イノベーション、クラウド活用の裏に潜むリスクを見つけだし、次世代のセキュリティー戦略「ゼロトラスト」で先回りして防御する

（2024年04月現在）

自身の専門分野とプロフェッショナル職の活動について

クラウド推進の裏に潜むセキュリティーリスクを見逃さず、一歩先を予測する

　私が所属している部署では、ソリューションの企画、開発から導入時の要件定義、コンサルティングまで、多岐にわたる活動を行っており、さまざまな最新のテクノロジーを用いて、お客さまのビジネス推進を支援しています。その際に欠かせないのが、クラウド、プラットフォームを支えるネットワークやセキュリティーであり、当本部は特にクラウド・セキュリティーの領域をさらに大きな柱にしようと注力しているところです。

　私がクラウド・セキュリティーに携わるようになった背景には、JSOLに入社する前、ある商社に勤めていたことが関係しています。その商社では、最初はプリセールスとして当時の最先端技術の製品を用いて、大学や官公庁向けシステムを担当していました。

　しかしお客さまへ最新技術を活用したシステムを提案することを積み重ねていくうちに、新しい技術そのものに興味が湧き、エンジニアに転身してハイエンドのサーバーシステム、仮想基盤や情報系システムであるWeb、メール、DNS、DHCP、認証などのネットワーク関連、アイデンティティー関連のセキュリティー製品を扱うようになったのです。

　JSOLに移った後は、そこで培ったバックボーンをもとに、セキュリティー市場におけるシーズの創造や社内の人材育成、チーム、組織の形成など、認定プロフェッショナルとしてセキュリティーに関わるさまざまな領域を担当しています。

　一口に「クラウド・セキュリティー」といっても、その範囲は非常に広大です。SaaSの利用拡大により、ITに関わるシステム全般がクラウド化した結果、クラウド・セキュリティーのカバーエリアはIT領域全体へと広がりました。それを受けて、セキュリティーの考え方も大きく変わったのです。そこで注目されたのが「ゼロトラスト」でした。

　ゼロトラストとは、「信頼しない」ことを前提にした考え方です。従来、企業のセキュリティーは、「社内（信頼できる安全なエリア）」と「社外（信頼できないエリア）」の間に境界を置き、内側をしっかり守ることで安全性を担保するという境界型セキュリティーでした。しかし社外のサービスであるクラウドを積極的に利用するとなれば、境界型セキュリティーでは限界があります。

　そこで社内も社外も同様に信頼できないものとして、すべての通信、デバイス、ユーザーなどを対象に包括的なセキュリティー対策を施そうというゼロトラストが登場したのです。

　コロナ禍以降、リモートワーク、テレワークが浸透し、従業員が自宅などで業務を行うケースが急激に増える中、ゼロトラストは、ネットワーク通信のボトルネックを解消し、セキュリティー対策が施された環境で「いつでもどこでも仕事ができる」という新しい働き方にもマッチしていました。
　
　また、グループ会社や海外の関連会社との連携、異業種とのコラボレーションなども広がり、企業の垣根を越えた情報共有やコミュニケーションを図るためには、安全にクラウド利用を推進することが求められました。
　
　ただ、クラウドを先駆けて導入した企業には苦労もありました。例えば、オンプレミスでシステムを構築する場合は自社のセキュリティー基準に対応させるのは容易でしたが、外部サービスであるクラウドにシステムを構築していくとなると、自社のセキュリティー基準を見直し、クラウドの特性にそった対応が必要です。その際、「このクラウドサービスのセキュリティー対策に問題はないのか」「このクラウド業者は信頼できるのか」など、利用するサービスの透明性を高めて、リスク管理できる状態にすることが重要です。

　クラウドの導入が容易になった影響で、IT部門を介さず、現場部門とベンダーが直接交渉して導入するケースも増え、IT部門で管理や把握ができていない「シャドーIT」が発生する事例も見受けられるようになりました。

　すなわち、新しいクラウドサービスの活用法が増え、利便性が高まる一方で、想定外のリスクが生じるようになったのです。クラウド・セキュリティーを専門とする私としては、これからますます「将来を予測し、一歩先、二歩先に起こり得ることを想定して備える」ことが重要になると考えています。

