{"id":4739,"date":"2026-08-11T20:58:52","date_gmt":"2026-08-11T18:58:52","guid":{"rendered":"https:\/\/www.sycope.com\/?post_type=dictionary-item&#038;p=4739"},"modified":"2026-08-12T19:00:57","modified_gmt":"2026-08-12T17:00:57","slug":"cloud-access-security-broker-casb","status":"publish","type":"dictionary-item","link":"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/cloud-access-security-broker-casb","title":{"rendered":"Cloud Access Security Broker (CASB)"},"content":{"rendered":"<p><strong>Cloud Access Security Broker (CASB)<\/strong> to warstwa kontroli, kt\u00f3ra staje pomi\u0119dzy u\u017cytkownikami a us\u0142ugami chmurowymi i pilnuje, jak korzystaj\u0105 z nich pracownicy. Po\u015bredniczy w ruchu do aplikacji <code>SaaS<\/code>, <code>PaaS<\/code> i <code>IaaS<\/code>, dzi\u0119ki czemu firma widzi, z jakiej chmury si\u0119 korzysta, i mo\u017ce kontrolowa\u0107 swoje dane, dost\u0119py oraz reagowa\u0107 na zagro\u017cenia tam, gdzie zwyk\u0142a zapora i brama webowa nie si\u0119gaj\u0105. Termin spopularyzowa\u0142 Gartner oko\u0142o 2012 roku, opisuj\u0105c CASB przez tzw. cztery filary: widoczno\u015b\u0107, zgodno\u015b\u0107, bezpiecze\u0144stwo danych i ochron\u0119 przed zagro\u017ceniami.<\/p>\n<h2>Czym jest CASB?<\/h2>\n<p>CASB rozszerza zasady bezpiecze\u0144stwa firmy poza jej w\u0142asn\u0105 sie\u0107 \u2014 na us\u0142ugi w chmurze, do kt\u00f3rych ludzie loguj\u0105 si\u0119 z dowolnego urz\u0105dzenia i miejsca. Zwyk\u0142a zapora patrzy na ruch sieciowy na styku z internetem. CASB idzie dalej i rozumie, co dzieje si\u0119 w samej aplikacji chmurowej: kto si\u0119 loguje, do jakiej us\u0142ugi, co robi (pobiera plik, udost\u0119pnia go, zmienia uprawnienia) i jakich danych to dotyczy. Dlatego potrafi wymusi\u0107 regu\u0142\u0119 na poziomie konkretnej akcji w aplikacji, a nie tylko adresu IP czy domeny.<\/p>\n<p>CASB nie zast\u0119puje zabezpiecze\u0144 samego dostawcy chmury. Dzia\u0142a w modelu wsp\u00f3\u0142dzielonej odpowiedzialno\u015bci: dostawca dba o infrastruktur\u0119, a CASB pomaga firmie-klientowi pilnowa\u0107 tego, za co odpowiada ona sama \u2014 konfiguracji, dost\u0119p\u00f3w, danych i tego, co robi\u0105 u\u017cytkownicy.<\/p>\n<h2>Jakie s\u0105 cztery filary CASB?<\/h2>\n<ul>\n<li><strong>Widoczno\u015b\u0107<\/strong> \u2014 wykrycie wszystkich u\u017cywanych us\u0142ug chmurowych, tak\u017ce tzw. <em><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/shadow-it\">shadow IT<\/a><\/em>, czyli aplikacji, kt\u00f3re pracownicy uruchamiaj\u0105 bez zgody dzia\u0142u IT. CASB tworzy spis takich aplikacji, ocenia ich ryzyko i pokazuje, kto i jak z nich korzysta.<\/li>\n<li><strong>Zgodno\u015b\u0107<\/strong> \u2014 pilnowanie wymog\u00f3w prawa i wewn\u0119trznych zasad firmy wobec danych w chmurze, m.in. <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/rodo-gdpr\">RODO<\/a>\/GDPR, HIPAA czy PCI DSS, wraz z audytem i raportowaniem.<\/li>\n<li><strong>Bezpiecze\u0144stwo danych<\/strong> \u2014 ochrona danych w ruchu, w spoczynku i w u\u017cyciu: rozpoznawanie danych wra\u017cliwych, <em><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/data-loss-prevention-dlp\">Data Loss Prevention<\/a><\/em> (DLP, czyli zapobieganie wyciekom), szyfrowanie, tokenizacja oraz kontrola, kto ma dost\u0119p do plik\u00f3w.<\/li>\n<li><strong>Ochrona przed zagro\u017ceniami<\/strong> \u2014 wykrywanie z\u0142o\u015bliwego oprogramowania, przej\u0119tych kont i zachowa\u0144, kt\u00f3re odbiegaj\u0105 od normy, np. logowania z nietypowego miejsca czy nag\u0142ego pobierania du\u017cej ilo\u015bci danych. Pomaga w tym analiza zachowa\u0144 u\u017cytkownik\u00f3w (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ueba-user-and-entity-behavior-analytics\">UEBA<\/a>).<\/li>\n<\/ul>\n<h2>Jak dzia\u0142a CASB?