Zero Trust Exchange / Multimode CASB
Zscaler, Inc.
ZscalerのCASBは単体製品ではなく、SSE基盤（Zero Trust Exchange）と組み合わせて使う統合型です。「CASBだけ欲しい」のか「ネットワークごとSSEへ移行したい」のかで評価が大きく変わります。
Zscalerを検討する人の多くはNetskopeも候補に入れます。先に両者の性格の違いを押さえておくと判断が早くなります。
各項目に評価の根拠を併記しています。全製品で同一の10軸を使用しているため、製品間で比較できます。
インラインのプロキシ経路で全通信を見るため、利用中のクラウドアプリを網羅的に検出できます。アプリごとにセキュリティ体制・データの扱い・コンプライアンス認証などからリスクスコアを付与する仕組みを備え、対応の優先順位を付けやすい設計です。
自社を「インラインのセキュリティクラウド」と位置づけており、プロキシ経路でのリアルタイム検査・遮断が中核機能です。ここは製品思想そのものであり、最も強い領域です。ただしインラインCASBの利用にはZIA（Zscaler Internet Access）が前提になります。
インラインと並行してAPI連携（アウトオブバンド）でSaaS内の保存済みデータを検査するマルチモード構成を採ります。API連携側はAPI認証情報だけで開始でき、ZIA導入前でも先行して着手できる点は実務上の利点です。専業ベンダーと比べた対応SaaSの網羅性は要確認。
エンドポイント・ネットワーク・SaaSの各経路で同一のDLPエンジンを使う設計を打ち出しており、チャネルごとにポリシーが分断されにくい構成です。公開クラウド上のデータを対象とするDSPMも同じエンジンを共有します。
大量のインライン通信を検査する基盤から得られる脅威情報を活用し、既知・未知のマルウェア対策を提供します。保存済みデータに対するスキャンも併用でき、通信中と保管中の両方をカバーします。
SWG・ZTNA・CASB・FWaaSを単一のポリシーエンジンとID情報で束ねる構成で、SSEというカテゴリを牽引してきた立場です。CASB単体ではなくSSE全体で評価すべき製品です。
本領を発揮するインライン構成では、通信をZscalerへ転送する設計が必須になります。拠点はGRE/IPSecトンネル、社外端末はClient ConnectorやPACファイルと、拠点条件ごとに方式を組み合わせる必要があり、ネットワーク側の作業量が大きくなります。API連携のみなら着手は軽い一方、それだけでは製品の主たる価値を得られません。
ポリシーエンジンが統合されているため、機能ごとに別製品を運用する場合より一貫性は保ちやすい構成です。ただし転送プロファイル、PAC、除外リスト、SSL復号対象など設定要素が多く、変更時の影響範囲の把握には習熟が必要です。
国内での導入実績・情報とも比較的多く、日本語での情報収集はしやすい部類です。一方でアプリのリスク評価は英語圏の情報が基準になるため、日本語のみで運営される国内サービスの判定は実態と合わないことがあります。
価格は非公開で、エディションや機能バンドルの構成により変動します。必要な機能を積み上げた結果の総額が、見積り時点まで把握しにくい点は予算計画上の制約になります。
評価方法
各項目5点満点。総合スコアは10項目の単純平均を機械的に算出したもので（4.2）、
重み付けや調整は行っていません。評価は公開情報と、導入・運用の現場で論点になりやすい
観点に基づくCASB.JPの見解です。製品の優劣を断定するものではなく、組織の規模・既存環境・
運用体制によって適性は変わります。評価時点の情報に基づくため、最新の状況は各社にご確認ください。
採点基準（5.0〜1.0の定義）と10軸の詳細はこちら →
Zscalerは「Zero Trust Exchange」と呼ぶクラウド基盤を核に、SWG・ZTNA・CASB・DLPなどを束ねたSSE（Security Service Edge）プラットフォームを提供しています。CASBはその構成要素のひとつであり、単体製品として切り出して導入する形は想定されていません。
CASB機能は「マルチモード」を掲げており、通信中のデータをプロキシ経路でリアルタイムに検査するインライン方式と、SaaSのAPIを通じて保存済みデータを検査するアウトオブバンド方式を併用できます。前者は即時の制御に、後者は既にクラウド上にあるデータの棚卸しに向きます。
SaaSの設定不備や過剰な権限を継続的に点検するSSPM、公開クラウド上のデータを対象とするDSPMも同じプラットフォーム内に含まれ、SaaSセキュリティを広くカバーする構成になっています。
通信経路のどこに介在するかは、導入負荷と制御できる範囲を左右します。
通信をZscalerのクラウド基盤経由にし、その場で検査・制御します。未許可SaaSのリアルタイム遮断やアップロード制御が可能です。利用にはZIA（Zscaler Internet Access）が前提です。
