Netskope
Netskope One / CASB
Netskope, Inc.
CASBという分野の草分け的存在の一社。機能の先進性では現在も高い評価を受けていますが、その多機能さがそのまま導入・運用の重さにもつながります。
CASB.JP SCORE
4.2 / 5.0
★★★★☆
10項目の
平均値
平均値
Netskope One / CASB
Netskope, Inc.
CASBという分野の草分け的存在の一社。機能の先進性では現在も高い評価を受けていますが、その多機能さがそのまま導入・運用の重さにもつながります。
ポリシー設計と運用を継続できる体制があるなら、機能面では最上位クラスです。
各項目に評価の根拠を併記しています。全製品で同一の10軸を使用しているため、製品間で比較できます。
アプリごとに利用実態を分類しリスク評価する仕組み（Cloud Confidence Index）を備え、多数のSaaSの中から優先的に対応すべき対象を絞り込みやすい設計です。
フォワードプロキシによるリアルタイム検査が主軸で、アプリ単位ではなく操作単位（アップロード可・ダウンロード不可など）の制御ができます。
SaaSのAPIを通じて保存済みデータや共有設定を事後監査できます。プロキシ型と併用して死角を減らす構成が前提です。
データセキュリティを出自とする製品であり、機密情報の検知条件の細かさはこの領域の中でも上位です。
マルウェア検出やアカウント乗っ取りの検知に対応します。十分な水準ですが、インライン検査基盤の規模を強みとする製品と比べるとこの軸が最大の訴求点というわけではありません。
CASB・SWG・ZTNA・DLPをSSE/SASEとして一体で構成でき、ネットワークセキュリティ全体の設計に組み込めます。
クライアント配布・ステアリング除外・TLS復号の設計が必要で、初期構築の負荷は軽くありません。ただしAPI連携のみで先行着手する選択肢もあります。
機能が多く設定項目も広範なため、ポリシーの継続的な見直しを担う体制が前提になります。専任担当がいない組織では負荷が高くなりがちです。
国内の導入実績・サポート体制ともに整っています。一方でリスク評価基準は英語圏を前提としており、日本語のみで運営されるサービスの判定が実態と合わないことがあります。
価格は非公開で、機能モジュールの組み合わせによって変動します。必要な機能を積み上げた総額が見積り前に把握しにくい構造です。
評価方法
各項目5点満点。総合スコアは10項目の単純平均を機械的に算出したもので（4.2）、
重み付けや調整は行っていません。評価は公開情報と、導入・運用の現場で論点になりやすい
観点に基づくCASB.JPの見解です。製品の優劣を断定するものではなく、組織の規模・既存環境・
運用体制によって適性は変わります。評価時点の情報に基づくため、最新の状況は各社にご確認ください。
採点基準（5.0〜1.0の定義）と10軸の詳細はこちら →
現在は「Netskope One」というSSE/SASE製品群の一部としてCASB機能が提供されています（従来は単体で「Netskope CASB」と呼ばれていました）。管理・未管理を問わずSaaS利用状況を可視化し、DLP・脅威防御・アクセス制御をあわせて提供する構成です。
アプリケーションごとの利用実態を分類しリスク評価する仕組み（Cloud Confidence Index）を備えており、多数存在するSaaSの中からシャドーITとして優先的に対応すべきものを絞り込みやすい設計とされています。
通信経路のどこに介在するかは、導入負荷と制御できる範囲を左右します。
端末やネットワークからの通信をNetskopeのクラウド基盤（POP）経由にし、その場で検査・制御します。未許可SaaSのリアルタイム遮断が可能な反面、通信経路の設計変更が伴います。
SaaS各社のAPIを通じて、保存済みデータや共有設定を後追いで監査します。通信経路に割り込まないため、プロキシ型と併用して死角を減らす使い方をします。
端末にエージェント（クライアント）を導入する方式が基本です。ブラウザ拡張（CRX）による軽量な展開方式もありますが、除外設定の粒度が異なります。
通信内容を検査するには復号が必要で、証明書の配布とアプリ側の警告対応が発生します。対象を絞らないと非対応アプリで通信エラーが起きます。
利用されているSaaSを検出し、カテゴリとリスクスコアで分類します。対応すべき対象の絞り込みに使います。
機密情報のアップロードや外部共有を検知・制御します。オンプレミス向けポリシーとの整合が論点になります。
マルウェアや不審なファイルの検出、アカウント乗っ取りなど異常なアクセスの検知を行います。
「閲覧は可、ダウンロードは不可」のようにアプリ単位ではなく操作単位で制御できます。
生成AIサービスの業務利用が広がる中、入力内容を含めた利用状況の可視化・制御に対応を進めています。
利用者・端末・場所などの条件に応じて、SaaSへのアクセス可否を判定します。
CASBと同じNetskope Oneプラットフォーム上では、従来型VPNを置き換えるZTNA（ゼロトラストネットワークアクセス）として「Netskope One Private Access」が提供されています。Netskopeは製品紹介の中で、「社内ネットワークに入れるVPN」から「必要なアプリだけを個別に使わせるZTNA」への移行を提唱しています。
通信がVPN装置に集中して遅くなりやすく、接続後はネットワーク全体に到達できてしまうためセキュリティ上の隙を生みます。利用者にとっても、接続の手間や速度低下で使い勝手が悪化しがちです。
Private Accessでは、利用者はVPNトンネルの接続操作を意識することなく、許可された業務アプリへそのままアクセスできます。「VPNに繋いでから開く」という手順自体がなくなります。
ネットワーク全体への接続を許すのではなく、ユーザーごとに必要なアプリだけを個別に許可します。営業には販売管理システムだけ、開発者には開発環境だけ、という単位で権限を絞れます。
