SASEとは？ゼロトラストの違いやそれぞれが注目される背景やメリット、導入のコツを解説

サイバー攻撃の加速度的な巧妙化や内部不正による情報漏洩事件の増加、テレワークなどのワークスタイルの変化によるクラウドサービス利用の増加に伴い、企業を取り巻くセキュリティリスクは拡大し、従来のセキュリティの考え方では対応しきれなくなっています。その中で近年注目されているのがSASEというセキュリティフレームワークの考え方です。この記事ではSASEの意味やメリット、導入にあたっての考え方について紹介します。

SASE（サシー）とは

SASEとはSecure Access Service Edgeの略で、「サシー」と読みます。2019年に米国ガートナー社が提唱したゼロトラストの考え方を実現するための具体的な方法で、ネットワーク機能とセキュリティ機能をまとめて実現しようとする考え方です。Gartner Japanの調査によると、国内においては2022年までに急速にSASEを導入する企業が増え、2023年も引き続き増加しています。

SASEとゼロトラストの違い

ゼロトラストとは、従来の「社内と社外の接点でセキュリティ対策を講じる」境界型セキュリティとは異なり、「境界だけでなくネットワーク内のあらゆるものを遮断する必要がある」という前提で、守るべき情報資産やシステムにアクセスするものは全て信用せずに検証することで、脅威を防ごうとする考え方です。一方でSASEは、ゼロトラストの考え方を実現するための、ネットワーク機能とセキュリティ機能をまとめて実現する手段です。

SASEの考え方

CASBとSASEとの関係

SASEを説明する時に混同しやすいのがCASB（Cloud Access Security Broker）です。CASB（キャスビーまたはキャズビー）は、SASEを構成するネットワークセキュリティサービスを実現するための中核機能のひとつです。クラウドサービスを安心・安全に使うために必要なコンセプトで、クラウドに特化したセキュリティ対策として重要なソリューションです。

ユーザとクラウドサービスの間にCASBツールを設置することで、組織内で利用されているクラウドサービスを可視化し、制御できる仕組みを提供します。それによって従業員による認可されていないクラウドサービスの不正利用（シャドーIT）やサイバー攻撃などのリスクを防止できます。

SASEが注目される背景

事業停止を招くランサムウェア攻撃の被害が継続的に拡大

ランサムウェアにより、企業におけるサイバーセキュリティに関する被害は企業の事業活動停止にまで影響を及ぼしています。従来はVPNやプロキシによりセキュリティを確保していましたが、クラウドサービスの業務利用やテレワークなど多様な業務環境の広がりにより、守るべき情報が社内ネットワークの境界外にも存在する状態になっており、従来の境界防御型セキュリティでは、情報漏洩や不正アクセスの脅威への対応が困難になりつつあります。

内部犯行による情報漏洩の脅威も拡大

多くの企業が情報管理に関する体制やルールを構築していますが、人材の流動化や、様々な契約形態に基づく人事やグローバル人材の登用、テレワークの導入・実施状況など、この数年で変化した環境の中で、直近の情報漏洩事件は、不正アクセスや人為的ミスによるものだけではなく、悪意を持った内部不正による情報の持ち出しによるものも発生しています。

ネットワークやセキュリティ環境の複雑化

従来はセキュリティ対策を複数のしくみを状況に応じて用意して対応していたため、セキュリティポリシーの不統一による管理の煩雑さだけでなく、コストも肥大化する傾向にありました。多数のアウトソースベンダーを使うことでシステム統合が進まなかったり、トラブル発生時に原因や被害範囲をすぐに特定しづらい面もありました。また大量のトラフィックを処理しきれなければ接続遅延や通信品質の低下につながるため、利便性も低下していました。

ゼロトラストが注目される背景

ゼロトラストが注目される背景として、従来のセキュリティモデルである境界型防御に限界があることが挙げられます。コロナウイルス感染症の拡大により、テレワークを選ぶ企業が増大しました。また、昨今のクラウドサービスの利用拡大も加わり、情報資産にアクセスする方法は、境界型防御が主流であった頃とは一変しました。

社内ネットワークと社外ネットワークの境界を防御するだけでは、セキュリティリスクの回避は困難です。その上、IT技術の発達とともに、サイバー攻撃の手法も多様化しており、ゼロトラストの概念が注目されています。

