ランサムウエアをはじめとするサイバー脅威が猛威を振るう中、もはや「ファイアウオールに守られた社内環境は安全」という従来の常識は通用しない。代わりに、現在のセキュリティー対策の主流になっているのが「ゼロトラスト」だ。あらゆるユーザー、デバイス、接続元のロケーションを信用せず、都度、認証・認可を行う。データやアプリケーションへのアクセス時に正当性や安全性を確かめることで、脅威の侵入を防ぐアプローチである。
ゼロトラストを実現する手段として、SASEの導入が進んでいる。
「ご存じの通り、以前は社員の通信を本社やデータセンターに集約し、そこでセキュリティー対策を実施する『境界型セキュリティー』が主流でした。しかし、クラウドサービスの利用増加やリモートワークの普及により、アクセス元・アクセス先ともに分散し、従来の境界の概念は成り立たなくなっています。また、すべての通信をデータセンターに集約する構成のままでは、回線の逼迫が発生し、ネットワーク効率の低下が課題になります。そこで、ユーザーに近い端末側でセキュリティーを適用する新たな仕組みであるSASEへの移行が進んでいるのです」とインターネットイニシアティブ（以下、IIJ）の吉川 義弘氏は説明する。
ただ一方で、SASEの効果を引き出せている企業・組織はまだ多くない。直面しているのが、「効果を持続させることの難しさ」だ。
実際、IIJにも「ソリューションは導入したものの運用が大変だ」「使いこなせるか不安」「専任人材の確保が難しい」といった声が多く寄せられているという。当然ながら、SASEは仕組みを構築しただけでは不十分で、継続的に運用する中で価値を発揮するものだ。国内企業が対応を求められるセキュリティー対策評価制度や各種ガイドラインでも「運用され、継続できているか」が重視されている。
この状況が起こりがちな理由として、吉川氏はまず「製品ありきの導入」を挙げる。
「SASEソリューションと銘打ったグローバル製品は多くありますが、それらを導入しただけでゼロトラストを具現化できるわけではありません。先んじて『自社が守るべきものは何なのか』をしっかり考えることが大切です。ここがおろそかになり、SASE製品の導入が目的化してしまうと、導入したものの今一つ効果が出ないといった状況が生まれます」と吉川氏は指摘する。
また、SASE製品が多機能であることも運用を難しくしている要因だという。
SASE製品はネットワークとセキュリティーという2つの機能を備えている。ネットワーク機能には「SD-WAN（Software-Defined Wide Area Network）」、セキュリティー機能には「SWG（Secure Web Gateway）」「CASB（Cloud Access Security Broker）」「FWaaS（Firewall as a Service）」「ZTNA（Zero Trust Network Access）」などがある。
「従来のITシステムでは、これらの機能群はそれぞれ違う製品が担っており、個別に導入・運用すればよいものでした」と吉川氏。複合的な機能を持つSASE製品では、管理が煩雑化しがちなほか、機能間でポリシーの統制・整合を保つことも難しくなる。また海外製品が多いため、英語のインタフェースやマニュアルを読み解く負担も現実問題として存在する。ただでさえ山のような業務を抱えている情報システム部門が、このような難しさをはらんだシステムを運用していくことは困難だ。
クラウドサービスの利用拡大、リモートワークの普及など、社員のワークスタイルが変化し続ける中、ビジネスを支えるシステムは日増しに多様化・複雑化している。状況に応じたセキュリティー対策を継続的に見直し、運用していくことの負担は年々増大している。
「また、日本企業の構造的な問題として、CISO直下のセキュリティー管轄部門と、日々の運用を担う情報システム部門の連携不足もSASE運用の障壁といえます」と吉川氏は続ける。セキュリティー部門は組織全体を守ることをミッションとする。情報システム部門は現場のニーズを受けて、業務に最適なシステムの提供を考える。この両者の連携がとれていないと、組織全体の安全性を重視するあまり、業務の生産性に直結する通信品質などの利便性を損なうといったアンバランスな状態が生じる。これにより、「使いたいクラウドサービスにつながらない」「リモートワーク環境だと生産性が上がらない」といったことが常態化してしまう。
