SASEとゼロトラストの違いや関係とは〜企業向けセキュリティー対策として注目される背景〜

セキュリティーの重要性が増す中、多くの企業や組織が、「SASE」や「ゼロトラスト」に代表されるような新たなアプローチに注目しています。

この記事では、これらセキュリティー対策の違いや関係とともに、なぜ企業向けセキュリティー対策として注目されているのかについて説明していきます。

SASEとゼロトラストとは

まずは、これらの用語について振り返るとともに、違い・関係についてご説明していきます。

1. SASEとは？

SASE(Secure Access Service Edge)は「サシー」「サッシー」と読み、ネットワーク機能とネットワークセキュリティーを統合した、米国ガートナー社の提唱する新しいフレームワークです。

通常のインターネットだけでなくクラウドサービスやVPNに対するセキュリティーを統合的に管理することで、クラウド時代に適したセキュリティー強化を実現します。

2. ゼロトラストとは？

ゼロトラストは、従来の境界型セキュリティーモデルに代わる概念で、米国フォレスター社が提唱しています。

従来のように「信頼を前提とする」のではなく、「何も信頼しない」を基本原則とし、「信頼せず、常に検証する」ことによって、細かなセキュリティーを提供します。

3. SASEとゼロトラストの違いと関係

SASEとゼロトラストは、近年セキュリティー対策として注目される機会が増えてきていることもあり、似たようなものとして捉えられがちです。しかし実際には、次のような違いがあります。

SASE：　セキュリティーを強化するための「フレームワーク」や「サービス」
ゼロトラスト：　セキュリティーの「概念」や「アプローチ」

ゼロトラストは、境界型セキュリティーを代替する新しい概念です。対してSASEは、このゼロトラストを前提として(含んで)強固なセキュリティーを実現するための、フレームワークやサービスを指します。

SASEやゼロトラストが注目される背景

SASEやゼロトラストがますます注目されている背景として、企業を取り巻く環境が近年大きく変化していることなどが挙げられます。それぞれについて、詳しく見ていきます。

1. クラウド時代のセキュリティー対策

クラウドサービスが広く普及してきたことで、企業のネットワーク環境は大きく変化しています。

クラウドを活用することで、柔軟性や拡張性が向上し、業務効率が向上します。しかしその一方で、VPNやファイアウォールのようなこれまでのオンプレミス環境向けセキュリティー対策では、十分な保護が難しくなっています。

例えば、クラウド上(社外)にデータを保管することが前提となることから、境界型セキュリティーにおける「境界」がこれまでと比べて曖昧になっています。そして多様化するクラウドに対して、従来のようなパーミッションベースのアクセス制御をうまく機能させることができず、複数のクラウドサービスを柔軟に管理することは困難となりつつあります。

2. リモートワークの増加とセキュリティー対策

リモートワーク・在宅勤務の拡大により、従業員はオフィスから離れた場所からも業務をおこなうようになりました。

従来の境界型セキュリティーでは、オフィスや企業ネットワークの内部・外部に境界を設けることを前提としており、内部の従業員のみを信頼していました。この仕組みを維持するために、内部へVPN接続することで、セキュリティーを確保しようとする企業も少なくありません。

しかし、VPN接続を用いてリモートワーク環境を実現するには、キャパシティーやセキュリティーなどの問題が生じます。多数の従業員が一同にアクセスすることで、VPN接続機器やネットワークには大きな負荷がかかります。そして、従業員のデバイスやネットワークが信頼できるものとは限らないので、これらを検証する必要もあります。

関連記事｜あわせて読みたい

VPNは安全？　〜多くのリモートワーク・テレワーク環境に潜む危険性・リスク〜

3. サイバー攻撃の進化と対策の重要性

近年になって、企業や組織を狙うサイバー攻撃の手法は、ますます高度化・巧妙化しています。

攻撃脅威は、従来のセキュリティー対策だけでは対応しきれないほど増えており、またターゲットとされる標的も業種規模を問わず多岐にわたっています。

重要なデータや知的財産を狙うターゲット型攻撃やランサムウェア攻撃などが増加しており、被害を受けた企業は多大な損害を被ることがあります。VPN接続を伝って内部侵入の上でおこなわれる攻撃も多く報告されており、セキュリティー対策の仕組みを根本的に変えなくてはならないケースも少なくありません。

SASEやゼロトラストの導入にあたってすべきこと

SASEやゼロトラストを導入するには、慎重な計画と準備が欠かせません。以下に、導入にあたってすべきことをご紹介します。

1. 現状評価と目標設定

まずは現状のネットワーク構成を把握した上で、セキュリティーレベルを評価し、どのような脅威に対して備える必要があるのかを明確化します。その上で、導入後に期待するセキュリティーレベルについての目標を設定します。

目標設定を明確にしておくことが、ソリューションの適切な選定や、導入計画の立案にあたって重要です。

2. 適切なベンダーの調査と選定

SASEやゼロトラストの導入効果の高いものとするには、信頼性の高いベンダーの選定が不可欠です。

なるべく複数のサービスベンダーを比較検討し、先述した目標を達成できるかを評価します。機能や価格はもちろん、日本国内に問い合わせ窓口が用意されているかなど、サポート体制についても確認します。

SASEやゼロトラストへの対応・準拠を謳うサービスでも、サービス形態や導入様式は様々です。選定しようとしているサービスが自社のネットワーク構成などとマッチするか、導入時にどのような作業が必要か、本番稼働前のトライアル利用が可能かなども、併せて把握しておきましょう。

3. トライアルやテスト導入

セキュリティー関連サービスでは、不正なアクセスなどを自動的にブロックできる一方で、正常なアクセスについても誤検知・誤遮断してしまうリスクがあります。

そのため、いきなり本番稼働させるのではなく、問題なく導入できるかを確認しておくことが望ましいです。サービスによっては、対象を絞った部分的な導入ができたり、検知だけをおこない遮断をしない設定などが用意されていたりします。サービスベンダー側で用意しているベストプラクティスなども、確認すると良いでしょう。

4. 従業員向けの周知と教育

新たなセキュリティー対策を導入する際には、従業員に対する周知や教育・トレーニングも忘れてはなりません。

理由の一つとしては、SASEやゼロトラストを導入することによって、業務上のフローが変わることがあります。もちろんそれだけではなく、セキュリティーポリシーや意義について従業員に理解してもらうことで、セキュリティーに関する従業員の意識が向上し、対策導入による効果の最大化が期待できます。

さいごに

SASEやゼロトラストは、従来のセキュリティー対策における常識を根本から変える革新的なアプローチであり、今後の企業や組織にとって不可欠なものとなっています。

情報漏洩などを引き起こすサイバー攻撃リスクを最小限に抑えるためには、これらのアプローチやサービスを効果的に導入し、より安全に企業活動をおこなうための環境を整備していきましょう。

ゼロトラストとは〜企業ネットワークを狙う攻撃脅威とこれからのセキュリティー対策〜

VPNは安全？　〜多くのリモートワーク・テレワーク環境に潜む危険性・リスク〜