SaaS各社のAPIを通じて、既に保存されているファイルや共有設定を検査します。API認証情報があれば開始でき、通信経路に手を入れずに済むため先行導入しやすい方式です。
拠点からはGREまたはIPSecトンネル、社外端末はClient Connector（エージェント）やPACファイルを使います。拠点の回線条件や機器によって使い分けるのが一般的です。
通信内容を検査するには復号が必要で、証明書の配布と復号対象・除外対象の設計が伴います。対象を絞らないと、証明書ピンニングを行うアプリなどで通信エラーが発生します。
私物端末など管理外端末からのアクセスに対しては、画面を転送する方式でリバースプロキシ特有の互換性問題を避ける設計が提示されています。
インターネット・SaaS向けがZIA、社内プライベートアプリ向けがZPAと分かれます。どの通信をどちらに載せるかの整理が、設計上の最初の論点になります。
利用されているクラウドアプリを検出し、リスクスコアに基づいて利用可否や操作を制御します。
許可・未許可を問わず、機密データのアップロードを検知・制御します。エンドポイントやネットワークと同じエンジンを共有します。
SaaSやクラウドプラットフォーム上に既に置かれているファイルを検査し、危険な共有設定の是正やマルウェアの検出を行います。
既知・未知のマルウェアを対象とした検査を、通信中と保管中の双方で行います。
SaaSの設定不備、過剰な権限、リスクのある外部連携アプリを継続的に点検します。
生成AIサービスへのアクセスとデータ入力を検査対象に含め、利用実態の把握と制御を行います。
Zscalerは講演の中で、生成AIを一律に禁止するのではなく、企業データの流れを可視化・分類・制御し、安全にAIを使える環境を作るべきという方針を示しています。同社が挙げる生成AI時代の主なリスクは次の3つです。
従業員が会社の許可していない生成AIサービスへ機密情報を入力してしまうリスク。利用実態が見えないまま、データだけが外部へ流れていきます。
細工された指示文でAIの制御を乗っ取り、本来出力されるべきでない情報を引き出す攻撃。AIを経由した情報流出につながります。
社内データと連携するRAGやAIエージェントの権限設定に不備があると、本来その利用者には見えないはずの社内情報へAI経由でアクセスできてしまいます。
対策の軸は、データを「保存場所」単位で守るのではなく、送信中のデータと保存中のデータの両方を対象にする構成です。
Web、メール、生成AI、USBなどへの送信をリアルタイムに検査します。生成AIに対してはプロンプトの内容まで検査し、個人情報やソースコードの入力を検知・遮断します。
SaaS・IaaS・オンプレミス上の保存データや権限をAPI経由で点検し、放置された機密データや過剰なアクセス権限を洗い出します。
顧客名簿・契約書・ソースコード・画像内の文字などを複数の技術を組み合わせて自動分類します。Microsoft Purviewの機密度ラベルとも連携できます。
約2,700種類のAIサービスをリスク評価し、誰が・どのAIを・どう使っているかを可視化したうえで、利用可否や操作を制御します。
プロンプトインジェクションやジェイルブレイクを検知し、AIの回答に個人情報などが含まれていないかも確認します。ブラウザー分離を使えば「閲覧と文字入力は許可し、コピー＆ペーストとファイルアップロードだけ禁止」といった細かな制御が可能です。
自社でAIを開発・運用する場合は、AIモデル・学習データ・AIエージェント・GitHubなどの設定・権限不備を自動監査します。公開前のモデルには疑似攻撃（レッドチーミング）を行い、脆弱性やハルシネーションを検査します。
違反をすべて即時遮断するのではなく、利用理由の申告と上長承認によって「特定URLへの送信を5分間だけ許可する」といった例外運用も用意されています。セキュリティが業務のブレーキ役にならないための設計です。
まとめると、データ保護を個別製品による「点」の対策ではなく、DLP・CASB・DSPM・AI-SPM・承認ワークフローを統合した「面」の対策として構成する、というのがZscalerの示す方向性です。本節は同社の講演内容に基づく整理であり、各機能の提供条件や対応範囲は契約エディション・構成によって異なります。
カタログには載らない、現場でつまずきやすいポイントです。
Zscalerの評価が分かれる最大の理由は、製品の良し悪しではなく「自社の通信をZscalerへどう転送するか」という設計作業の重さにあります。ここを軽く見積もると、導入プロジェクトが想定以上に長期化します。
特に見落とされやすいのが送信元IPの変化です。通信がZscalerのクラウド基盤を経由するため、接続先から見た送信元IPは自社の回線ではなくZscaler側のものになります。取引先の限定公開サイトや官公庁システムなど、送信元IP制限をかけているサービスへのアクセスが導入後に切れることがあります。これはプロキシ型・SASE型に共通する特性です。
