Cloud Application Security Assessment (CASA)
Googleアプリ向けセキュリティ評価サービス
Google APIを利用するアプリケーションに対し、適切なセキュリティ対策が実装されていることを第三者機関が評価する認証スキームです。DEKRAグループはApp Defense Alliance（ADA）の認定ラボとして、CASA評価サービスを提供しています。
CASAとは
CASA（Cloud Application Security Assessment）は、App Defense Alliance（ADA）が提供するクラウドアプリケーション向けのセキュリティ評価プログラムです。Google Workspace、Google Drive、Google PhotosなどのGoogleサービスへアクセスするアプリケーションについて、所定のセキュリティ要件への適合性を評価します。Google OAuthを利用するアプリケーションや、機密性の高いGoogle APIスコープへアクセスするアプリケーションでは、CASA評価が求められる場合があります。
このような人におすすめです
- GoogleからCASA評価の実施を求められた
- Google APIを利用したアプリケーションを提供している
- Google OAuth認証を利用している
- Google Workspace Marketplaceへの公開を予定している
- 評価対応の工数を削減したい
- CASAの進め方が分からない
DEKRAが提供するCASAサービス
DEKRAでは、認証取得から更新まで一貫したサポートを提供します。
- CASA要件確認支援 Googleからの通知内容を確認し、適用される評価要件をご案内します。
- 評価プロセスのご案内 必要な提出資料、評価の流れ、スケジュールについてご説明します。
- CASA評価の実施 DEKRA認定Labが第三者機関として独立した評価を実施します。
- 認証取得支援 評価結果の取りまとめから認証手続きまでサポートします。
- 更新評価対応 既存認証の更新評価に対応します。
Assurance Level（AL）
CASAでは、Assurance Level（AL）ごとに評価要件が定義されています。対象となるALは、通常、Googleなどのフレームワーク利用事業者によって指定されます。
AL1 – Lab Reviewed
開発者が提出する証跡をもとに、認定Labがレビューおよび検証を実施します。
AL2 – Lab Tested
認定Labが主体となり、包括的な評価および検証を実施します。
DEKRAの強み
- グローバルネットワーク
DEKRAは世界各国でサイバーセキュリティ評価サービスを提供しています。 - 日本語サポート
日本のお客様向けに、日本語での窓口対応およびプロジェクト支援を提供します。 - 豊富な評価経験
Google API連携アプリケーションやクラウドサービスを対象とした評価対応を支援します。 - 更新案件にも対応
新規認証だけでなく、CASA認証の更新評価にも対応しています。
Googleから送付されたCASA評価実施通知メールおよびGoogle Project Numberをご準備のうえ、DEKRAまでお問い合わせください。通知メールには、Assurance Level（AL）、対象アプリケーション、評価完了期限などの情報が記載されています。内容を確認したうえで、必要な評価プロセスをご案内いたします。
Google OAuth認証を利用するアプリケーションや、Google Workspace、Google Drive、Google PhotosなどのGoogleサービスへアクセスする特定のGoogle APIスコープを利用するアプリケーションでは、CASA評価が求められる場合があります。詳細はGoogleからの通知内容をご確認ください。
CASAでは、認証、セッション管理、アクセス制御、通信の保護、入力値検証、構成管理など、WebアプリケーションおよびWeb APIに関するセキュリティ要件が評価されます。評価はOWASP ASVSをベースとした要件に基づいて実施されます。
対象となるAssurance Level（AL）は、通常、Googleなどのフレームワーク利用事業者によって決定されます。アプリケーションが取り扱うデータの種類や利用状況などに基づいて必要なALが算出され、通知メールにて案内されます。
はい。CASA認証は毎年の再評価が必要です。認証を継続するためには、定期的な再評価を受ける必要があります。
DEKRAのグローバルエキスパートが、必要な評価要件の整理から認証取得までサポートいたします。