例えば欧米では、セキュリティー部門と情報システム部門は役割が明確に分けられており、両者の業務の優先順位が衝突することを前提に、共通の目標やプロセスで連携させる仕組みが設計されている企業もある。そのため、組織全体の安全性と現場の利便性のバランスを取りながら運用されやすく、「つながらない」「使いづらい」といった不満が構造的に発生しにくい状況がつくられている。
現在は中小企業でもSASEの導入が進みつつある。そのような企業では、そもそも全社のセキュリティーを管轄する部門を持たないケースも多くみられる。情報システム部門自身が最新のセキュリティー動向をチェックして抜け・漏れがないよう運用を設計し、ユーザーの利便性とのバランスもとりながら自ら運用を回すといった状況になるため、SASEの運用負荷は大手に比べて高まりがちだ。
「この状態では、従業員の生産性や満足度が低下します。最近は、こういった内容を可視化するDEX（Digital Employee Experience）という考え方も出てきています」（吉川氏）
ITツールやシステムの利用体験は、応答速度やネットワーク遅延といった客観データだけでなく、「遅い」「切れやすい」といった主観的な評価も含めて把握することが重要だ。現状を可視化して改善する。その積み重ねが、従業員の生産性や満足度の向上につながる。
リモートワーカーの増加を1つのきっかけとして生まれたSASEでは、安全性はもちろん、ネットワークの接続性や安定性も同様に重要なものと位置付けている。どんなに安全でも、ユーザーが快適に仕事できないようでは、実効性のあるSASEといえないだろう。環境構築に当たってはこのことも強く意識すべきだ。
これらの課題を解決し、SASEの価値を引き出す運用を実現するためにはどうすればよいのか。
「やはり『SASE製品なら何でもよい』ではなく、製品選定段階で『使いやすさ』や『管理のしやすさ』といった運用に関わる指標を評価基準に加えて精査することは重要です。その上で『自社が守るべきものは何なのか』に立ち返り、機能の優先度を付けます」と吉川氏は述べる。また、必要と決めた機能も、すべてを一度に導入すると運用の現場が混乱しがちになる。そのため優先度の高い機能から段階的に導入していき、徐々になじませていくのがお勧めだという。
導入後の運用体制を整えておくことも必要だ。セキュリティー管轄部門と情報システム部門間でコミュニケーションをとり、歩調を合わせて対応できるようにする。これについてIIJでは、両部門のメンバーおよび現場部門のメンバーなどが参加する、全社横断型のCCoE（Cloud Center of Excellence）をつくることを推奨しているという。
セキュリティーだけでなく、可視化に基づく利用者体験の改善を両立するSASEの運用ができれば、その組織の社員は「セキュアな状態で」「いつ・どこでも快適に働ける」状態になる。こうした取り組みはDEXの考え方にも通じ、組織の生産性向上につながる。
ここまで、SASEの運用に焦点を当て、セキュリティーと利用者体験を両立し、継続的に改善していく重要性について見てきた。
しかし、AIの普及によってサイバー攻撃はより高度化・高速化しており、被害を完全に防ぐことは難しい。こうした前提に立つと、セキュリティーを高めて防ぐ観点だけでなく、被害を受けた後の影響を抑え、迅速に回復する「レジリエンス」という観点も、SASEの運用を回し続ける中であわせて考えていく必要がある。
「当社はこれまで、ゼロトラストを実現する様々な自社製品の提供に加え、お客様の導入・運用支援にも数多く携わってきました。外部環境の変化やセキュリティー上のトラブルに悩むお客様に寄り添いながら取り組む中で、日本企業のシステム運用におけるリアルな課題を実感してきたと考えています。SASEは単なる製品ではなく、運用のあり方そのものです。求められるのは最新機能の導入ではなく、自社に合った形で継続的に改善し続けられる環境を整えていくことにあります。さらに、セキュリティーの向上に加え、利用状況や従業員体験を可視化しながら運用を改善していくことが、SASEの価値を引き出す鍵となります」（吉川氏）
IIJが目指すのは、「入れたら終わり」のSASEではない。目指すのは、セキュリティーの強化に加え、DEXの考え方も踏まえた利用者体験の可視化と継続的な改善を通じて、生産性や満足度の向上につなげていくこと。そして、障害やインシデント発生時にも業務を止めないレジリエンスを実現する運用である。
「ネットワーク、セキュリティー、そして運用を一体で支えることで、導入して終わりではないSASEの実現を目指していきます」と吉川氏は強調する。
実効力のあるSASEの実現に向けて悩む企業は、一度IIJに相談してみることをお勧めする。