SASEへ対応することのメリット

セキュリティの強化による情報漏洩リスクの減少

あらゆるトラフィックやデバイスなどをその都度認証し、クリアしたものだけがアクセスできる環境になるため、攻撃からの防御や情報漏洩リスクを回避できるようになります。万一インシデントが発生した時にも、原因特定や影響範囲の検出、対応にかかる時間を最小限に抑えることができます。

ガバナンス評価の向上

投資の拡大により、コーポレートガバナンスやエンタープライズリスクマネジメントの改善に向けた取組みへの関心が高まっています。これに対応することで、ガバナンス強化が実現し、企業価値の向上にも寄与します。

デジタル環境の活用を前提とする多様な働き方の実現

デバイスやネットワーク、アプリケーションなど幅広い対象に対策を施すことで、社外や自宅など、さまざまな場所や端末からの安全なアクセスを実現します。テレワークなど多様な働き方にも対応し、適切な通信品質の確保によって、生産性や業務品質の向上にもつながります。

管理運用コスト削減、複雑さの軽減

クラウド上で各セキュリティを一元管理できることから、管理の手間やコストを減らすことができます。また、一貫したセキュリティポリシーで管理できることから、システム統合や拡張の検討も容易になります。

ゼロトラストのメリット

ゼロトラストの概念に基づき、社内、社外の境界線を引かずにセキュリティ対策を見直すことで、セキュリティはより強固になります。その結果、セキュリティインシデントのリスク最小化につながります。安全性を担保しながらクラウドサービスの利用も可能です。

その結果、DX化の推進による働き方改革の推進、業務効率化が実現します。さまざまな雇用方法に対応できるため、スムーズな人材獲得が可能です。

SASE導入の注意点

SASEを導入する際は、コストがかかる点やネットワークの障害対策が必要な点に注意が必要です。

導入にコストがかかる

SASEは移行が大掛かりになるため、それにかかるコストも大きくなります。また、既存のネットワークやセキュリティ機器の入れ替えに時間がかかることもコストとして挙げられるでしょう。SASEを使いこなすための研修や教育にかかるコストも加味しなければなりません。

ネットワークの障害対策が必要

SASEのサービスでは、ネットワークの監視やアクセス認証などの機能をクラウド上で管理します。SASEにトラブルやネットワークの障害が発生した場合は、クラウドサービス自体にアクセスできず、業務停止に陥るリスクがあります。バックアップ体制や対策を事前に整えておく必要があります。

SASEの考え方導入にあたって検討すべき事項

SASEは複数の製品を組み合わせることが前提になっているため、企業ごとに適切なアーキテクチャが異なります。自社に必要な機能を見極め、ニーズに合う適切なサービス選定が必要です。また既存のシステムすべてを一斉に切り替えることは現実的ではないため、自社にとっての理想的なシステム構成と、移行計画を検討することが重要になります。

SASEを導入すれば即ゼロトラストが完成するわけではない

ゼロトラストは、あくまでもすべてのネットワークアクセスを疑うことを前提とした考え方のため、SASEを導入すれば実現するわけではありません。ゼロトラストの実現には、SASEの導入と並行して、ルール作りやセキュリティ体制の見直し、アクセス権限の棚卸しといった組織的な取り組みが必要です。

SASEを活用するポイント

SASEの活用には、安定したネットワーク環境と企業内での連携がポイントです。それぞれについて、解説します。

安定したネットワーク環境を用意する

ネットワーク障害やトラフィックの突発的な増加により、一時的にアクセス不能な状況に陥ったり、データ転送に時間を要し、業務効率が低下したりすることが考えられます。1つの回線で不具合が発生した場合に、ほかの回線や接続経路でアクセスできるよう、安定したネットワーク環境を構築しておく必要があります。また、トラブルが発生した場合のサポート体制が充実したシステムを選択することも大切です。

企業内で連携をとる

SASEの導入は、中長期的な取り組みです。導入の際は、社内のセキュリティ対策を統一させるため、部署超えた連携や協力が必要です。関係する部署の意向を確認したうえで、プロジェクトを進めます。各部署の責任者や担当者の意見が食い違う場合は、そのまま進めずに足並みがそろうまで、協議を重ねます。方向がそろわないまま無理に導入を進めても、期待する結果は望めません。

SASE導入の手順

現状を可視化し、スモールステップで進めることで、スムーズで無駄のない導入が実現します。

現状を可視化し、課題を洗い出す

まず、自社のIT環境を正確に把握します。そのためには、情報資産の棚卸が必要です。利用しているサーバやアプリケーション、クラウドサービスを洗い出し、各情報に誰がどこからアクセスしているかを把握します。

