SSEとは何を指す言葉か
SSEは比較的新しい言葉で、同じ略語が別の技術や企業名を指す場面もあります。ここではまず、セキュリティ分野で使われるSSEの意味を確認し、すべてのアクセスを都度確認するゼロトラストの考え方との関係や、混同しやすい用語との違いを整理します。
クラウド側でまとめて提供されるセキュリティ機能群
SSEはSecurity Service Edgeの略で、日本語ではセキュリティサービスエッジと呼ばれます。調査会社のガートナーが定義した考え方で、Webアクセスやクラウドサービスの利用、社内アプリへの接続を守る機能を、クラウド上のサービスとしてまとめて提供する点が特徴です。機器を自社で設置するのではなく、サービスとして利用します。
従来は、社内に設置したファイアウォールやプロキシが同じ役割を担っていました。SSEでは、利用者の端末が社内を経由せず、最寄りのクラウド拠点に接続し、そこで検査と制御を受けます。端末がどこにあっても同じ基準でアクセスの可否を判断でき、機器の増設や更新といった作業を提供側に任せられる点も違いです。
同じ略語で呼ばれる別の技術との違い
SSEという略語は、Web開発の分野ではServer-Sent Events（サーバー送信イベント）を指すことがあります。こちらはサーバーからブラウザへ一方向にデータを送り続けるための仕組みで、通知や進捗の表示などに使われます。セキュリティのSSEとは全く別の技術のため、文脈で読み分ける必要があります。
このほか、社名や事業の略称としてSSEが使われる例もあります。社内で検討を始める際は、最初に「Security Service Edgeを指す」と共有しておくと、認識のずれを防げます。ベンダーに資料や見積もりを依頼するときも、正式名称を併記しておくと確実です。情報を集める段階でも、SASEやゼロトラストといった語を添えると、目的の情報にたどり着きやすくなります。
SSEを構成する主な機能
SSEは単一の製品名ではなく、役割の異なる複数の機能をまとめた領域を指します。中核となるのはSWG・CASB・ZTNAの3つで、これにクラウド型のファイアウォールやデータ保護の機能を加えて提供する製品もあります。ここでは主要な機能を順に見ていきます。
SWG：Webアクセスを検査して危険を遮断する
SWGはSecure Web Gateway（セキュアウェブゲートウェイ）の略で、利用者のWebアクセスを中継して検査する機能です。危険なサイトへの接続を遮断し、ダウンロードするファイルに不正なプログラムが含まれていないかを確認します。社外に持ち出した端末も同じ経路を通るため、検査の抜けが生じにくくなります。
従来は社内のプロキシサーバーが担っていた役割ですが、クラウドで提供することにより、装置の台数や設置場所に縛られません。暗号化された通信を復号して中身を調べる機能や、業務に不要な分類のサイトを制限する機能を備える製品も一般的です。遮断した通信の記録は、利用実態の把握や、社内ルールの見直しにも役立ちます。
CASB：クラウドサービスの利用状況を可視化する
CASBはCloud Access Security Brokerの略で、キャスビーと読みます。社員がどのクラウドサービスを使っているかを可視化し、許可していないサービスの利用を制限したり、アップロードするデータを制御したりする機能です。利用するサービスが増えた企業ほど必要性が高まります。
情報システム部門が把握していないサービスが業務で使われる状況は、シャドーITと呼ばれます。CASBは、こうした利用の実態を洗い出す用途でも使われます。許可したサービス内でも、ファイルの外部共有の設定や機密データの持ち出しを検知できる製品があり、業務を止めずに危険な操作だけを抑える運用が可能です。
ZTNA：社内アプリへの接続を必要最小限にする
ZTNAはZero Trust Network Accessの略で、社内アプリケーションへのアクセスを、利用者と端末の状態を確認したうえで、必要なアプリ単位に限って許可する仕組みです。従来のVPNのように、接続した時点で社内ネットワーク全体へ入れてしまうことがありません。
接続のたびに認証と条件の確認を行うため、認証情報が漏れた場合でも、侵入後に社内を探索される範囲を抑えられます。加えて、アプリケーションをインターネット上に直接公開せずに済むことから、攻撃者に見つかりにくくなる利点もあります。退職者や委託先の権限を素早く止められる点や、アプリごとに誰が接続したかを残せる点も、運用上の利点です。
