ITトレンドがおすすめする製品・サービス
- ■守りたい社内資産別
- 社内の業務アプリへの接続：KAMOME SASE、Cloudflare One、SeciossLink（セシオスリンク）、F5 BIG-IP アクセスポリシーマネージャ、Akamai Enterprise Application Access
- 社内ネットワーク内の通信の分離：Micro Segmentation、IllumioEdge
- サーバー管理者などの特権ID：Okta Workforce Identity
- ■運用の形態別
- クラウドサービスとして利用：KAMOME SASE、Cloudflare One、Okta Workforce Identity、SeciossLink（セシオスリンク）
- 接続部分だけを自社に置く併用型：KAMOME SASE、Cloudflare One
- 自社環境に設置して運用：AppGuard、F5 BIG-IP アクセスポリシーマネージャ
オンプレミスにゼロトラストを当てはめる考え方
オンプレミスとは、サーバーや業務システムを自社の設備内に置いて運用する形態です。ゼロトラストをオンプレミスに当てはめるときは、「社内ネットワークの中なら安全」という前提を外すところから始めます。
社内ネットワークを信頼の根拠にしない
オンプレミスでのゼロトラストの出発点は、社内ネットワークにつながっていることを、アクセスを許可する理由にしないことです。従来の境界型防御では、ファイアウォールの内側に入った通信は比較的自由に社内システムへ届く構成が見られました。
この構成では、ウイルスに感染した端末が1台社内に入るだけで、ほかのサーバーへ被害が広がるおそれがあります。ゼロトラストでは社内からの接続でも、利用者のIDと端末の状態を確かめ、必要なシステムだけに接続を許可します。
クラウドとオンプレミスを同じルールで扱う
クラウドサービスと社内システムが混在している企業もあります。ゼロトラストでは、接続先がクラウドかオンプレミスかにかかわらず、同じアクセスルールで判断する状態を目指します。
例えば、「会社が管理する端末で、多要素認証を済ませた経理部員だけが会計システムに接続できる」というルールを、接続元が社内か社外かを問わず同じように適用します。接続先ごとに別々の仕組みで管理するより、設定の抜け漏れに気づきやすくなります。
社内に残るシステムをゼロトラストで守る方法
オンプレミスのシステムをゼロトラスト・セキュリティで守る方法は、守りたい対象によって変わります。ここでは社内アプリへの接続、社内ネットワーク内の通信、管理者権限の3つに分けて紹介します。
社内アプリへの接続をZTNAに置き換える
社内の業務アプリやファイルサーバーへの接続は、ZTNA（ゼロトラスト・ネットワーク・アクセス）で守る方法があります。ZTNAはネットワーク全体ではなく、許可されたアプリ単位で接続を認める仕組みです。
オンプレミスで使う場合は、社内に「コネクタ」と呼ばれる中継用のソフトウェアや機器を置き、利用者の接続をそこへ取り次ぐ構成が採られる場合があります。VPNのように社内ネットワーク全体へ入れる形にならないため、接続できる範囲を絞れます。
社内ネットワーク内の通信を細かく分ける
社内のサーバー同士やパソコンとサーバーの間の通信は、マイクロセグメンテーションで細かく分ける方法があります。必要な通信だけを許可し、それ以外を止めることで、感染が広がる経路を減らす考え方です。
工場や研究所など、インターネットから切り離した閉域網を使っている現場でも、内部での感染拡大対策として検討されます。いきなり通信を止めると業務に影響するため、まずは通信の流れを見える化し、許可する範囲を決めてから制限をかけます。
サーバー管理者の特権IDを個別に管理する
オンプレミスのサーバーやネットワーク機器には、設定を変更できる管理者権限のID、いわゆる特権IDが存在します。特権IDが不正に使われると影響が大きいため、ゼロトラストでは特に厳しく扱います。
具体的には、特権IDのパスワードを担当者に直接渡さずに貸し出す方式や、作業の申請と承認、操作の録画を組み合わせて管理します。共有アカウントを複数人で使い回している場合は、誰が何をしたかを追える状態にすることから始めましょう。
