Cloudflare One（SASE）/ CASB・Gateway・Access
Cloudflare, Inc.
CDN・DNSで知られる同社が、その世界規模のネットワークを基盤にSASEを構成しています。CASBはその上の一機能で、API監査だけなら数分で始められる一方、通信制御まで踏み込むと相応の設計作業が発生します。
「導入が簡単」で終わらせると判断を誤ります。どこまでをAPIで済ませ、どこからインラインが要るのかが評価の分かれ目です。
各項目に評価の根拠を併記しています。全製品で同一の10軸を使用しているため、製品間で比較できます。
Gateway（SWG）を経由させることで、接続とリクエストをログ化し未許可のクラウドサービス利用を洗い出せます。生成AIサービスの無断利用（シャドーAI）の識別にも対応しています。ただしこの検出はインライン側の機能であり、API連携だけを有効にした状態では働きません。
Gatewayが自社のグローバルネットワーク上で動作し、TLS検査を伴う通信制御を行います。ZTNA・リモートブラウザ分離と組み合わせてインラインのCASB機能を構成する設計です。一方、SaaS内の操作をどこまで細かく制御できるかという点では、この領域を主戦場とする製品ほど具体的に示されていません。
エージェント不要でSaaSのテナントに接続し、設定不備・データの公開状況・コンプライアンス上の問題を継続的に点検します。Google Workspace・Microsoft 365・Slack・GitHubなどに加え、生成AIサービス（ChatGPT・Claude・Gemini）のテナントもAPI経由で点検対象にできます。
通信中のデータはGateway経由でリアルタイムに検査し、個人情報やソースコードの送信を検出・遮断できます。生成AIへの入力内容も対象です。保存済みのデータについてはCASB側と連携して検出します。検出方式の作り込みという点では、データ保護を主戦場とする製品ほどの記述はありません。
脅威防御・リモートブラウザ分離・メールセキュリティを同一プラットフォーム上で提供します。大規模なネットワーク運用から得られる情報を活かせる立場にありますが、CASBの文脈での脅威検知は他機能ほど前面に出ていません。
本製品で最も強い領域です。ZTNA・SWG・CASB・DLP・リモートブラウザ分離・メールセキュリティ・ネットワーク接続までを単一プラットフォームで提供します。世界規模の自社ネットワークを基盤としている点が構成上の裏付けになっています。
API連携だけなら、テナントを接続するだけで短時間に点検を始められます。DNSでの絞り込みから始める段取りも用意されています。ただしインライン制御まで進めると、TLS検査に伴う証明書の配布と復号除外の設計という通常の作業が発生します。ここは他のプロキシ型製品と変わりません。
設定・ポリシー・ログが単一のダッシュボードに集約されます。既にCDNやDNSで同社を利用している組織なら、契約と管理画面を大きく増やさずに済む点も運用上の利点です。
国内での知名度と情報量はCDN分野では高いものの、CASBとしての日本語の技術情報・導入事例は上位ベンダーほど蓄積されていません。
プラン体系が比較的公開されており、小規模環境で検証しやすい構成があります。本サイト掲載製品の中では価格の見通しが立てやすい部類です。ただしCASBを含む各機能がどのプランで利用できるかは契約条件によって異なるため、必要な機能とプランの突き合わせは必要です。
評価方法
各項目5点満点。総合スコアは10項目の単純平均を機械的に算出したもので（4.0）、
重み付けや調整は行っていません。評価は公開情報と、導入・運用の現場で論点になりやすい
観点に基づくCASB.JPの見解です。製品の優劣を断定するものではなく、組織の規模・既存環境・
運用体制によって適性は変わります。評価時点の情報に基づくため、最新の状況は各社にご確認ください。
採点基準（5.0〜1.0の定義）と10軸の詳細はこちら →
CDN・DDoS対策で知られる同社は、その世界規模の配信基盤をセキュリティ分野にも展開しています。ゼロトラスト関連の機能群は「Cloudflare One」というSASEプラットフォームに集約されており、CASBはその構成要素のひとつです。SWG（Gateway）・ZTNA（Access）・DLP・リモートブラウザ分離・メールセキュリティが同じ管理画面から扱えます。
CASB機能は多モード構成です。SaaSのAPIに接続して設定不備や保存データの公開状況を点検する部分と、Gateway・ZTNA・リモートブラウザ分離を経由して通信をインラインで制御する部分の組み合わせで成り立っています。
この2つの役割分担を理解しておくことが、この製品を評価する上で最も重要です。API側は通信経路に触れないため短時間で始められますが、「未許可のSaaSへの通信を止める」といった制御はインライン側の機能になります。
通信経路のどこに介在するかは、導入負荷と制御できる範囲を左右します。
SaaSのテナントに接続し、設定不備・データの公開状況・権限を継続的に点検します。エージェント配布も通信経路の変更も不要で、接続するだけで開始できます。
自社のグローバルネットワーク上で通信を検査します。TLS検査を伴い、ポリシーを適用したうえで再暗号化して送出する方式です。未許可SaaSの遮断やシャドーIT検出はこちら側の機能です。
利用者と端末の条件に応じてアクセスを制御します。リモートブラウザ分離と組み合わせることで、端末にデータを残さない形での利用も選択できます。
