ITトレンドがおすすめする製品・サービス
- ■主な利用場面別
- 在宅勤務からの社内システム接続：IIJフレックスモビリティサービス/ZTNA、KAMOME SASE、Cloudflare One
- クラウドサービスの利用管理：CYGIENE ECAP（サイジーン イーキャップ）、Cloudflare One、GMOトラスト・ログイン
- 入社・退職にあわせたアカウント管理：GMOトラスト・ログイン、Okta Workforce Identity
- ■運用の体制別
ゼロトラストセキュリティで日々の業務はどう変わるか
ゼロトラストセキュリティでは、接続のたびに利用者と端末を確かめます。利用者から見ると、業務の始め方と、社内外での接続方法が主に変わります。まずは全体の流れを確認しましょう。
業務開始時のログインと接続の流れ
製品によっては、業務を始めるときにID基盤へログインし、多要素認証を済ませると、許可された業務システムやクラウドサービスへ順に接続できる流れです。シングルサインオンに対応していれば、システムごとにパスワードを入れ直す手間を減らせます。
端末に専用のエージェントを入れる製品では、パソコンの起動後にエージェントが自動で接続を始め、利用者がほとんど意識せずに使える場合もあります。どの操作が必要になるかは製品と設定によって異なるため、導入時に利用者向けの手順書で示しておきます。
社内外で共通の接続操作
ゼロトラストセキュリティの使い方の特徴は、オフィス、自宅、出張先のどこにいても、同じ操作で業務システムに接続できる点です。従来のVPNのように、社外にいるときだけ接続ソフトを立ち上げる手順が不要になる構成もあります。
一方で、社内にいても認証を求められるため、「社内なのにログインが必要になった」と感じる利用者がいるかもしれません。導入時には、場所を問わず確かめる仕組みに変わった理由を、社内説明会や通知で伝えておくと理解を得やすくなります。
利用者が覚えておきたい使い方
利用者が覚えておきたいのは、多要素認証の操作、新しい端末の登録、接続を拒否されたときの対処の3つです。いずれも手順書にまとめ、問い合わせ窓口とあわせて案内しておくと、導入直後の混乱を抑えられます。
多要素認証の操作
多要素認証は、パスワードに加えて、スマートフォンのアプリへの通知承認やワンタイムパスワード、指紋や顔の生体認証などを組み合わせて本人を確かめる操作です。製品や設定によって、使える方法が決まります。
利用者が注意したいのは、自分がログインしていないのに承認の通知が届いた場合です。不正ログインを試みられている可能性があるため、承認せずに情報システム部門へ連絡するよう案内しましょう。スマートフォンの機種変更時の再設定手順もあわせて伝えておきます。
新しい端末を登録する手順
ゼロトラストセキュリティでは、会社が把握している端末かどうかを接続の条件にする場合があります。そのため、パソコンの入れ替えやスマートフォンの追加の際は、新しい端末を登録する手順が必要です。
手順は、端末管理の仕組みへの登録、エージェントの導入、端末の状態確認の順に進む例が見られます。情報システム部門が配布前に済ませる場合と、利用者が自分で行う場合があるため、どちらの運用にするかを決めて手順書に明記しておきましょう。
接続を拒否されたときの対処
接続を拒否される理由としては、端末やログインの状態が許可の条件を満たしていないことが考えられます。例えば、OSの更新が済んでいない、ウイルス対策ソフトが止まっている、許可されていない場所や時間帯から接続している、などのケースです。
利用者には、画面に表示された理由を確かめ、OSの更新など自分で対応できるものは対応してから再接続するよう案内します。理由がわからない場合に備え、画面の内容や時刻を添えて問い合わせる手順を決めておくと、管理者の調査も早く進みます。
管理者がゼロトラストのアクセスルールを設定する
管理者の中心的な使い方は、アクセスルールの設定と変更です。ルールは「誰が」「どの端末から」「どのシステムに」接続してよいかの組み合わせで作ります。作り方、例外の扱い、変更時の確かめ方を紹介します。
ルールを組み立てる手順
アクセスルールは、部署や役職のグループ単位で作るのが基本の進め方です。個人ごとにルールを作ると数が膨らみ、変更の漏れが起こりやすくなるためです。