その上で、セキュリティポリシーが統一化されていない、運用負荷が高いといった課題の細かいリストアップが重要です。機密性が高いデータやビジネスに必要不可欠なアプリケーションなどを特定し、情報資産の優先度を順位付けします。

目的を明らかにし、スモールスタートから始める

SASEの導入目的を明らかにし、優先度が高い機能から導入を進めます。これにより、SASE導入の利益を最大限に得ながら、リソースを最大限に活用できます。また、最初から社内全体で展開せず、特定の部署や拠点に限定し、効果測定、課題の改善などの過程を進め、段階的に拡大していくこともポイントです。

製品やベンダーを選定する

目的や課題が明確になり、導入の計画が固まったら、製品やベンダーを選定します。自社が必要とする機能を網羅しているか、安定した通信を提供できるか、サポート体制は十分であるかなどを網羅的に把握します。

選定の際は、抱えている課題や実現したいことを列挙し、対象の製品がどのように課題を解決してくれるか、期待する効果を生み出してくれるかといった観点で、製品を整理します。表面的な機能のみで比較すると、自社のケースでは使用できない、想定外の挙動により機能を有効活用できないといった結果になりかねません。

SASEの仕組み・機能の考え方

SASEの代表的な機能を紹介します。SASEとは概念上、複数拠点にある危機のネットワーク設定を一元的に行うことができるSD-WAN（Software-defined Wide Area Network）などのネットワーク機能と、CASBなどのセキュリティ機能を1つのサービスモデルに統合する考え方になります。ガートナー社は「2021 Strategic Roadmap for SASE Convergence」で、CASB、SWG、ZTNAの3機能に絞って導入する企業が増えるだろうと予測し、これらSASEのセキュリティサービス部分の3機能を担うものを「SSE（Security Service Edge）」として打ち出しています。

CASB

CASBは、Cloud Access Security Broker（クラウドアクセスセキュリティブローカー）の頭文字を取った言葉です。

ユーザとクラウドサービスの間に単一のコントロールポイントを設け、ここでセキュリティポリシーを集中的に適用する機能です。認証、シングルサインオン、認可、クレデンシャルマッピング、デバイスプロファイリング、暗号化、トークン化、ロギング、アラート、マルウェア検出・防止などがあります。

SWG

SWG（セキュアWebゲートウェイ）はSecure Web Gatewayの頭文字を取った言葉です。

Webサイトへのアクセスに伴うインターネットトラフィックから、不要なソフトウェアやマルウェアをフィルタリングする機能。

ZTNA

ZTNAはZero Trust Network Access（ゼロトラストネットワークアクセス）の頭文字を取った言葉です。

自社管理の情報資産へのアクセスを行う際に、情報資産とユーザーとの間に置かれ、ユーザーのアイデンティティやアクセス権限、端末のセキュリティ状態などを検証した上で、事前に定義されたポリシーにもとづいてアクセスを許可する機能。

その他、SD-WAN（Software-Defined WAN）、次世代ファイアウォール（NGFW）や、クラウド型ファイアウォールFWaaS（Firewall-as-a-Service）があります。

SD-WAN

SD-WANとは、Software Defined Wide Area Networkの頭文字を取った言葉です。
本社や支社など、複数の拠点を結ぶWANをソフトウェア定義で構築したものです。これにより、WANを一元管理できるほか、複数の物理回線の使い分けにより、ネットワーク機器の負担を軽減できます。

FWaaS

FWaaSは、Firewall as a Serviceの頭文字をとったもので、次世代ファイアウォール機能をクラウドで提供する機能を指します。クラウド上で提供されるため、容易に拡張できるメリットがあります。従来のファイアウォールは、社内、社外というネットワークの境界を設けていました。一方、FWaaSでは、社内・社外といった境界は設けません。あくまでも信頼できるネットワークか否かでアクセス制御を行います。これにより、情報資産への不正アクセスを防御できます。

ゼロトラストを実現する3つの技術要素

ゼロトラストを実現する技術要素について解説します。

IAM／IGA／PAM

IAM／IGA／PAMは、ID管理を実現する3つの解決策です。IAM （Identity and Access Management）は、アクセスしている人を明確にします。IGA（Identity Governance and Administration）は、企業内のアクセス権限を管理します。PAM（Privileged Access Management）は、重要なシステムやデータなどにアクセスできる権限を持つ特権アカウントを認証、監視、管理するシステムです。