SASEとSSEの関係と違い
SSEを調べると必ず登場するのがSASEです。両者は対立する概念ではなく、含む側と含まれる側の関係にあります。ここではSASEの定義を確認したうえで、SSEとの違いと、自社がどちらから着手すべきかを判断する材料を整理します。
SASEはネットワークとセキュリティを一体で提供する考え方
SASEはSecure Access Service Edgeの略で、ガートナーが2019年に提唱しました。SD-WANなどのネットワーク機能と、クラウド型のセキュリティ機能を一体のサービスとして提供し、拠点や利用者の場所を問わず同じ方針でつなぐという考え方です。
従来は、拠点間の回線は通信事業者、セキュリティ機器は別のベンダーというように、担当が分かれているのが一般的でした。SASEはこれらをクラウド上で束ね、通信経路の最適化とセキュリティの適用を同じ基盤で行うことを目指します。窓口が一つにまとまるため、障害時の切り分けや契約の管理も簡素にできます。拠点の新設や統廃合にも対応しやすい構成です。
SSEはSASEのセキュリティ部分を切り出した領域
SSEは、SASEの構成要素のうちセキュリティ機能だけを取り出した領域を指します。SWGやCASB、ZTNAはSSEに含まれ、SD-WANのようなネットワーク側の機能は含まれません。両者の違いは、ネットワーク機能まで含むかどうかにあると整理できます。
この切り分けにより、回線やネットワーク構成を変えないまま、セキュリティだけを先に刷新するという選択が取りやすくなりました。回線の契約更改を待たずに着手できるため、まずSSEを導入し、後からネットワーク側を見直す企業も少なくありません。拠点間の回線に大きな課題がない企業ほど、この進め方が向いています。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料を取り寄せて、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でゼロトラスト・セキュリティの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
境界型防御からSSEへ移行する理由
多くの企業は、社内と社外の境目に機器を置いて守る境界型防御を採用してきました。社内に入れば信用するというこの前提が、いまの働き方に合わなくなってきた理由を押さえると、SSEを導入する目的と得られる効果がはっきりします。
VPNへの集中による遅延と運用負荷
社外の端末からクラウドサービスを使う場合でも、いったん社内のVPN装置を経由する構成では、通信が一か所に集中します。利用者が増えると装置の処理能力が上限に達し、会議の音声が途切れる、ファイルの送受信に時間がかかるといった不具合が起きます。
SSEでは、端末が最寄りの接続拠点でそのまま検査を受けるため、社内を折り返す必要がありません。利用者の増加に合わせてVPN装置を増設したり、回線の帯域を追加したりする対応に追われにくくなります。VPN機器の脆弱性を悪用した侵入も報告されており、インターネットに公開する機器を減らせる点も、移行を後押しする理由の一つです。
守るべき対象が社内の外へ広がった
業務データがクラウド上に置かれ、社員は自宅や出先から直接アクセスします。この状況では、社内ネットワークの出入口だけを監視していても、実際に行われている業務の大半を把握できません。記録の抜けは、事故が起きたときの調査を難しくします。
SSEは、利用者と端末を起点に制御するため、接続元の場所に左右されません。誰が、どの端末から、どのサービスで、どのデータを扱ったかを一つの基盤で記録でき、複数の機器にログが分散していた状態と比べ、調査や監査の際に情報を集めやすくなります。委託先へ貸与した端末も同じ方針で扱えるため、管理の対象から抜け落ちる範囲を減らせます。
SSE導入を進めるときの手順
SSEは、既存の仕組みをすべて一度に置き換える必要はありません。現状を把握し、効果の大きい範囲から段階的に移すのが現実的です。ここでは進め方の流れと、製品を比較する際に確認しておきたい観点を紹介します。
現状の棚卸しと優先順位づけ
最初に行うのは、いまの通信経路と利用しているクラウドサービス、社内アプリケーションの洗い出しです。どの通信がVPNを経由し、どの機器がどの検査を担っているかを図にすると、置き換える範囲と当面残す範囲、そして誰が使っているのか分からない経路が見えてきます。
