ファイアウォールの導入前の不安を確認に変える
ファイアウォールとは、社内ネットワークと外部の通信を監視し、許可した通信だけを通す仕組みです。不安を抱えたまま導入すると、後から想定と異なる点に気づく可能性があります。まず、確認の進め方を整理しましょう。
公開情報とベンダー確認を分ける
判断に必要な情報は、公開されている資料から読み取れるものと、ベンダーへ確認しないと分からないものに分かれます。まず自社の不安を書き出し、どちらに該当するかを仕分けると、確認の手間を抑えられます。
公開情報から確認できるのは、対応している機能の一覧、仕様書が公開されている接続手段、認証の取得状況などです。一方、更新の頻度、サポートで対応できる範囲、自社の構成での動作といった項目は、直接確認する必要があります。仕分けた結果を質問リストにまとめ、複数社へ同じ内容で照会すると比較しやすくなります。
回答を記録して比較する
ベンダーからの回答は、口頭ではなく文書で受け取ると後から確認できます。特に、対応の可否だけでなく、どの機能で対応するのか、追加費用が発生するのか、作業はどちらが行うのかまで記録しておきましょう。
回答を一覧にまとめると、社内で稟議を進める際の資料としても使えます。回答が得られなかった項目は、その事実も記録に残します。すべての疑問に回答が得られるとは限らないため、判断に必要な項目と、あれば望ましい項目を分けて優先順位をつけておくと、比較が滞りません。
開発元とファイアウォールの脅威対応の速さ
新しい攻撃手法への対応が遅れないかという不安は、多くの検討で挙がります。ただし、開発元の所在地と対応の速さを直接結びつけることは適切ではありません。
対応の速さを左右する要素を見る
脅威への対応は、検知に使う定義の更新頻度、更新を提供する体制、情報を収集する仕組みによって変わります。これらは製品や提供会社の開発体制によって異なり、開発元がどの国かという属性だけで判断できるものではありません。
確認したいのは、検知の定義がどの程度の頻度で更新されるか、更新が自動で適用されるか、緊急の対応が必要な場合にどのような手段で情報が提供されるかという点です。あわせて、他社の情報基盤と連携して脅威情報を取得している場合は、その仕組みも確認しておくとよいでしょう。日本語での情報提供やサポートの有無は、別途確認する項目として整理します。
自社が受け取る情報の形を確認する
更新が提供されていても、自社がその情報を受け取れなければ対応は進みません。緊急度の高い情報がどのような手段で届くか、通知の宛先を複数設定できるかを確認しましょう。
また、更新の適用に自社での作業が必要な場合、その作業を誰が行うかを決めておく必要があります。自動で適用される設定にできるか、適用前に内容を確認する運用にできるかは、製品によって選択の幅が異なります。運用体制に合わせて選べるかどうかを、試用の機会があれば実際の画面で確かめてください。
認証の表示とファイアウォールの防御範囲
資料に情報セキュリティ関連の認証が記載されている場合、その表示が何を示すのかを確認しておくと判断を誤りにくくなります。
認証が示す範囲を確認する
情報セキュリティマネジメントに関する認証は、組織の管理体制について第三者が審査したことを示すものです。提供会社が取得している場合、その会社の運営体制が一定の基準を満たしていることを示しますが、製品の防御性能を直接示すものではありません。
確認したいのは、認証の対象が提供会社なのか特定のサービスなのか、取得時期と有効期限はいつか、審査の範囲に自社が利用する部分が含まれるかという点です。製品の性能については、認証とは別に、機能の一覧や第三者機関による試験結果を確認する必要があります。混同しないよう、それぞれ分けて資料を集めましょう。
実際の防御範囲を確認する
製品が何を検知し、何を遮断できるかは、有効にした機能によって変わります。標準で有効な項目と、追加の契約が必要な項目を分けて確認しましょう。すべての攻撃を防げる仕組みは存在しないため、対応できる範囲と対応できない範囲を把握することが大切です。
確認の際は、自社が想定する事態を具体的に伝えると回答を得やすくなります。社外から社内システムへの不正な接続、業務に不要なサイトへの通信、外部へ大量のデータが送信される動きといった場面を挙げ、それぞれどの機能で確認できるかを聞きましょう。対応できない範囲については、端末側の対策など別の仕組みとの組み合わせを検討します。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料を取り寄せて機能や特徴をさまざまな製品で比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でファイアウォールの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
ファイアウォールのAPI連携で確認したい制限
他のシステムとつなぐことを前提にしている環境では、接続手段の仕様が導入の可否を左右します。事前に確認しておきたい項目を整理します。
操作できる範囲と実行回数の上限
APIとは、外部のプログラムからシステムを操作するための接続手段です。提供されていても、操作できる範囲が参照に限られる場合や、一部の設定にしか対応していない場合があります。仕様書が公開されているかをまず確認しましょう。
あわせて確認したいのが、一定時間あたりの実行回数の上限です。上限が設けられている製品では、想定する処理量を超えると要求が受け付けられなくなる可能性があります。自社で行いたい処理の内容と頻度を伝え、上限に収まるかを確認してください。上限を超えた場合の動作や、緩和する方法があるかもあわせて聞いておくとよいでしょう。
