新たなセキュリティモデル「SASE」とは？ゼロトラストとの関係や導入時の注意点を解説

昨今のサイバー攻撃は、標的型攻撃やネットワーク機器の脆弱性を突く攻撃ばかりでなく、サプライチェーン攻撃や内部不正などと多様化しています。クラウドサービスの普及やリモートワークが進んでいる背景もあり、従来のセキュリティモデルに沿ったままでは相対的に対策不足となってしまいます。このような情報セキュリティの現状から、注目されているセキュリティモデルが「SASE」です。この記事では、SASEとはどのようなものなのか、ゼロトラストとの関連性も含めて解説します。

SASE（Secure Access Service Edge／サシー、サッシー）とは、クラウド上でネットワーク機能とセキュリティ機能を統合させる手法です。2019年に、IT分野のマーケティングやコンサルティングを行っている米ガートナー社によって提唱されました。なお、SASEは1つの製品ではなく、いくつかのネットワークやセキュリティの製品・サービスを組み合わせたものです。

「SASE」の概念が生まれた背景

かつてのセキュリティ対策は、組織の内部と外部を分け、外部からのアクセスに対してセキュリティ対策を行う「境界型モデル」が主流でした。社内のネットワークと社外のインターネットとの間にファイアウォールなどのセキュリティ対策を施し、社内のネットワークを保護する、という形です。
しかし昨今では、テレワークが普及したことでクラウドサービスが広く使用されるようになったため、セキュリティ面でも社内外の境界が曖昧になっています。また、サイバー攻撃のなかには内部の不正から起こるケースもあります。

従来の境界型モデルではサイバー攻撃を防げなくなったことから、複数のネットワークとセキュリティの機能を包括したセキュリティモデルが考案されました。それがSASEと関係のある「ゼロトラストセキュリティ」です。

SASEは、ゼロトラスト・セキュリティモデルの考え方を実現するものと考えることができます。

ゼロトラスト・セキュリティモデルとは

ゼロトラスト・セキュリティモデル（以下、ゼロトラスト）とは、「どの通信も信用しない（Zero Trust）」を原則としてすべての通信を確認するという方針です。従来の境界型モデルとは、ネットワークの内部と外部を区別しないという点で異なります。

参考コラム：ゼロトラストとは？意味・定義と境界型セキュリティとの違い

SASEは、ゼロトラストを実現させるための手法です。

SASEを構成する製品やサービスは、デバイス保護やネットワークセキュリティなど複数あります。セキュリティのサービス部分の3機能を担う中心はCASB、SWG、ZTNAです。

CASB（Cloud Access Security Broker）

CASBは、クラウドサービスの利用を監視・制御する考え方やサービスを指します。例えばクラウドサービスの利用状況の可視化、利用禁止となっているクラウドサービスへの通信の遮断やアラートの通知、通信の暗号化やデータの保護などの機能を有します。

SWG（Secure Web Gateway）

SWGは、社外ネットワークへのアクセスを安全に行うためのプロキシです。プロキシとは、アクセスを代理で行うシステムのことです。SWGの機能としては、エンドポイントから社外ネットワークの間を流れる通信の検査、ITアドレスの匿名化、仮想の閉域環境でアプリケーションの挙動を確認する「サンドボックス」などがあります。

ZTNA（Zero Trust Network Access）

ZTNAは、ゼロトラストの考え方に基づいたネットワークアクセスの方法です。ID／パスワード認証に生体認証やSMS認証などを組み合わせる多要素認証や、ユーザーのアクセス権限を最低限にする、端末の信頼性をスコア化してアクセス制限をかけるなど、認証や権限に関しての機能を有します。

SD-WAN（Software Defined - Wide Area Network）

SD-WANは、ネットワークをソフトウェアで制御する技術「SDN（Software Defined Networking）」をWANに適用したものです。複数の拠点間のネットワークをソフトウェアで管理できます。

FWaaS（FireWall as a Service）

FWaaSは、クラウドサービスとして提供されるファイアウォールです。通常のファイアウォールは、ネットワークの境界に設置されます。それに対し、FWaaSはリモート環境やモバイルからの通信、クラウドサービスと外部インターネットとの通信など、異なる場所やサービスの通信を同じセキュリティ設定に基づき保護します。

SASEを導入するメリットは、有効なセキュリティ対策を施せること、運用負荷・コストを軽減できる可能性があることです。

セキュリティ対策を強化できる

SASEを導入するメリットの1つは、クラウドサービスやテレワークの普及というように、変化したネットワーク環境に適応したセキュリティ対策を実施できることです。
またSASEはクラウドサービスとして提供されるため、セキュリティ対策の技術面はクラウドサービス提供側が担うこととなります。サービスを受ける側としては、最新のサイバー攻撃に対しても自動で対応されること、拠点ごとではなく組織全体でセキュリティ対策を施せることがメリットとなります。

セキュリティポリシーを統合できる

一般に、複数のシステムが同時に稼働する環境では、セキュリティポリシーを統合することが難しくなります。SASEであれば、さまざまな場所や時間からのアクセスにも同じセキュリティポリシーを適用することが可能です。

運用コストの削減につながる

オンプレミス環境の場合、UTMなどの機器を設置する必要があり、機器の購入や交換、保守などの運用コストが発生することが課題となります。
一方でクラウドサービスの場合には、通信量の増加によってスケールアップ／スケールアウトが自動化でき、比較的短時間での対応が可能です。オンプレミスよりも運用コストが削減されることが見込めるのです。

運用・管理の負荷を低減できる

SASEの導入は、システム運用者にとってもメリットがあります。SASEはクラウドサービスのネットワークとセキュリティのサービスを用いるため、ネットワーク構成やセキュリティ管理を一元化できます。個々のデバイスの監視が不要となるため、運用者の負荷軽減が可能となるのです。

SASEを導入する際には、部署間の調整が必要です。部署ごとにセキュリティ対策が異なっていた場合には、それぞれヒアリング等の調査を行い、必要な機能を選定することになります。社内ニーズに対応できるよう、SASEの機能やカスタマイズ性を確認しておくことも必要でしょう。

またSASEはクラウドサービスとして提供されるものであるため、ネットワーク障害が発生すると業務全体に影響が出る恐れがあります。SASEを導入する際には、サービス提供側の導入実績・信頼性を確認しておくことがポイントとなります。

アクセリアでは、サイバーセキュリティ対策に係るさまざまなサービスを他社にない包括的なラインナップのサイバーレジリエンスソリューションとしてご提供しています。
サイバー攻撃やシステム障害による機会損失のリスクを最小化するだけではなく、顧客のUX（User Experience）を高め、収益機会を最大化するための最適なサービスを、お客様の課題に合わせて提供することができます。

お困りのことがありましたら、まずはご相談ください。