2020年4月に新型コロナウイルス感染症による緊急事態宣言が発令されて以来、企業の活動環境は大きな変革を迫られる事になった。“東京五輪も控え、テレワークを推進する必要がある”という漠然とした状態から、テレワーク中心の勤務環境へと急激なシフトが求められることになった。
宣言解除後も流れは継続し、デジタル技術による企業活動空間である「デジタルワークプレイス」の推進に拍車がかかっている。これまでのオフィスを中核とした企業活動からの移行が、コロナ禍を経てもますます進むと考えられる。
多くの企業がコロナ禍以前から働き方改革を進め、テレワークを実現する仕組みや体制を整えてきたが、それはあくまでも中核にオフィスがあり、それを補完したり、例外的な条件に対応したりするための処置であった。そのため、急速に「全従業員がテレワーク化」する事態は想定できておらず、多くの企業で「設備資源の枯渇」が発生している。本連載では、顕在化したセキュリティプラットフォームの課題とその解決について解説する。
企業のICT環境に顕在化した2つの問題
コロナ禍によって突発的に発生した全従業員テレワーク化は、企業のIT環境に大きく二つの問題を顕在化させている。
- 仮想私設網（VPN）接続、仮想デスクトップ基盤（VDI）環境の通信処理の負荷増大
- オフィス外でのクラウド利用規程や環境整備の不足
一つ目の問題は、企業ネットワークが “インターネット環境は信頼されないネットワークで危険な外部、企業内のLANやWANは信頼される安全な内部”と定義された境界型ネットワークでほぼ例外なく構成されることに起因している。たとえデジタルワークプレイスによるテレワークが推進されたとしても、境界型ネットワークの構成ルール上、信頼される安全な内部ネットワークに従業員をいったん収めなければならない。
一般的に内部、外部ネットワークの境界分離は、ファイアウォールで定義された通信ポリシーの実装で実現している。在宅業務の従業員を仮想的に安全な内部に収めるため、企業の多くはVPNを用いたオフィスへの接続環境を準備していたはずである。
しかし、VPNを用いたオフィスへの接続環境はあくまでも例外的な条件に対する施策で、そのキャパシティは全従業員を想定していない。突発的に発生した全従業員テレワーク化で多くの企業が通信帯域やセッション上限逼迫に見舞われ、VPN、VDIの設備資源枯渇という状況に陥った。
安全な内部ネットワークにVPNで接続しなければ在宅勤務で業務を遂行できないが、従業員間でのVPNセッションの取り合い、回線帯域の圧迫などが発生するというジレンマがあり、オフィス同様の業務遂行の困難さを感じた人も多いだろう。現在でも、リソースの逼迫を打開するために緊急的に設備拡張を行っている企業も多いのではないだろうか。
二つ目の問題は、シャドーIT化のリスクと自由なクラウド利用を認めない社内規程重視のため、時間がかかるというものだ。
多くの企業は既にクラウド上に業務基盤を構成したりクラウドサービスを利用したりしている。いったん社内ネットワークに収容するのでなく、直接インターネットから利用させてしまいたいはずだ。クラウド上に構成した業務基盤やクラウドサービスを利用できれば、在宅勤務者がいったん企業のオフィスに接続することなく直接クラウド環境に接続する方が効率的である。
しかし、各企業は情報セキュリティのポリシーや規程でセキュリティを統制している。ファイアウォールで実現する環境は安全な内部ネットワークからの利用を前提とするケースも少なくない。
VPNの設備増強が追いつかず、各従業員が安全な内部ネットワークからでなく直接インターネットからクラウドを利用してしまうと、各企業は、どのクラウド環境に、どのような情報を、いつ、誰がアクセスしたのかコントロールできなくなる。情報セキュリティ上の統制が失われ、従業員のテレワーク環境そのものがシャドーIT化してしまう。
このコロナ禍を契機に、社内規程の改訂、例外申請承認プロセスの新設、従業員貸与端末を制御する新たなアプリなど、急遽の対応に迫られている企業も多い。だが、現在の境界型ネットワークを前提、維持しようとするならば、クラウド利用であっても従業員の業務上の通信を安全な内部ネットワークに収容しなくてはならない。そうしなければ情報セキュリティ上の統制が保てないのである。
