと保存中データの両方を包括的に可視化できます。
-
Cloudflare は、管理対象エンドポイントからでも非管理対象エンドポイントからでも、SaaS アプリケーションへアクセスしようとするユーザーを認証します。
- 管理対象エンドポイントでは、エンドユーザーのデバイスと要求先リソースのあいだのすべてのトラフィックを最大限に可視化・制御するため、デバイスエージェント の導入を推奨します。
- 非管理対象エンドポイント向けには、クライアントレスのソリューション があり、ユーザーがアクセスするデータを可視化し、検査できます。
-
Cloudflare の Zero Trust Network Access（ZTNA）は、標準プロトコル（SAML や OIDC など）で SaaS アプリケーション と直接連携し、ユーザーアクセスの最初の適用ポイントになります。Access は任意の ID プロバイダー（IdP）を呼び出し、ユーザーとデバイスに関する追加のセキュリティシグナルを使ってポリシーを判断します。
-
「利用中のデータを保護する」で説明した内容の延長として、Cloudflare Remote Browser Isolation（RBI）を 専用 egress IP と組み合わせて使えます。リモートのクライアントレスユーザーのトラフィックでも、予測可能で一貫した IP アドレスから、要求先の SaaS アプリケーションへ届きます。
-
「転送中のデータを保護する」で説明した内容に加え、Cloudflare Data Loss Prevention（DLP）で、SaaS アプリケーション内の機密データを含むファイルを発見できます。CASB は、SaaS アプリ内の共有ファイルや公開アクセス可能なファイルをすべてスキャンし、DLP プロファイルに一致する機密テキストを検出して、推奨アクションとともに通知します。
-
前述の専用 egress IP を補完する形で、SaaS プロバイダーは、特定の IP アドレスからのトラフィックだけを許可して、組織のリソースへのアクセスを制限できます。
-
サードパーティの SaaS アプリケーションを Cloudflare CASB と連携すると、CASB は定期的に帯域外の API 呼び出しを行い、設定、ユーザー、ファイル、そのほかの SaaS「オブジェクト」のメタデータを分析します。メタデータが、連携した SaaS アプリケーション内の安全でない、または危険になりうる設定を示している場合、セキュリティ上の問題（「Findings」）として検出します。対象は、アプリケーションの設定ミス、露出したデータや機密データ、セキュリティが弱いユーザーアカウントなどです。