ファイアウォール運用で発生する業務
ファイアウォールとは、社内ネットワークと外部の通信を監視し、許可した通信だけを通す仕組みです。導入して終わりではなく、継続的な作業が発生します。まず、どのような業務があるのかを把握しておきましょう。
日常的に発生する作業
運用で頻度が高いのは、通信ルールの追加と見直しです。新しい業務システムを導入したときや、取引先とデータをやり取りする際に、許可する通信を追加する作業が発生します。あわせて、使わなくなったルールを削除しないと設定が積み重なっていきます。
このほか、遮断された通信の確認や、利用者からの問い合わせ対応も日常業務に含まれます。通信が届かない原因はファイアウォールの設定だけとは限らず、回線や接続先のサービス側に理由がある場合もあります。切り分けの手順を用意しておくと、対応にかかる時間を抑えやすくなります。
定期的に発生する作業
定期作業としては、機器のソフトウェア更新、ライセンスの更新、ログの確認とレポート作成があります。ソフトウェアの更新は通信を一時的に止める場合があるため、実施する時間帯を業務部門と調整する必要があります。
機器には保守が受けられる期限があり、期限を過ぎると障害時の交換や更新が受けられなくなる場合があります。導入時に期限を確認し、更新の予算計画に組み込んでおくと、急な入れ替えを避けやすくなります。ログの確認については、毎日すべてを見るのではなく、注目する条件を決めて絞り込む運用が現実的です。
担当者が少ない企業の運用体制
情報システムの担当者が1人、あるいは専任者がいない企業では、作業量を減らす仕組みを製品側で用意できるかが判断材料になります。ここでは2つのケースに分けて整理します。
情報システム担当が1人の場合
担当者が1人の環境では、作業が特定の人に集中し、不在時に対応できなくなる状態が課題になります。対策としては、対応手順を文書に残す、設定変更の記録を製品側で自動的に残す、管理画面へアクセスできる人を複数用意するという3点が有効です。
製品を選ぶ際は、設定画面が操作しやすいかを実際に確認しましょう。無料トライアルやデモの機会があれば、日常的に行う作業を実際に試してみると判断しやすくなります。あわせて、ベンダーへ相談できる範囲も確認してください。問い合わせ窓口があるのか、設定方法の案内まで受けられるのか、設定作業そのものを依頼できるのかで、担当者の負担は大きく変わります。
情報システム専任者がいない場合
総務や経理の担当者が兼務している企業では、自社で細かく設定を作り込む前提の製品は運用を続けにくくなります。初期設定が用意された状態で提供されるサービスや、導入から運用までを事業者が担う形態を検討するとよいでしょう。
ただし、外部に任せる場合でも、自社側で判断する事柄は残ります。どの通信を許可するかは業務内容を知る自社が決める必要があるためです。依頼できる範囲と自社で判断する範囲を契約前に書き出し、両者で認識をそろえておくと、運用開始後の行き違いを防げます。緊急時の連絡先と対応時間もあわせて確認しておきましょう。
多拠点のファイアウォールを一元管理する
支店や工場を持つ企業では、拠点ごとに設定がばらつく状態が運用上の課題になります。ここでは、まとめて管理する仕組みと、その前提となる条件を見ていきます。
拠点ごとの個別管理で起きること
拠点ごとに機器を置き、それぞれで設定を管理している場合、同じ目的のルールでも書き方が拠点によって異なる状態が生まれます。この状態では、全社で共通の基準を適用したいときに、どの拠点が対応済みかを把握しにくくなります。
また、拠点に情報システム担当がいない場合、設定変更のたびに本社の担当者が現地へ出向いたり、電話で手順を案内したりする負担が生じます。機器の型番や導入時期が拠点ごとに違うと、対応手順もそろわなくなります。現状を整理する際は、拠点ごとの機器一覧と保守期限をまず一覧にすると全体像がつかめます。
本社で全拠点をまとめて管理する
複数の機器を一つの管理画面から操作できる仕組みを持つ製品では、共通のルールを本社で作成し、各拠点へまとめて配布できます。拠点ごとの差分だけを個別に設定する運用にすると、確認する箇所を減らせます。