社内アプリをインターネットへ直接公開せず、ユーザーのIDや端末の状態を確認してから接続させる仕組みです。外部から見える入口が減り、万一侵入された場合の社内での横展開（ラテラルムーブメント）も抑えられます。
Netskopeはこれを「VPNより高速・安全・運用が簡単なリモートアクセス」と位置づけています。CASB導入と同時にVPNの更改時期が近い場合は、同一基盤でZTNAまで含めて検討できる点が判断材料になります。出典：紹介動画／Netskope公式製品ページ。機能の提供条件はライセンス構成によって異なります。
カタログには載らない、現場でつまずきやすいポイントです。
フォワードプロキシ型のため、端末からの通信は一度Netskopeのクラウド基盤（POP）を経由してから宛先に届きます。接続先のサーバーから見ると、送信元IPは各利用者の実際の回線ではなくNetskope側のIPアドレスになります。
これが問題になるのは、接続先が「固定の送信元IPからのアクセスのみ許可する」設定をしている場合です。金融機関の管理画面、官公庁の申請システム、取引先の限定公開サイト、一部SaaSの管理コンソールなどでIPアドレス制限を使っているケースは珍しくありません。導入後にこれらへアクセスできなくなり、利用者からの問い合わせが集中する、という事態が起こりがちです。
対策は、Netskopeを経由させたくない宛先を「ステアリング除外（bypass）」として事前に登録し、該当の通信だけ実際の回線から直接出るようにすることです。ただし、クライアント方式とブラウザ拡張（CRX）方式では除外設定の粒度や対応範囲が異なるため、採用する展開方式ごとに事前確認が必要です。PACファイルで振り分けを制御している場合も、IP制限のある宛先を洗い出して反映しておく必要があります。
重要なのは、この洗い出しを本導入の「後」ではなく「前」に行うことです。なおこの特性はNetskope固有ではなく、フォワードプロキシ型・SASE型のCASB製品全般に共通します。
サブスクリプション（年間契約が一般的）で、利用ユーザー数と選択する機能モジュール（DLP、脅威防御など）によって価格が変動する体系が採られています。具体的な金額は非公開のため、要件を踏まえた見積りが必要です。「必要な機能だけ」を積み上げた結果の総額が見積り時点まで見えにくい点は、予算計画上の論点になりやすい部分です。
この2製品は比較検討されることが最も多い組み合わせです。機能表だけを見ると似ていますが、出自と設計思想が異なります。
| 観点 | 評価軸 | Netskope | Zscaler |
|---|---|---|---|
| 出自・思想 | CASB／データセキュリティ。クラウド上のデータ保護が起点。 | セキュアWebゲートウェイ／ゼロトラスト。ネットワーク経路の刷新が起点。 | |
| CASBの位置づけ | 製品群の中核機能のひとつ。 | SSEプラットフォームの構成要素のひとつ。 | |
| 主な提供方式 | フォワードプロキシを主軸に、API連携を併用。 | インライン（プロキシ）を主軸に、API連携を併用。 | |
| 得意な領域 | SaaS利用の分類粒度、データ保護のきめ細かさ。 | ネットワーク全体のゼロトラスト化、通信経路の統合。 | |
| 導入時の主な作業 | クライアント配布とステアリング除外の設計。 | 通信転送方式の設計（GRE/IPSec/PAC/Client Connector）。 | |
| CASB.JP 総合スコア | 4.2 / 5.0 | 4.2 / 5.0 | |
| スコアの内訳の違い | 導入容易性がわずかに上（3.5）。脅威防御は4.5。 | 脅威防御が高い（5.0）一方、通信転送設計により導入容易性は3.0。 |
数値はCASB.JPが公開情報をもとに同一の10軸で評価したものです（5点満点）。総合点は10軸の単純平均であり、直接入力はしていません。10軸のうち差が出たのは脅威防御と導入容易性の2項目のみで、総合点は同値になりました。どちらが優れているかではなく、どちらが自社の前提に合うかで判断すべき組み合わせです。
同じくプロキシ型・SASE統合。ゼロトラスト基盤としての性格がより強く、全通信をクラウド経由にする設計思想です。
Zscalerを見る →
API連携型が中心。Microsoft 365中心の環境なら既存ライセンスに含まれる場合があり、コスト面で比較されます。
Microsoft Defender for Cloud Appsを見る →
DLPとの統合に強み。オンプレミスを含めた情報漏えい対策の一元管理を重視する場合の比較対象です。
Skyhigh Securityを見る →
Cloudflare One上でAPI監査とインライン制御を組み合わせるSASE型。API側から先行して着手できる点が対照的です。
Cloudflareを見る →機能面では現在も最上位クラスです。ただしその価値を引き出せるかは、ポリシー設計と運用を継続できる体制があるかに大きく依存します。「導入すれば解決する」製品ではなく「使いこなす前提の製品」です。専任担当を置ける規模の組織で、ネットワークセキュリティ全体の刷新を視野に入れているなら有力な候補になります。
掲載内容は評価時点で一般に公開されている情報に基づく概要であり、最新の機能詳細・価格・ ライセンス条件は変動します。「Netskope」はNetskope, Inc.の商標です。掲載および評価は製品紹介を 目的としたものであり、各社との提携・代理店契約・認定関係を示すものではありません。 評価はCASB.JPの見解であり、特定製品の採用・不採用を推奨するものではありません。
本サイト内に記載されているサービス名・ロゴは各社の商標です。 各社との提携・代理店契約・認定関係を示すものではありません。
casb.jp All rights reserved.