また、既存のプロキシ環境からの移行では、PACファイルの記述や除外リストの整理がそのまま利用者の体感品質に直結します。事前の棚卸しの精度が、導入後の問い合わせ件数を左右します。
価格は公開されておらず、利用ユーザー数とエディション（機能バンドル）の構成によって変動します。CASB機能は上位のバンドルに含まれる形が一般的で、必要な機能を選ぶと結果的に上位構成が前提になることがあります。インラインCASBの利用にはZIAが必要になるため、「CASB分の費用」だけを切り出して比較することは難しく、SSE全体としての総額で評価する必要があります。見積り時には、対象ユーザー数・必要機能・契約期間を整理したうえで各社の提案を並べることをおすすめします。
両社はCASB領域で最も比較されることが多い組み合わせです。前提として、現在はどちらもSSE/SASEプラットフォームを提供するベンダーであり、機能項目の有無で優劣がつく関係ではありません。以下の違いは、製品の出自に由来する「相対的な重心の差」として読んでください。
| 観点 | Zscaler | Netskope |
|---|---|---|
| 出自・思想 | セキュアWebゲートウェイ／ゼロトラスト。ネットワーク経路の刷新が起点。 | CASB／データセキュリティ。クラウド上のデータ保護が起点。 |
| CASBの位置づけ | SSEプラットフォームの構成要素のひとつ。 | 製品群の中核機能のひとつ。 |
| 主な提供方式 | インライン（プロキシ）を主軸に、API連携を併用。 | フォワードプロキシを主軸に、API連携を併用。 |
| 相対的に強い領域 | ネットワーク全体のゼロトラスト化、通信経路の統合。 | SaaS利用の分類粒度、データ保護のきめ細かさ。 |
| SSE/SASEとしての位置 | SSEを主戦場とし、市場での存在感が大きい。 | 同じくSSE/SASEを提供。CASB単体のベンダーではない。 |
| 導入時の主な作業 | 通信転送方式の設計（GRE/IPSec/PAC/Client Connector）。 | クライアント配布とステアリング除外の設計。 |
| CASB.JP 総合スコア | 4.2 / 5.0 | 4.2 / 5.0 |
| スコアの内訳の違い | 脅威防御が高い一方、通信転送設計により導入容易性は低め。 | 脅威防御がやや控えめな一方、導入容易性はわずかに上。 |
総合スコアは同点ですが、内訳は異なります。「どちらが優れているか」ではなく、ネットワーク刷新を含めて考えるか（Zscaler寄り）、SaaS上のデータ保護を軸に考えるか（Netskope寄り）という検討の出発点の違いで選ぶのが実務的です。なお両社ともSWG・ZTNA・DLP・シャドーIT検出を一通り備えており、「NetskopeはCASB専業」という理解は現在の実態と合いません。評価はCASB.JPの見解であり、各項目の根拠は上記スコアカードに記載しています。
CASB／データセキュリティが出自。SaaS利用の分類粒度とデータ保護に強みがあり、最も直接的な比較対象です。
Netskopeを見る →
API連携型が中心。Microsoft 365中心の環境なら既存ライセンスに含まれる場合があり、コスト面で比較されます。
Microsoft Defender for Cloud Appsを見る →
SD-WANとセキュリティを単一基盤で提供。拠点間ネットワークの刷新も同時に検討する場合の比較対象です。
Cato Networksを見る →
SASE基盤上でCASBを提供する点はZscalerと近い構成です。SaaSの設定・保存データの点検はAPI連携、通信の制御はSWG/ZTNA経由という多モード構成を採ります。
Cloudflareを見る →「CASBを導入する」というより「ネットワークセキュリティをSSEへ移行し、その一部としてCASBを使う」製品です。拠点のプロキシやファイアウォールをクラウドへ寄せる構想があり、通信転送の設計を進められる体制があるなら、有力な候補になります。逆に、既存のネットワーク構成を維持したままCASB機能だけを足したい場合は、構成が重く感じられるはずです。まず実態把握から始めたいのであれば、API連携部分だけを先行させるという段階的な進め方も検討できます。
掲載内容は評価時点で一般に公開されている情報に基づく概要であり、最新の機能詳細・価格・ ライセンス条件は変動します。「Zscaler」はZscaler, Inc.の商標です。掲載および評価は製品紹介を 目的としたものであり、各社との提携・代理店契約・認定関係を示すものではありません。 評価はCASB.JPの見解であり、特定製品の採用・不採用を推奨するものではありません。
本サイト内に記載されているサービス名・ロゴは各社の商標です。 各社との提携・代理店契約・認定関係を示すものではありません。
casb.jp All rights reserved.