導入前に確認したいのは、管理できる台数の上限、拠点側の機器が管理画面と通信できない状態になったときの動作、そして拠点ごとに権限を分けられるかという3点です。拠点の担当者に一部の操作だけを許可したい場合、権限の細かさが運用の形を左右します。既存機器をそのまま管理対象にできるかも、あわせて確認しておきましょう。
グループ会社全体の運用を統合する
グループ会社をまとめて管理する場合、技術的な仕組み以上に、責任範囲の整理が重要です。どの会社のどの通信について誰が承認するのかを決めないまま統合すると、変更依頼が滞る可能性があります。
進め方としては、まずグループ共通で守る基準を定め、その範囲を親会社側で管理し、各社固有の業務にかかわる部分は各社で判断する形が現実的です。会社ごとに業種や取引先の要件が異なる場合、同一のルールを適用できないこともあります。統合の範囲を段階的に広げる計画にしておくと、途中で見直しやすくなります。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料を取り寄せて機能や特徴をさまざまな製品で比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でファイアウォールの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
外部委託と自社運用を組み合わせる
すべてを自社で担う必要はなく、業務を切り分けて外部の事業者と分担する方法もあります。分担する際は、境界をどこに置くかが運用のしやすさを決めます。
分担する範囲の決め方
運用業務のうち、機器の監視やソフトウェア更新、障害時の一次対応は外部へ委託しやすい領域です。一方、どの通信を許可するかという判断は業務内容の理解が必要なため、自社側に残す形が一般的です。
切り分けの際は、作業ごとに依頼する側と実施する側を表にして整理すると認識がそろいます。例えば、ルール追加の申請は自社、内容の妥当性確認は双方、実際の設定作業は委託先という形です。あわせて、依頼から作業完了までの目安時間や、緊急時の扱いも取り決めておくと、業務部門への説明がしやすくなります。
分業しても運用をそろえる工夫
複数の関係者が設定に関与する場合、変更の記録が残らないと後から経緯を追えなくなります。設定変更のたびに、いつ誰がどの依頼にもとづいて変更したかを記録として残せる仕組みを製品側と運用ルールの両方で用意しましょう。
また、定期的に設定内容を棚卸しする機会を設けると、不要なルールが残り続ける状態を防げます。委託先から提出されるレポートの項目も、契約時に確認しておくとよいでしょう。障害が起きた際に、自社と委託先のどちらが原因を調査するかという役割も、あらかじめ決めておくと復旧までの時間を短縮しやすくなります。
運用体制別の確認項目を整理する
ここまでの内容を、体制ごとの確認項目としてまとめます。自社の状況に近い行を起点に、資料請求時の質問リストを作る材料としてください。
体制ごとの比較の目安
下表は、運用体制ごとに優先して確認したい項目を整理したものです。実際の要件は拠点数や業務内容によって変わるため、検討の出発点として活用してください。
| 運用体制 | 優先して確認したい項目 |
|---|---|
| 担当者1人 | 操作画面の分かりやすさ、変更履歴の自動記録、相談できる窓口の範囲 |
| 専任者なし | 初期設定の提供有無、依頼できる作業範囲、緊急時の対応時間 |
| 多拠点 | 管理できる台数、拠点ごとの権限分離、既存機器の管理可否 |
| グループ統合 | 共通ルールと個別ルールの分離、承認手順の組み込み |
| 外部委託併用 | 作業分担の明確さ、レポート項目、障害時の調査担当 |
体制を見直すタイミング
運用体制は一度決めたら固定するものではなく、拠点の増減や担当者の異動にあわせて見直すものです。機器の保守期限が近づく時期は、体制を含めて全体を再検討する機会として活用できます。