ゼロトラスト製品をオンプレミスで運用するかの判断
ゼロトラスト・セキュリティ製品は、クラウドサービスとして提供されるものが中心ですが、管理機能やアクセス制御の一部を自社環境に設置できる製品もあります。どちらを選ぶかは、社内規程や通信の経路で判断します。
自社設置が検討される場面
自社環境への設置が検討されるのは、ログや認証情報を社外のサービスに預けられないという社内規程や取引先との契約がある場合です。業界のガイドラインで、データの保管場所に条件が求められているケースもあります。
また、社内からのアクセスが多く、通信をいったん社外のクラウドに経由させると遅延が気になる場合も、社内で判定を完結できる構成が選ばれることがあります。まずは自社の規程と通信量を確認しておきましょう。
クラウド提供型を選ぶ場面
クラウド提供型は、管理サーバーの構築や更新を提供会社に任せられる点が利点です。新しい脅威への対応や機能追加も、提供会社の更新によって反映される仕組みです。
社内にセキュリティ製品を運用できる人員が少ない場合や、在宅勤務などで社外からのアクセスが中心の場合は、クラウド提供型のほうが運用の負担を抑えられる可能性があります。社内システムへの接続部分だけを自社に置く併用型も検討しましょう。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でゼロトラスト・セキュリティ製品の一括資料請求が可能です。浮いた時間で、じっくりと製品の比較検討を進めましょう。
オンプレミスで自社運用するための体制
オンプレミスでゼロトラストを運用する場合、製品の保守からアクセスルールの管理までを社内で担う範囲が広くなります。必要な役割と、社外の力を借りる方法を整理しておきましょう。
必要な役割の整理
自社運用で必要な役割は、大きく3つです。サーバーや機器の保守とソフトウェア更新を担う役割、アクセスルールを設計・変更する役割、警告やログを確認して対応する役割です。
1人がすべてを兼ねると、休暇や異動のたびに運用が止まるおそれがあります。役割ごとに主担当と副担当を決め、手順書と設定変更の記録を共有しておくと、担当者が替わっても運用を続けやすくなります。
保守や監視を外部に任せる選択
社内の人員だけでは24時間監視や機器保守を続けられない場合は、外部サービスの活用も選択肢です。導入を担当したベンダーの保守契約や、セキュリティ監視を代行するサービスが該当します。
外部に任せる場合も、アクセスルールの最終判断や、利用者の追加・削除の承認は社内に残す分担が考えられます。契約前に、どこまでを対応範囲に含むのか、障害時の連絡手順を具体的に確認しておきましょう。
アクセスルールを見直す周期の決定
自社運用では、アクセスルールを定期的に見直す周期も決めておきます。組織変更や新しい業務システムの追加があっても設定が古いままだと、不要な権限が残ったり、必要な接続が止まったりする原因となります。
例えば、人事異動の多い4月と10月にあわせて部署ごとの接続先を点検し、半年以上使われていない許可設定を整理する方法があります。見直しの結果は変更履歴として残し、監査や引き継ぎの際に確認できるようにしましょう。
クラウド障害時と社内通信の扱い
クラウドとオンプレミスを組み合わせたゼロトラスト構成では、クラウド側の障害やインターネット回線の停止が社内業務に影響しないかも検討が必要です。障害時の動作と、社内だけで完結する通信の扱いを確認します。
クラウド側の停止による影響を見積もる
認証やアクセス判定をクラウド側で行う構成では、そのサービスやインターネット回線が止まると、社内システムに接続できなくなる場合があります。オンプレミスの基幹システムが社内にあっても、判定の仕組みが外にあると影響を受けるためです。
製品によっては、回線障害時に社内で判定を続ける仕組みや、一時的に接続を許可する設定が用意されています。どのような動作になるかは製品と設定によって異なるため、導入前に提供会社へ確認しましょう。
社内で完結する通信の経路を確かめる
社内のパソコンから社内のサーバーへ接続する場合に、通信がいったん社外のクラウドを経由するかどうかも確かめたい点です。経由する構成では、回線の帯域や遅延が業務アプリの操作感に影響する可能性があります。