例えば、「経理部のグループが、会社の管理端末から、会計システムに接続できる」というルールを作り、そこに端末のOSが最新であること、多要素認証を済ませていることなどの条件を加えます。設定画面の構成は製品によって異なるため、試用期間に実際の業務を想定したルールを作ってみると使い勝手を確かめられます。
例外申請の受け付けと記録
運用を始めると、「出張先の国から一時的に接続したい」「取引先との共同作業で特定のフォルダを共有したい」など、ルールの例外を求める申請が出てきます。例外は業務を止めないために必要ですが、増えすぎると管理しきれなくなります。
そこで、申請の窓口と承認者を決め、例外ごとに有効期限を設定する運用が有効です。期限が切れた例外を自動で無効にできるか、申請の履歴を管理画面で確認できるかは製品によって異なるため、比較の際に確かめておきましょう。
ルールを変更する前の確かめ方
ルールを変更すると、意図せず正規の業務が止まる可能性があります。そのため、変更の前に影響を確かめる手順を用意しておくと安心です。
製品によっては、新しいルールを遮断せずに記録だけ取る「監視モード」で試せるものがあります。こうした機能がない場合は、情報システム部門の中など小さなグループへ先行して適用し、様子を見る方法もあります。変更内容と適用日時を記録し、問題が起きたときに元の設定へ戻せるようにしておきましょう。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でゼロトラスト・セキュリティ製品の一括資料請求が可能です。浮いた時間で、じっくりと製品の比較検討を進めましょう。
ログと管理画面を日々の運用で使う
ゼロトラストセキュリティの管理画面では、接続の状況や警告を一覧で確認できます。日々の運用での使い方を、定期的な確認と、警告が出たときの対応に分けて整理します。
ダッシュボードで定期的に確認する項目
管理画面のダッシュボードでは、ログインの成功と失敗の件数、接続を拒否した件数とその理由、条件を満たしていない端末の一覧などを確認する使い方が考えられます。毎日または毎週など、確認する頻度と担当者を決めておきましょう。
例えば、特定の利用者でログインの失敗が続いていれば、パスワードの入力ミスだけでなく、不正ログインの試みの可能性も考えられます。数値の変化に気づけるよう、ふだんの件数の目安を把握しておくことが大切です。確認した結果を週次の報告にまとめると、傾向の変化をチームで共有できます。
警告が出たときの対応手順
不審なアクセスの警告が出たときは、あらかじめ決めた手順で対応します。流れの例は、警告の内容の確認、該当する利用者への状況確認、必要に応じたセッションの切断やアカウントの一時停止です。
対応の記録は、担当者だけで抱えず、チーム内で共有できる場所に残します。夜間や休日の警告に社内で対応しきれない場合は、監視と初動対応を代行するサービスを組み合わせることも検討しましょう。
入社・異動・退職のときの使い方
人の出入りや異動のたびに、IDと権限を正しく変更することも、ゼロトラストセキュリティの大切な使い方です。変更が遅れると、不要な権限が残ったり、新しい担当者が業務を始められなかったりするためです。
入社時のアカウント発行と端末の準備
入社時は、IDの発行、所属グループへの登録、業務用端末の登録をまとめて行います。所属グループに登録すると、そのグループに設定したアクセスルールが自動で適用される仕組みの製品であれば、個別の設定の手間を減らせます。
初日から業務を始められるよう、多要素認証の初期設定の手順を入社手続きの案内に含めておくと、当日の問い合わせを減らしやすくなります。人事部門と情報システム部門で、入社情報を共有するタイミングも決めておきましょう。
異動・退職時の権限の変更
異動時は、所属グループを変更して新しい部署の権限に切り替え、前の部署の権限を外します。退職時は、最終出社日にあわせてアカウントを停止し、端末の登録を解除します。
人事システムと連携できる製品では、人事情報の変更をもとにIDや所属を自動で更新する設定ができる場合があります。手作業で運用する場合は、毎月の異動・退職者の一覧と、実際のアカウントの状態を照らし合わせる確認を習慣にしましょう。
日々の運用場面別の製品特徴一覧
在宅勤務からの接続、クラウドの利用管理、アカウント管理といった日常の場面と、運用を自社で行うか代行を受けるかの観点で、製品の特徴を一覧にしました。