<\/h2>\n<p>Dzia\u0142anie CASB mo\u017cna roz\u0142o\u017cy\u0107 na trzy kroki:<\/p>\n<ol>\n<li><strong>Wykrywanie (discovery)<\/strong> \u2014 znalezienie wszystkich aplikacji chmurowych, i tych zatwierdzonych, i nieautoryzowanych. Najcz\u0119\u015bciej dzieje si\u0119 to przez analiz\u0119 log\u00f3w z zap\u00f3r i bram webowych (proxy).<\/li>\n<li><strong>Klasyfikacja (classification)<\/strong> \u2014 przypisanie poziomu ryzyka ka\u017cdej us\u0142udze i danym, kt\u00f3re przez ni\u0105 p\u0142yn\u0105.<\/li>\n<li><strong>Remediacja (remediation)<\/strong> \u2014 reakcja zgodna z regu\u0142ami: zezwolenie, ograniczenie lub zablokowanie akcji, kwarantanna pliku, wymuszenie uwierzytelnienia wielosk\u0142adnikowego, alert do zespo\u0142u bezpiecze\u0144stwa (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/soc-security-operations-center\">SOC<\/a>).<\/li>\n<\/ol>\n<h2>Jakie s\u0105 tryby wdro\u017cenia CASB?<\/h2>\n<ul>\n<li><strong>Tryb <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/api\">API<\/a> (out-of-band)<\/strong> \u2014 \u0142\u0105czy si\u0119 wprost z API dostawcy chmury. Mo\u017ce skanowa\u0107 dane w spoczynku i konfiguracj\u0119 bez przekierowywania ruchu, ale nie blokuje akcji na bie\u017c\u0105co i dzia\u0142a tylko dla zatwierdzonych aplikacji, kt\u00f3re takie API udost\u0119pniaj\u0105.<\/li>\n<li><strong>Forward proxy (inline)<\/strong> \u2014 ruch u\u017cytkownika idzie przez CASB w drodze do chmury, dzi\u0119ki czemu mo\u017cna na \u017cywo stosowa\u0107 DLP i blokowa\u0107 akcje. Zwykle wymaga agenta lub konfiguracji na zarz\u0105dzanym urz\u0105dzeniu.<\/li>\n<li><strong>Reverse proxy (inline)<\/strong> \u2014 ruch idzie przez CASB po stronie aplikacji, najcz\u0119\u015bciej dzi\u0119ki integracji z dostawc\u0105 to\u017csamo\u015bci (SAML, SSO). Obejmuje te\u017c urz\u0105dzenia prywatne, ale dzia\u0142a tylko dla aplikacji, kt\u00f3re tak\u0105 integracj\u0119 obs\u0142uguj\u0105.<\/li>\n<li><strong>Multimode (hybrydowy)<\/strong> \u2014 \u0142\u0105czy tryb API z trybem inline, \u017ceby mie\u0107 naraz szeroki zasi\u0119g i blokowanie na \u017cywo.<\/li>\n<\/ul>\n<p>Tryb inline dok\u0142ada troch\u0119 op\u00f3\u017anienia i bywa miejscem, kt\u00f3rego awaria przerywa ruch. Tryb API tych koszt\u00f3w nie ma, ale reaguje dopiero po fakcie. Wyb\u00f3r zale\u017cy od tego, co jest wa\u017cniejsze: blokowanie na bie\u017c\u0105co czy szeroka widoczno\u015b\u0107 i kontrola konfiguracji.<\/p>\n<h2>CASB a shadow IT<\/h2>\n<p>Shadow IT to us\u0142ugi chmurowe u\u017cywane bez wiedzy dzia\u0142u IT \u2014 od prywatnych kont do wsp\u00f3\u0142dzielenia plik\u00f3w po niezatwierdzone narz\u0119dzia AI. To realne ryzyko, bo dane firmy trafiaj\u0105 poza zasi\u0119g jej zasad i monitoringu. CASB wykrywa takie aplikacje na podstawie ruchu, ocenia ich ryzyko i pozwala zdecydowa\u0107: dopu\u015bci\u0107, ograniczy\u0107 (np. zablokowa\u0107 wysy\u0142anie plik\u00f3w) albo zablokowa\u0107 w ca\u0142o\u015bci.<\/p>\n<h2>Czym CASB r\u00f3\u017cni si\u0119 od DLP, SASE i SSE?<\/h2>\n<p><strong>CASB a DLP.<\/strong> DLP to technologia, kt\u00f3ra wykrywa i blokuje <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/data-exfiltration-wyciek-danych\">wyciek danych<\/a> wra\u017cliwych. CASB zwykle ma funkcje DLP, ale stosuje je w kontek\u015bcie aplikacji chmurowych. Klasyczne DLP chroni dane w sieci, na komputerach i w pami\u0119ci masowej w siedzibie firmy (on-premises). W praktyce oba podej\u015bcia cz\u0119sto si\u0119 \u0142\u0105cz\u0105 albo dziel\u0105 te same regu\u0142y.<\/p>\n<p><strong>CASB a SASE i SSE.