図面データのように容量の大きいファイルを扱う部署がある場合は、試験導入の段階で実際の業務データを使って速度を確かめておくと安心です。結果をもとに、社内で通信を折り返す構成にするかを判断できます。
障害時の手順を事前に決めておく
クラウド側やコネクタの障害に備え、業務を続けるための手順を事前に決めておくことも大切です。障害が起きてから判断すると、一時的に制限を外した設定がそのまま残るおそれがあるためです。
手順書には、障害を誰が判断するか、どの業務を優先して再開するか、一時的な措置を元に戻す確認者は誰かを記載します。年に1回程度は訓練として手順をたどり、連絡先や操作方法が古くなっていないか確かめましょう。
社内システムを守る製品の特徴一覧
社内に残る業務システムやサーバーを守る目的で選べる製品を、守る対象や提供形態とあわせて一覧にしました。クラウドで使う製品と、自社環境に設置する製品の違いも確認できます。
| 製品名 | 特徴 |
|---|---|
| KAMOME SASE | 既存VPNを活かして段階導入。社内アプリ・クラウド・SaaSを統一制御 |
| Cloudflare One | ZTNAとSWGを統合したSASE。Tunnelのコネクタでサーバーと接続 |
| Micro Segmentation | 社内ネットワークを小さく分割し、通信を厳格に制御して被害拡大を抑制 |
| Okta Workforce Identity | SSO・多要素認証に加え、クラウドとオンプレのサーバー特権を管理 |
| SeciossLink（セシオスリンク） | 代理認証やリバースプロキシで、オンプレの社内システムもSSOに対応 |
| AppGuard | 定義ファイル不要のOS保護型。クライアント版とサーバ版を用意 |
| F5 BIG-IP アクセスポリシーマネージャ | ゼロトラストでアプリ・API・データへのアクセスを集中管理。オンプレにも対応 |
| IllumioEdge | 軽量エージェントでエンドポイント通信を制御し、横方向の拡散を抑制 |
| Akamai Enterprise Application Access | VPN不要でアプリへ接続。全ユーザー・端末を都度認証 |
社内資産の守り方で選ぶ製品
社内アプリへの接続、社内通信の分離、特権IDの管理といった守る対象ごとに、オンプレミス環境の企業が検討しやすい製品を紹介します。
KAMOME SASE
- 既存環境を活かして段階導入できる国産ゼロトラストSASE
- オンプレ・クラウド・SaaSを統一ポリシーでアクセス制御
- 閉域網や拠点間通信もゼロトラストで安全に制御
かもめエンジニアリング株式会社が提供する「KAMOME SASE」は、社内システムを多く抱える企業が段階的にゼロトラストへ移行しやすい国産のSASEです。既存のVPN環境をそのまま活かしながら、オンプレミス・クラウド・SaaSへのアクセスを統一ポリシーで制御します。閉域網内にコネクターを置いて拠点間の通信もゼロトラストで制御でき、構成にはSASEアプリ（エージェント）とポリシー管理クラウドが含まれます。部門単位やサービス単位での導入も可能です。
Cloudflare One
- VPN不要のゼロトラスト(ZTNA)を既存環境と併用し段階的に導入
- SWG・CASB・DLP等の多層防御を単一画面で一元管理
- 世界125カ国330都市以上の拠点網が低遅延かつ高可用性を提供
TDI株式会社が提供する「Cloudflare One」は、社内サーバーへの接続をVPNに頼らない形へ置き換えたい場合に検討できるSASEです。リモート接続にはCloudflare WARP、サーバーや拠点の接続にはCloudflare Tunnel（コネクタとしてCloudflaredを利用）を用いる構成例があります。アプリ単位のアクセス制御やデバイスポスチャチェックも組み合わせられます。提供形態はクラウド型で、導入時には構築支援のプランも用意されています。
Micro Segmentation
- APIレベルでマイクロサービスの露出を低減。
- マルウェアがユーザーシステムやワークステーション間で拡散防止