| 製品名 | 特徴 |
|---|---|
| IIJフレックスモビリティサービス/ZTNA | リモート接続時に端末の状態を判断。感染端末の通信は自動遮断 |
| KAMOME SASE | 管理者用GUIから、社内アプリとSaaSへのアクセスを共通ルールで制御 |
| CYGIENE ECAP（サイジーン イーキャップ） | 利用者の通信を端末内で制御し、未許可のSaaSやWebサイトを遮断 |
| Cloudflare One | ZTNA・SWG・CASBを単一コンソールで管理。シャドーITも可視化 |
| GMOトラスト・ログイン | SSOと認証強化を提供。入社・異動・退職時のアカウント処理を支援 |
| Okta Workforce Identity | SSO・多要素認証・パスワードレスを提供。入退社のID管理を自動化 |
| Sophos MDR | 24時間365日、脅威の監視から調査・対応までを代行 |
| NTTドコモソリューションズのゼロトラスト型セキュリティサービス | 導入から運用まで支援。SOCが関連するセキュリティ運用を代行 |
| Micro Segmentation | 導入後の運用準備と、24時間365日の監視・対応まで依頼可能 |
| BizDriveゼロトラストセキュリティ | SOCによる運用代行を含む、設計から運用までのパッケージ |
| マネージドサービス for SASE Plus | SASE環境の運用監視サービス。SOCと専門エンジニアが運用を支援 |
日々の使い方で選ぶ製品
利用者の操作のしやすさや、管理者の運用負担に注目して、場面ごとに製品を紹介します。
IIJフレックスモビリティサービス/ZTNA
- 私物端末からのリモートアクセスを制御
- 端末のインターネットアクセスを制御してマルウエア感染を防御
- 感染端末からのアクセス通信をブロック
株式会社インターネットイニシアティブが提供する「IIJフレックスモビリティサービス/ZTNA」は、在宅勤務から社内システムへ接続する場面で使う、クラウド型のサービスです。接続する時間、場所、端末、セキュリティパッチの状態などは、裏側でリアルタイムに判断されます。管理者は、許可していない私物端末の接続を止めたり、感染が疑われる端末の通信を自動で遮断したりする運用を設定できます。強制VPN接続により、リモートアクセス中のローカル接続も禁止できます。
KAMOME SASE
- 既存環境を活かして段階導入できる国産ゼロトラストSASE
- オンプレ・クラウド・SaaSを統一ポリシーでアクセス制御
- 閉域網や拠点間通信もゼロトラストで安全に制御
かもめエンジニアリング株式会社が提供する「KAMOME SASE」は、管理者が一つの管理画面からアクセス制御を運用できる国産のゼロトラストSASEです。管理者用GUIでSaaSや社内アプリへの通信制御を設定でき、利用者用GUIではパスワード情報などを本人がセルフメンテナンスできます。オンプレミス・クラウド・SaaSを共通のルールで扱うため、接続先ごとに運用を分けずに済みます。運用の複雑さを抑える設計で、IT担当者が少ない企業でも続けやすい製品です。
Cloudflare One
- VPN不要のゼロトラスト(ZTNA)を既存環境と併用し段階的に導入
- SWG・CASB・DLP等の多層防御を単一画面で一元管理
- 世界125カ国330都市以上の拠点網が低遅延かつ高可用性を提供
TDI株式会社が提供する「Cloudflare One」は、日々の管理を一つのコンソールにまとめたい企業向けのSASEです。ポリシーの統合管理や、ログ・レポートの確認を、シングルコンソールで行えます。CASBによるSaaS設定の不備チェックやシャドーITの可視化で、クラウドサービスの利用状況を定期的に確認できます。リモート接続にはWARPクライアントを使い、認証後にトンネルが確立される流れです。
GMOトラスト・ログイン
- 多要素認証で不正アクセスを防止
- シングルサインオンで安全性と利便性を両立
- 条件付きアクセスで利用環境に応じた認証を実現