そのうえで、遅延の申告が集中している業務や、機密データを扱う部門など、効果が出やすい範囲から着手します。既存機器の保守期限や回線の契約更改の時期とあわせて計画すると、新旧の費用が重なる期間を短く抑えられます。利用者への周知の方法や、つながらないときの問い合わせ窓口も、あらかじめ決めておきましょう。
製品を比較するときに確認したい観点
比較の際は、まず必要な機能がそろっているかを確認します。SWG・CASB・ZTNAのどこまでを一つの管理画面で扱えるか、既存のID管理基盤や端末管理の仕組みと連携できるかは、日々の運用の手間を大きく左右します。足りない機能を別製品で補う場合は、管理画面が分かれる負担も見ておきましょう。
あわせて、接続拠点が国内にあるか、通信品質や稼働率に関する取り決めが公開されているか、ログの保存期間と取り出し方はどうかも確認しましょう。試験導入で実際の業務端末から速度と使い勝手を測り、社内の合意を得てから対象範囲を広げると安全です。料金が利用者数と機能のどちらで決まるかも、数年先までの費用の見通しに影響します。
「自社に合うゼロトラスト・セキュリティを診断してみたい」、「どんな観点で選べばいいかわからない」という方向けの診断ページもあります。
ITトレンドで過去資料を請求した方の、リアルなお悩みや要望から作成した簡単な質問に答えるだけで、最適な製品・サービスをご案内します。
無料で今すぐ利用できますので、下のリンクから診断を開始してください。
SSEの機能を担う主なクラウドサービス
SWG・CASB・ZTNAといったSSEの中核機能を、クラウド型のサービスとして提供している製品を取り上げます。いずれも社外の端末からのアクセスを利用者と端末の状態にもとづいて制御できるもので、VPN中心の構成からの移行を検討する際の比較対象になります。
IIJフレックスモビリティサービス/ZTNA
- 私物端末からのリモートアクセスを制御
- 端末のインターネットアクセスを制御してマルウエア感染を防御
- 感染端末からのアクセス通信をブロック
株式会社インターネットイニシアティブが提供する「IIJフレックスモビリティサービス/ZTNA」は、ゼロトラストの考え方にもとづくクラウド型のリモートアクセスサービスです。接続する時間や場所、利用する端末、セキュリティパッチの適用状況などを評価し、社内データへのアクセスを制御します。あらかじめ許可した端末だけに利用を限定できるほか、端末のセキュリティソフトが検知した脅威の状況に応じて、該当端末からの通信を自動で遮断する仕組みも備えています。
NTTドコモソリューションズのゼロトラスト型セキュリティサービス
- SWG・EDR・ZTNA等のサービス導入から運用まで丸ごとお任せ
- VPNやオンプレ環境から脱却、セキュアなクラウドシフトを支援
- M365 やAIPといった周辺環境まで支援可能
NTTドコモソリューションズ株式会社が提供する「ゼロトラスト型セキュリティサービス」は、導入から運用までをまとめて任せられるクラウド型のセキュリティサービスです。インターネットアクセスを検査するSWG、端末を監視するEDR、社内システムへの接続を制御するZTNAを組み合わせ、VPNに依存した環境からの移行を支援します。端末管理や多要素認証による本人確認、ファイルの暗号化、Microsoft 365の設定支援、SOCによる運用監視にも対応しています。
ZscalerInternetAccess （ゼットスケーラー株式会社）
- 全トラフィックを検査し、高度な脅威を阻止します。
- クラウドで高速・場所を問わない一貫したセキュリティ
- 従来の機器を置き換え、ネットワーク構成と運用を簡素化
CloudflareAccess （Cloudflare Japan株式会社）
- あらゆる環境で最小権限アクセスを適用し、侵入拡大を防止。
- グローバルエッジでVPN不要の高速・信頼性リモート接続を実現。
- 柔軟なアクセス制御機能で多様なプロトコルに対応。
まとめ
SSEは、Webアクセスやクラウドサービス、社内アプリへの接続を守る機能を、クラウド側でまとめて提供する仕組みです。中核となるのはSWG・CASB・ZTNAで、ネットワーク機能まで含めた考え方がSASEにあたります。境界型防御では守りきれない働き方に対応する手段であり、ネットワーク構成を変えずに着手できる点が利点です。まずは現状の通信経路を棚卸しし、効果の大きい範囲から段階的に移行しましょう。複数の製品の資料を取り寄せ、機能の範囲と既存環境との連携を比べたうえで選定を進めてください。