仕様変更への対応方針
接続手段の仕様は、製品の更新にともなって変わる場合があります。自社で作成した仕組みが動作しなくなる可能性があるため、変更の予告がどのように行われるかを確認しておきましょう。
確認したいのは、旧仕様がいつまで利用できるか、変更の告知はどの手段で行われるか、過去にどのような変更があったかという点です。あわせて、動作確認に使える環境が提供されているかも聞いておくと、更新前に影響を把握できます。開発を担当する部門や委託先がある場合は、確認の段階から一緒に内容を見てもらうと判断が早まります。
ファイアウォールの独自設定と更新時の扱い
自社の業務にあわせて設定を作り込んだ場合、その内容が更新後も維持されるかは重要な確認項目です。
更新時に設定がどう扱われるかを確認する
ソフトウェアの更新によって、設定項目の構成が変わる場合があります。項目が統合されたり、新しい既定値が適用されたりすると、以前の設定が意図どおりに引き継がれない可能性があります。原因は製品側の仕様変更だけでなく、自社の設定が標準的でない方法で作られている場合にも生じます。
確認したいのは、更新前に設定を保存できるか、更新後に元の状態へ戻せるか、変更点の一覧が事前に案内されるかという点です。あわせて、検証環境で先に更新を試せるかも聞いておきましょう。更新を適用する時期を自社で選べる製品であれば、業務への影響が小さい時期に実施する計画を立てられます。
作り込みの範囲を見直す
設定を細かく作り込むほど、更新時に確認すべき項目も増えます。標準の機能で対応できる部分は標準のまま使い、独自の設定は必要な範囲にとどめると、維持の負担を抑えられます。
導入時に、どの設定がなぜ必要なのかを記録として残しておくと、更新後の確認がしやすくなります。設定の一覧に、対象の業務と作成した理由、担当者を記載しておきましょう。担当者が変わっても内容を追える状態にしておくことで、更新のたびに調査からやり直す事態を避けられます。
提供体制を確かめたいファイアウォール
更新の頻度やサポートの範囲は、資料だけでは判断しにくい部分です。条件を直接確認したい製品を集めました。
MRB-Cloud
- 常時最新のセキュリティを提供。ソフトの導入や定義の更新は不要
- ３つのインバウンドセキュリティで外からの脅威を防御します
- 外出先でも安全に通信可能でリモートワークにも対応します
株式会社アンペールが提供する「MRB-Cloud」は、クラウド型のUTMサービスです。ソフトウェアの導入や定義ファイルの更新を自社で行わずに済む作りのため、担当者が限られる環境でも運用を続けやすくなります。複数拠点の一元管理に対応している点もあわせて確認しておきましょう。
ビジネスセキュリティ（VSR）nシリーズ
- 業界最多クラスのセキュリティ機能の中から独自のカスタムが可能
- 管理者負担軽減！導入から運用、保守まですべて一括対応
- 24時間365日の障害検知・切り分けから復旧対応までサポート！
株式会社 USEN ICT Solutionsが提供する「ビジネスセキュリティ（VSR）nシリーズ」は、ファイアウォールを中心に複数のセキュリティ機能をまとめたUTM製品です。導入後の運用監視とオンサイトでの保守が含まれるため、社内で対応しきれない作業を任せたい場合に適した構成です。設定の変更依頼まで含めた範囲を確認しておきましょう。
次世代ファイアーウォール月額サービス スタンダード （ＪＢＣＣ株式会社）
- 次世代Firewallをセキュリティ運用監視サービス付きで月額提供
- 機器のメーカーは選択可能(Paloalto、Fortigate)
- 監視含む、ゲートウェイセキュリティの運用はプロにおまかせ
SRX シリーズ ファイアウォール （ジュニパーネットワークス株式会社）
- アプライアンス型製品のラインナップが豊富
- クラウド向けの仮想化製品も利用可能
- 最大３Tbpsの超低遅延性能
ファイアウォールに関するFAQ
ファイアウォールの導入条件について、よく寄せられる質問と回答をまとめました。
- Q1： 開発元の国によって脅威対応の速さは変わりますか？
- 対応の速さは定義の更新頻度や提供体制、情報収集の仕組みによって決まります。開発元の所在地だけで判断せず、更新の頻度と提供方法をベンダーへ確認しましょう。
- Q2： 認証を取得している製品なら安心といえますか？
- 認証は組織の管理体制について審査されたことを示すもので、製品の防御性能を直接示すものではありません。機能の範囲は別途、資料や試験結果で確認してください。
- Q3： APIの実行回数に制限があるか確認する方法はありますか？
- 仕様書に記載されている場合があります。記載がなければ、想定する処理の内容と頻度を伝えたうえで、上限の有無と超過時の動作をベンダーへ確認しましょう。
- Q4： 更新で設定が変わってしまうことはありますか？
- 項目の構成が変わると、以前の設定が意図どおりに引き継がれない可能性があります。更新前に設定を保存し、検証環境で先に確認できるかを聞いておくと安心です。
まとめ
ファイアウォールの導入条件に関する不安は、確認できる質問へ言い換えることで判断材料に変えられます。脅威対応は更新の頻度と提供方法、認証は対象範囲と有効期限、連携は操作範囲と実行回数の上限、設定の維持は更新時の扱いがそれぞれ確認の焦点です。質問リストを用意したうえで、複数の製品資料を取り寄せて比較検討を進めてください。