GMOグローバルサイン株式会社が提供する「GMOトラスト・ログイン」は、入社・異動・退職に伴うアカウント管理を効率化できるクラウド型のIDaaSです。ActiveDirectoryや人事マスタサービスとの連携により、新入社員のアカウント作成、異動時の権限変更、退職時のアカウント削除を進められます。利用者は1回のログインで複数のサービスにシングルサインオンでき、管理者は誰がどのアプリを使っているかを把握できます。FIDOやプッシュ通知によるパスワードレス認証も使えます。
Okta Workforce Identity
- リソースへのアクセスに必要な認証と認可を実施
- エンドポイントやネットワークセキュリティなどとも連携が容易
- ユーザーライフサイクル管理、APIへのセキュアなアクセスを提供
Okta Japan株式会社が提供する「Okta Workforce Identity」は、日々のログイン操作と入退社のアカウント管理の両方を支えるクラウド型ID管理サービスです。利用者はシングルサインオンと多要素認証で複数のアプリへスムーズにアクセスでき、パスワードレス機能も使えます。管理者は、人事システムと連携したLifecycle Managementのプロビジョニングにより、入退社や異動に伴うアカウントの作成・更新・停止を自動化できます。
Sophos MDR
- AIが平均89秒で自動対応し、迅速に脅威を抑止
- 350超の外部セキュリティツールと連携可能
- 人間のアナリストが最終判断を担い説明責任を確保
三信電気株式会社が提供する「Sophos MDR」は、警告への対応を自社で抱えきれない場合に、運用を任せられるサービスです。24時間365日体制で監視、調査、対応までを代行するため、夜間や休日の警告を管理者が一人で受け止める負担を減らせます。AIと専門アナリストが連携し、最終的な判断はアナリストが担います。エンドポイントからクラウドまで、幅広い対象が監視の範囲です。
NTTドコモソリューションズのゼロトラスト型セキュリティサービス
- AIにより巧妙化するサイバー攻撃に備えたセキュアな環境を構築
- 経済産業省が推進するSCS評価制度の★取得に向けた対策をサポート
- VPNレスで安全なアクセス環境を実現
NTTドコモソリューションズ株式会社が提供する「NTTドコモソリューションズのゼロトラスト型セキュリティサービス」は、日々の運用まで任せられるサービスです。SWGとEDRの導入に加え、運用支援としてSOCが関連するセキュリティ運用を代行します。Microsoft 365の設定支援やファイルの暗号化などは、オプションで追加できます。IT管理者の運用負担の軽減を掲げており、導入だけで終わらせず継続的な運用を重視する企業に向きます。
Micro Segmentation
- APIレベルでマイクロサービスの露出を低減。
- マルウェアがユーザーシステムやワークステーション間で拡散防止
- ワークロードの場所を問わず、一つのコンソールから操作可能。
株式会社ピーエスシーが提供する「Micro Segmentation」は、導入後の運用を専門チームに任せたい企業向けのマイクロセグメンテーションサービスです。運用準備ではアラートの整理や運用仕様の確定を支援し、運用では24時間365日の監視と、発生したセキュリティイベントへの対応を行います。定型的なエントリープランから調査・分析を行うエンタープライズプランまで、提供範囲の異なる3つのプランから選べます。
BizDriveゼロトラストセキュリティ （東日本電信電話株式会社）
- 必要な機能を柔軟に選択できる。
- テンプレート構成で手間いらずのソリューション組み合わせ。
- SOCによる運用代行でセキュリティ対策を提供し、運用負荷を軽減
マネージドサービス for SASE Plus （ＪＢＣＣ株式会社）
- クラウド型SASEにより柔軟な拡張性のあるネットワーク構築が可能
- セキュリティ&ネットワークを統合管理 一貫したセキュリティ運用
- SOCや専門エンジニアがセキュリティポリシー管理&運用をサポート
まとめ
ゼロトラストセキュリティの使い方は、利用者にとっては多要素認証や端末の登録、接続を拒否されたときの対処が中心です。管理者にとっては、アクセスルールの設定、ログの確認、入社・退職にあわせた権限の変更が日々の業務となります。日々の操作の負担は、製品の管理画面や人事システムとの連携の有無で変わります。運用体制にあうゼロトラスト・セキュリティ製品を選ぶため、資料請求で操作画面や運用支援の内容を比較してください。