- ワークロードの場所を問わず、一つのコンソールから操作可能。
株式会社ピーエスシーが提供する「Micro Segmentation」は、社内ネットワークを小さく分けて通信を制御する、マイクロセグメンテーションのサービスです。セグメント間の通信を厳格に制御し、クラウドや各サーバー、エンドポイントを分離して攻撃対象を小さくすることで、侵入された場合の被害拡大を抑える考え方にもとづきます。導入には、既存環境の設定変更とエージェントの配布が必要です。事前検証から導入支援、24時間365日の運用までを専任チームが担当します。
Okta Workforce Identity
- リソースへのアクセスに必要な認証と認可を実施
- エンドポイントやネットワークセキュリティなどとも連携が容易
- ユーザーライフサイクル管理、APIへのセキュアなアクセスを提供
Okta Japan株式会社が提供する「Okta Workforce Identity」は、サーバー管理者の特権アクセスまで同じ基盤で扱えるクラウド型のID管理サービスです。シングルサインオンや多要素認証でアクセスを都度確かめます。さらに、クラウドとオンプレミスのサーバーに対して、必要なときに必要な権限だけを付与するJust-In-Time方式の特権アクセス管理を備えます。多段承認や承認期限の設定、サーバー操作の記録にも対応し、特権IDの扱いを見直したい企業の選択肢です。
SeciossLink（セシオスリンク）
- シングルサインオンであらゆるサービスに連携
- IDの一元管理で業務効率化
- FIDO認証や証明書認証などの多要素認証で認証を強化
株式会社セシオスが提供する「SeciossLink（セシオスリンク）」は、クラウドだけでなくオンプレミスの社内システムにもシングルサインオンを広げたい企業に向いたIDaaSです。SAMLに対応していないサービスや社内システムも、代理認証やリバースプロキシ機能でSSOの対象にできます。ADやLDAPとのID同期、ワンタイムパスワードやFIDOを使った多要素認証、IPアドレスや国によるアクセス制御も備えます。
AppGuard
- 定義ファイル不要の「OSプロテクト型」
- 未知・既知を問わず、高度なサイバー攻撃による侵害を未然に防止
- 端末に対して悪いコトをさせず、「攻撃の無効化」を実現
DAIKO XTECH株式会社が提供する「AppGuard」は、サーバーや端末のOSを内側から守るOSプロテクト型のセキュリティ製品です。定義ファイルを持たず、マルウェアかどうかを判定する代わりに、OSに害を与える動きをブロックします。クライアント版はWindows OS、サーバ版はWindows Server OSに対応し、提供形態はオンプレミスとクラウドです。社内に置いたサーバーの侵害を防ぎたい場合の選択肢です。
F5 BIG-IP アクセスポリシーマネージャ （エフファイブ・ネットワークス・ジャパン合同会社）
- IAPでリクエスト単位のアクセス制御を行い、ゼロトラスト実現。
- SSO・MFA・OIDCなどを幅広くサポートし、全環境を統合管理。
- 高スケーラビリティ、大規模運用に対応
IllumioEdge （Illumio Japan 合同会社）
- ゼロトラストで不要な通信を遮断し、横展開を抑制。
- クラウド管理の軽量エージェントでエンドポイントを一括制御。
- NGAV・EDR連携で既知・未知マルウェア拡散を防止。
Akamai Enterprise Application Access （アカマイ・テクノロジーズ合同会社）
- 全ユーザー・デバイスを都度認証しアクセスを厳密に管理
- VPN不要でクラウドへ高速・安全に接続可能です。
- 多要素認証・SSOでアクセス管理を一元化
まとめ
オンプレミス中心の企業でも、社内ネットワークを信頼の根拠にしない考え方に切り替えれば、ゼロトラストは進められます。社内アプリはZTNA、社内の通信はマイクロセグメンテーション、管理者権限は特権ID管理と、守る対象に応じて方法を選びましょう。自社設置かクラウド提供型か、運用体制や障害時の動作まで含めて検討するため、ゼロトラスト・セキュリティ製品の資料請求で比較を進めてください。