現在の課題や注力している取り組みについて

クラウドと企業の未来を見据えつつ、ゼロトラストの推進を

　以前は、ITに関するセキュリティーと言えば「サイバー攻撃対策」「情報漏えい対策」といった防御を前提とした対策がほとんどでした。しかし、最近では「ビジネスを安全に行うために不可欠なもの」ととらえるお客さまが増えています。ゼロトラストについても、ビジネスとは切り離せない「次世代の包括的なセキュリティー戦略」という認識が広がっていると感じています。

　ゼロトラストを実現する具体的な手段として、2019年にはガートナーから「SASE（Secure Access Service Edge）」というネットワークセキュリティーモデルが提唱されました。これは、SD-WANやFWaaS（Firewall as a Service）、CASB（Cloud Access Security Broker）、SWG（Secure Web Gateway）、ZTNA(Zero Trust Network Access)などの製品をまとめたモデルで、ユーザー企業は個々のソリューションを組み合わせて利用していました。
　
　当時のSASEは、単一製品で完全にカバーできず、個々のソリューションの選定や導入、構築の負荷が高いことから、2021年新たにSSE（Security Service Edge）も提唱されました。SD-WANなどネットワーク関連の製品を別に扱う代わりに、セキュリティー関連の機能をまとめ、導入しやすくしたものです。なお、2023年は、Single Vender SASEへと進化を遂げたSASEプロバイダーが増え、ネットワークとセキュリティー機能を単一のクラウドサービスに統合が可能になり、運用管理性の向上やコストの最適化が図れるようになってきました。

　SASEにしろSSEにしろ、ゼロトラストはビジネスと切っても切り離せないものであるため、従来のセキュリティー製品とは違った提案になります。JSOLでは、コンサルティングから選定、システム導入、運用まで、一貫した枠組みでご提供できるようにしています。

　ゼロトラストの仕事として特徴的なのは「ITとセキュリティーをビジネスの実現要因に変える」だと思います。以前は、既存のセキュリティー製品をお客さまにご提案する個別のセキュリティー対策が中心でしたが、ゼロトラストの場合はその前の企画段階で「技術を適用することが重要ではなく、人、プロセス、組織に焦点を当てる」ということが重要だと考えています。
　また、ゼロトラストは、セキュリティー主導の取り組みだけで行うことはできず、セキュリティープラットフォーム上で業務システムが稼働することになるため、「業務システムが正しく機能するか」という確認作業も必要です。そのため、業務部門や業務システムの開発部門とも連携を取りながら、一体となってプロジェクトを進めるのもゼロトラストならではの難しさと言えます。

　ゼロトラストのソリューションは、アクセス管理、デバイスやユーザーの認証、ネットワークなど、さまざまな機能を持つ製品が組み合わされて構成されます。お客さまのビジネスや事業形態、課題観にあったセキュリティー、さらに世の中の動向、これから普及すると見込まれる最新技術、セキュリティーのトレンドなどを踏まえて、ロードマップを描き、長期戦略のため、優先順位を付けて対応にあたります。

　ソリューションの導入では、順番や組み合わせが重要です。2019年ごろにSASEのソリューションを導入した時は苦労が多くありました。個々の製品もまだ成熟しておらず、組み合わせて動かしてみると、要件どおりに機能しないこともたびたびあり、複数の糸を針の穴に通すような設計、調整など、苦労を乗り越えながら、いくつものソリューションを導入し多くのノウハウを蓄えてきました。

　こうした中、JSOLではゼロトラスト導入の負担を軽減するために、「業界ごとにゼロトラストのフレームワークを整備しよう」と取り組んでいます。例えば、金融業界向けに、業界ならではの業務に沿った形でのゼロトラストの在り方、ソリューションの選び方、導入の進め方、標準化、運用を見越した考え方などをまとめた取り組みをご提示しています。また、製造業関連の一例として、一般社団法人日本自動車工業会のセキュリティーガイドラインに沿った形でゼロトラストが導入できるよう支援する取り組みも始めました。

もっと見る