DNSでの絞り込みから始め、必要に応じてインラインの範囲を広げるという進め方ができます。最初から全機能を有効にする必要はありません。
許可済みSaaSの設定不備、意図しない公開、過剰な権限付与を継続的に検出します。
Gateway経由の通信をログ化し、未許可のSaaSや生成AIサービスの利用を洗い出します。
ChatGPT・Claude・GeminiのテナントにAPI接続し、設定不備や添付ファイル内の機密情報を検出します。エージェントの導入は不要です。
Gateway側では、AIサービスへ送信される内容にポリシーとDLPを適用できます。API側の点検とは役割が異なります。
通信中のデータをリアルタイムに検査し、個人情報やソースコードの送信を検出・遮断します。
利用者・端末の状態に応じて、SaaSおよび社内アプリへのアクセスを制御します。
カタログには載らない、現場でつまずきやすいポイントです。
この製品を検討する際に最も誤解されやすいのが、「導入が簡単」という評価です。正確には、API連携の部分が簡単なのであって、CASBに期待する機能のすべてがその範囲で完結するわけではありません。
API連携だけで実現できるのは、SaaSの設定不備の検出、意図しない公開の発見、保存済みデータの点検、権限の棚卸しといった「既にそこにあるものを調べる」用途です。エージェント配布も経路変更も不要で、テナントを接続すれば始められます。
一方、未許可SaaSへの通信をその場で遮断する、生成AIへの入力内容を検査して止める、シャドーITを検出する——これらはいずれもインライン側（Gateway）の機能です。有効にした時点でTLS検査が発生し、証明書の配布と復号除外の設計という他のプロキシ型製品と同じ作業が必要になります。
したがって現実的な進め方は、API側で現状を把握してから、必要な範囲だけインラインを広げるという順序です。以下は各段階で確認しておきたい項目です。
Cloudflare Oneには、小規模環境で検証を始めやすいプラン体系が用意されています。価格情報が比較的公開されている点は、本サイト掲載製品の中では例外的で、検討初期に見通しを立てやすい要素です。ただしCASBを含む各機能の利用条件は契約プランによって異なるため、必要な機能が対象プランに含まれるかは個別に確認が必要です。
3社ともグローバルなネットワーク基盤を持ち、その上でSASEを構成する点は共通します。違いは、どこを起点にネットワークを押さえているかです。
| 観点 | Cloudflare | Zscaler | Cato |
|---|---|---|---|
| 基盤の出自 | CDN・DNS（インターネット側） | セキュリティクラウド | SD-WAN・WAN |
| 起点となる課題 | Web・SaaS利用の保護 | 拠点機器の撤去とゼロトラスト | WAN刷新と拠点接続 |
| API監査からの着手 | 可能（テナント接続のみ） | 可能（ZIAなしでも） | 限定的 |
| SD-WAN | 対象外（別機能で接続） | 他社製品と連携 | 自社で提供（中核） |
| 既存利用からの拡張 | CDN・DNS利用企業なら容易 | 新規導入が前提 | WAN更改時期に合わせる |
| 価格の見通し | 比較的立てやすい | 非公開 | 非公開 |
Cloudflareが他2社と最も違うのは、既に別用途で使っている企業が多い点です。CDNやDNSで導入済みなら、契約先も管理画面も増やさずにCASBへ広げられます。この「入口の低さ」は機能表には表れませんが、実務上は無視できない差になります。一方、SaaS内部の操作を細かく制御したい場合や、WAN刷新まで含めたい場合は、それぞれ他社の方が向きます。
同じくSASE基盤上でCASBを提供します。セキュリティ専業として出発した点と、ネットワーク事業から広げた点の対比です。
Zscalerを見る →
グローバルネットワークを持つ点は共通しますが、Catoの起点はWAN・SD-WANです。統合の範囲が異なります。
Cato Networksを見る →
SaaS利用の分類粒度とデータ保護を重視する場合の比較対象です。
Netskopeを見る →
同じくAPI監査から着手できる構成。M365中心の環境ではこちらとの比較が要点になります。
Microsoft Defender for Cloud Appsを見る →既にCDNやDNSで同社を利用している組織にとっては、契約も管理画面も増やさずにCASBを始められるという、他社にない現実的な利点があります。API連携だけならテナント接続で完結するため、「まず現状を把握したい」という段階の選択肢としては最も軽い部類です。ただし通信を止める段階に進めば、TLS検査の設計という他製品と同じ作業が待っています。「Cloudflareは導入が簡単」という理解のまま計画を立てると、インライン化の工数で想定がずれます。CASB単体で最有力とは限りませんが、Cloudflare One全体を使う前提なら評価は大きく上がる——この製品はそういう位置づけです。
掲載内容は評価時点で一般に公開されている情報に基づく概要であり、最新の機能詳細・価格・ ライセンス条件は変動します。「Cloudflare」はCloudflare, Inc.の商標です。掲載および評価は製品紹介を 目的としたものであり、各社との提携・代理店契約・認定関係を示すものではありません。 評価はCASB.JPの見解であり、特定製品の採用・不採用を推奨するものではありません。
本サイト内に記載されているサービス名・ロゴは各社の商標です。 各社との提携・代理店契約・認定関係を示すものではありません。
casb.jp All rights reserved.