EDR／MDM

EDR／MDMは、デバイスの監視と管理を行うソリューションです。EDR（Endpoint Detection and Response）は、エンドポイント上での怪しい動きをリアルタイムで監視、検出する機能です。MDM（Mobile Device Management）は、モバイルデバイスを安全に管理するためのツールです。アプリケーションのインストール・削除、OSのアップデートなどを一元管理できます。

マイクロセグメンテーション

マイクロセグメンテーションとは、ネットワークに論理的な境界を設け、複数に分割する仕組みです。分割したセグメントごとに通信の制御やトラフィックのモニタリングを行うため、攻撃者が1つのサーバに不正に侵入しても、ほかのサーバへの容易な侵入は防ぎます。

SASEとゼロトラストのよくある質問

SASEの導入、ゼロトラストの実現にあたり、どちらを優先すべきか既存の製品と連携できるかといった疑問が聞かれます。ここでは、それぞれに回答します。

ゼロトラストとSASEはどちらを先に取り組むべきか

SASEはセキュリティ対策に有用な武器ですが、使いこなすためには、ゼロトラストの考えに基づいた戦略が必要です。自社が抱える課題により、どちらから取り組むべきかが異なります。

課題解決のために、アクセス制御を厳格化したい、重要サーバへのアクセス管理を強化したいなど、内部のアクセス制御が課題である場合は、ゼロトラストからアプローチすべきです。一方、従来のVPNでは性能やセキュリティ面で限界を感じている、複数拠点での通信とセキュリティを両立させたいといった、多拠点全体の課題を解決したい場合には、SASEを優先すべきです。

既存のセキュリティ製品と共存できるか

SASEは、VPNやファイアーウォールといった既存のセキュリティ製品と共存可能です。拠点間通信の最適化やネットワークの再設計が必要な場合、既存機器の更新期に合わせて計画を立てると、効率的に進められます。

いきなり全てのセキュリティ機能をクラウド（SASE）に移行するのではなく、既存資産を活かしながら段階的に移行・統合していくのが一般的なアプローチです。

段階的に推進する上で有効なメールセキュリティ

SASEのポリシーをすべてのアプリケーションに適用することが最終目標ですが、ミッションクリティカルなものから優先的に導入することが重要です。中でもメールは主要なランサムウェアの感染経路であり、なりすましメール、フィッシングメールなどの脅威が大きいことから、メールセキュリティソリューションを適切に適用することは、SASEへの大きな一歩となります。

Microsoft 365やGoogle Workspace対応のメールセキュリティ対策

Cloud Mail SECURITYSUITE（CMSS）は、Microsoft 365やGoogle Workspaceを月額200円からランサムウェアを含むマルウェアメールの受信防御、なりすましメールやフィッシングメールの受信防御、不正なURLの無効化、サンドボックスを導入できます。詳しくは 3分でわかる「Cloud Mail SECURITYSUITE」をご覧ください。

現在ご利用中のメールシステムにワームの侵入を防ぐメールセキュリティ

MAILGATE Σ（メールゲーツ シグマ）は、オンプレミス製品とMicrosoft365やGoogle WorkSpaceなどのクラウドサービスにも対応できるクラウドメールセキュリティサービスです。

アンチスパム、フィッシングメール対策、なりすましメール対策、ビジネスメール詐欺（BEC）対策に加え、マルウェアやEMOTET（エモテット）などのトロイの木馬の受信防御を月額100円で実現します。受信したメールに潜む未知の脅威を防御するサンドボックスを、月額200円で導入できます。

詳しくは、エモテット対策やパスワード管理等の総合メールセキュリティサービス MAIL GATES Σ をご覧ください。

関連記事

ゼロトラストが注目される背景と導入時に検討すべきこととは？

多層防御とは？巧妙化するサイバー攻撃手法を踏まえた3重の鉄壁、その技術的対策

なりすましメールとは？ 偽メールを送れる背景と対策

被害額は約4,050億円、ビジネスメール詐欺（BEC）の脅威と対策

マルウェアとは？種類、脅威や影響、必要な対策をわかりやすく解説

Emotet（エモテット）とは？攻撃の流れ、感染拡大の背景、対策をわかりやすく解説