<\/strong> <em>Security Service Edge<\/em> (SSE) to dostarczany z chmury zestaw us\u0142ug bezpiecze\u0144stwa, kt\u00f3ry \u0142\u0105czy CASB, bram\u0119 webow\u0105 (SWG) i <em>Zero Trust Network Access<\/em> (ZTNA). <em><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/secure-access-service-edge\">Secure Access Service Edge<\/a><\/em> (SASE) to szersza ca\u0142o\u015b\u0107: SSE plus funkcje sieciowe (np. SD-WAN) w jednej chmurowej platformie. Innymi s\u0142owy CASB jest cz\u0119\u015bci\u0105 SSE, a SSE \u2014 cz\u0119\u015bci\u0105 SASE. Samodzielny CASB nadal istnieje, ale coraz cz\u0119\u015bciej jest wch\u0142aniany przez te platformy.<\/p>\n<h2>Dlaczego CASB jest wa\u017cny dla bezpiecze\u0144stwa i monitoringu?<\/h2>\n<p>Dla zespo\u0142u bezpiecze\u0144stwa (SOC) i os\u00f3b monitoruj\u0105cych sie\u0107 CASB jest cennym \u017ar\u00f3d\u0142em informacji o tym, co dzieje si\u0119 w aplikacjach chmurowych. Tego nie wida\u0107 w logach zapory ani w przep\u0142ywach <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/netflow\">NetFlow<\/a>. Zdarzenia z CASB \u2014 logowania, operacje na plikach, zmiany uprawnie\u0144, pr\u00f3by udost\u0119pnienia czego\u015b na zewn\u0105trz \u2014 zwykle trafiaj\u0105 do systemu <code>SIEM<\/code> i s\u0105 zestawiane z innymi \u017ar\u00f3d\u0142ami. Dzi\u0119ki temu \u0142atwiej wykry\u0107 takie sytuacje jak przej\u0119cie konta, wyprowadzenie danych do prywatnej chmury czy nadu\u017cycie uprawnie\u0144.<\/p>\n<p>Warto jednak zna\u0107 ograniczenia. Tryb API reaguje z op\u00f3\u017anieniem, wi\u0119c nie zatrzyma akcji w chwili, gdy si\u0119 dzieje. Tryb inline obejmuje tylko ruch, kt\u00f3ry przez niego przechodzi \u2014 ruch z urz\u0105dze\u0144 prywatnych, sieci spoza kontroli firmy albo bezpo\u015brednio przez API aplikacji mo\u017ce go omin\u0105\u0107. Ruch jest zaszyfrowany (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/tls-ssl\">TLS<\/a>), wi\u0119c dok\u0142adniejsza inspekcja wymaga jego odszyfrowania, a to rodzi pytania o wydajno\u015b\u0107 i prywatno\u015b\u0107. CASB jest wi\u0119c warstw\u0105 uzupe\u0142niaj\u0105c\u0105, a nie zamiennikiem dla <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ndr-network-detection-and-response\">NDR<\/a>, <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/edr\">EDR<\/a> czy kontroli to\u017csamo\u015bci.<\/p>\n<h2>Dowiedz si\u0119 wi\u0119cej<\/h2>\n<ul>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/saas-security-posture-management\">SaaS Security Posture Management (SSPM)<\/a> \u2014 SSPM wspiera CASB w wykrywaniu i korygowaniu ryzykownych ustawie\u0144 us\u0142ug SaaS.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/byod-bring-your-own-device\">BYOD (Bring Your Own Device)<\/a> \u2014 CASB kontroluje dost\u0119p do chmury z urz\u0105dze\u0144 prywatnych w modelu BYOD.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/monitoring-sieci-i-network-visibility-analiza-ruchu-sieciowego-jako-podstawa-visibility-cybersecurity\">Monitoring sieci i network visibility \u2013 analiza ruchu sieciowego jako podstawa visibility cybersecurity<\/a> \u2014 Network <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/visibility\">visibility<\/a> pomaga CASB wykrywa\u0107 ruch do aplikacji chmurowych i anomalie.<\/li>\n<\/ul>\n","protected":false},"featured_media":0,"template":"","class_list":["post-4739","dictionary-item","type-dictionary-item","status-publish","hentry"],"acf":{"tytul":"Cloud Access Security Broker (CASB)","ikona":"","krotki_opis":"Warstwa kontroli mi\u0119dzy u\u017cytkownikami a us\u0142ugami chmurowymi (SaaS\/PaaS\/IaaS), kt\u00f3ra daje wgl\u0105d w korzystanie z chmury, chroni dane i pomaga reagowa\u0107 na zagro\u017cenia."},"_links":{"self":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item\/4739","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item"}],"about":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/types\/dictionary-item"}],"wp:attachment":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/media?parent=4739"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}