見直しの際は、直近1年で発生した作業の件数と、対応にかかった時間を記録から集計すると判断材料になります。作業が特定の月に集中している、あるいは特定の担当者に偏っているといった傾向が見えれば、委託範囲を広げるか、管理をまとめる仕組みを導入するかの検討につながります。
運用まで任せたい場合のファイアウォール
担当者が限られる環境では、設定や監視をどこまで依頼できるかが判断の材料になります。運用の支援を含めて検討したい製品を集めました。
ビジネスセキュリティ（VSR）nシリーズ
- 業界最多クラスのセキュリティ機能の中から独自のカスタムが可能
- 管理者負担軽減！導入から運用、保守まですべて一括対応
- 24時間365日の障害検知・切り分けから復旧対応までサポート！
株式会社 USEN ICT Solutionsが提供する「ビジネスセキュリティ（VSR）nシリーズ」は、機器の構築と運用、保守をあわせて提供するUTM製品です。アンチウイルスやWebフィルタリング、不正侵入の検知と防御を備え、24時間365日の障害対応が含まれます。オプションとして社外から社内へ接続する仕組みや負荷分散の機能も用意されています。
MRB-Cloud
- 常時最新のセキュリティを提供。ソフトの導入や定義の更新は不要
- ３つのインバウンドセキュリティで外からの脅威を防御します
- 外出先でも安全に通信可能でリモートワークにも対応します
株式会社アンペールが提供する「MRB-Cloud」は、専用の機器を必要としないクラウド型のUTMサービスです。既存のルーターから接続する形で導入でき、社内へ入る通信と外へ出る通信の両方を対象にした対策を利用できます。機器の老朽化にともなう更新を検討している企業が、構成そのものを見直す際の選択肢になります。
次世代ファイアーウォール月額サービス スタンダード （ＪＢＣＣ株式会社）
- 次世代Firewallをセキュリティ運用監視サービス付きで月額提供
- 機器のメーカーは選択可能(Paloalto、Fortigate)
- 監視含む、ゲートウェイセキュリティの運用はプロにおまかせ
クラウドファイアウォールpoweredbyPaloAltoNetworks （ソフトバンク株式会社）
- クラウド上で高精度な脅威検知とアクセス制御を実現。
- Palo Alto Networksの次世代ファイアウォール技術を採用。
- ソフトバンクのネットワークと連携し運用を最適化。
ファイアウォールに関するFAQ
ファイアウォールの運用体制について、よく寄せられる質問と回答をまとめました。
- Q1： 担当者が1人でもファイアウォールを運用できますか？
- 運用そのものは可能ですが、不在時に対応できる人がいない状態は避けたいところです。手順の文書化と、管理画面へアクセスできる人を複数用意する運用をあわせて検討してください。
- Q2： 拠点ごとに違う製品を使っていてもまとめて管理できますか？
- 異なるメーカーの機器を一つの画面でまとめて管理できるかは、製品によって対応状況が異なります。現在の機器一覧を提示したうえで、ベンダーへ対応可否を確認しましょう。
- Q3： 運用を外部に任せると自社では何も判断しなくてよいですか？
- どの通信を許可するかという判断は、業務内容を把握している自社側に残る場合が一般的です。委託範囲と自社で決める範囲を契約前に書き出しておくことをおすすめします。
- Q4： ログはどのくらい確認する必要がありますか？
- すべてを毎日確認する運用は現実的ではないため、注目する条件を決めて絞り込む方法が一般的です。どのような条件で通知を出せるかを、製品ごとに確認してみてください。
まとめ
ファイアウォールの運用体制は、担当できる人数と拠点の広がり、外部へ委託できる範囲の3点で考えると整理しやすくなります。担当者が少ない企業では作業を減らす仕組みと相談できる窓口、多拠点やグループ企業ではまとめて管理する仕組みと承認手順が論点です。現在の作業量を整理したうえで、複数の製品資料を取り寄せて比較検討を進めてください。
