2020年、「ゼロトラスト」は理論から実践のフェーズへ アカマイが提供するクラウドシフトに即したセキュリティ基盤とは

働き方の変化や脅威の高度化に対応できていない

　企業などの組織における情報セキュリティは、これまで組織ネットワークを外部の脅威から守ることに主眼を置いた、いわゆる「境界型セキュリティ」が主流だった。しかし近年、そのあり方が課題となりつつある。

　その要因の一つは、人々の働き方が変わりつつあること。最近ではリモートワークなどで組織ネットワークの外、すなわち境界型セキュリティに保護されていない環境で仕事をするユーザーが増えている。

　また、ビジネスを加速させるためコア事業以外の業務を社外リソースに依存するアウトソーシングも広まっており、結果として以前なら社員のみが利用していたシステムを外部ユーザーが利用する場面も増えてきた。こういった環境では境界型セキュリティの範囲外にある端末が多く、脅威にさらされる場面も必然的に増える。

アカマイ・テクノロジーズ
マーケティング本部
シニア プロダクト マーケティング マネージャー
金子 春信氏

　さらに、組織ネットワークの内外を行き来する端末を介して、正当なユーザーの手によって、脅威が知らず知らずの間に組織内へと持ち込まれるリスクも高まっている。そもそもクラウドアプリケーションの活用が一般的となり、境界型セキュリティの適用が難しくなってきているという事情もある。

　加えて、もう一つの要因である組織を狙うサイバー攻撃の動向も、今までより高度なセキュリティを必要とする状況になってきた。単に攻撃の数が増加し続けているだけでなく、高度な手口を駆使して情報やカネを得ようとする組織的な活動が主流となっているのだ。

　「境界型セキュリティは、今や崩壊しつつあります。だとしたらすべてが信用できない前提で、あらゆる対象を検査しなければいけないのではないか。そういった考えから、ゼロトラスト・セキュリティの概念が出てきたのです」と、アカマイ・テクノロジーズ マーケティング本部 シニア プロダクト マーケティング マネージャーの金子春信氏は語る。

　とはいえ、ゼロトラスト・セキュリティ自体が目的となるわけではない。標的型攻撃への対策、働き方改革のセキュリティ強化、サプライチェーンのセキュリティ強化、マルチクラウド環境の活用などビジネスを進めるために、ゼロトラスト・セキュリティは手段として実践するものだ。

ゼロトラスト・セキュリティは目的ではなく「手段」
※クリックすると拡大画像が見られます

組織ネットワークの内外を問わず端末を保護

　アカマイは2017年から、このゼロトラストの考え方に基づいたエンタープライズセキュリティソリューションを提供している。それが、「Enterprise Application Access」（以下、EAA）と、「Enterprise Threat Protector」（以下、ETP）、いずれもクラウドベースのソリューションだ。

　EAAは、アプリケーションやデータを守る「ID認識型プロキシ」。ユーザーのアイデンティティに基づき、エンタープライズアプリケーションへのシームレスかつセキュアなアクセスを可能にする。EAA自体はクラウドサービスとして提供され、ユーザーがどのようなネットワークを利用していても利用でき、またアクセス対象のアプリケーションもオンプレミスやSaaS、IaaSなど形態を問わない。これによって前述の様な、リモートワークやアウトソーシング環境を安全で簡単に実現できる。

　一方、DNS＆クラウド型Webプロキシの機能により、主に端末側を保護するのがETPだ。URL検査やインラインペイロード分析に加え、DNSを制御ポイントとして使用するセキュリティレイヤーを備えている点が大きな特徴で、これら複数の防御層によりフィッシングやマルウェア、コマンド＆コントロール（C＆C）通信などの脅威を検知しブロックする。こちらも同じくクラウドサービスとして提供され、組織ネットワークの内外を問わず端末の保護が可能だ。つまり、端末がどこにいてもフィッシング、マルウェア感染を未然に防止する事が出来る。

　「組織ネットワークの内外どこにあっても区別せず保護やモニタリングを常時提供する、これらのソリューションがゼロトラストを実現するのです。CDN（Content Delivery Network）市場において確固たる地位を確立するアカマイにとって、これらは新しい方向性のテクノロジー分野となります。しかし、これからの企業トランザクションはインターネット経由になり、それを制御するEAAとETPは、既存のCDN技術基盤を最大限に活用したソリューションです。アカマイには、CDNのために世界中で分散配置された26万5000台ものサーバからなる巨大プラットフォームがあるうえに、そこから得られた膨大な情報も脅威インテリジェンスに生かされています。2019年には調査会社Forresterによる評価で、ゼロトラストに関しても市場リーダーの一角として認められました」（金子氏）

The Forrester Wave^™: Zero Trust eXtended Pratform Ecosystem Providers, Q4 2019　日本語版

　Forresterは独立系調査会社で、テクノロジーベンダー14社のポートフォリオについて、製品やサービスなど16項目の基準に基づいて評価。その結果、アカマイはゼロトラストにおける市場のリーダーとして位置づけられた。ゼロトラストの実践が評価されたと言える。

業務効率や運用効率の向上など多くの効果

　では、実際にEAAやETPを導入しているユーザーは、ゼロトラストを意識しているのだろうか。また、EAAやETPの導入は、どのような効果をもたらしているのだろうか。

　「ユーザーの中には、ゼロトラストを意識して導入しているケースも、そうでないケースもあります。いずれにしろクラウドと働き方改革により、分散するユーザーとアプリケーションが課題という前提は共通です。ゼロトラストを念頭に置いているユーザーは、最近の事例では株式会社LIXILやauカブコム証券などがそうです。LIXILでは、グローバルな事業展開や多様な働き方への支援などのためEAAを導入しました。また、グローバルなビジネスを展開するエンターテイメント系コンテンツ事業者も複数ETPを導入しています。地理的に分散している状況も大きな問題になっているという事です。」と金子氏は説明する。

　ゼロトラストを意図せずとも、結果として業務に大きな改善効果が出ているという。例えばETPを導入しているウェルスナビは、標的型攻撃対策を主な目的として採用したが、ETPの特徴であるDNSレイヤーでの検知・保護が功を奏し、既存セキュリティ製品のアラートが半減、運用効率を大幅に改善したとのこと。またエイチ・アイ・エスでは、EAAの活用で国内外の拠点で働く従業員に効率的な働き方を可能とし、管理コストも低減しているという。ゼロトラストを意図しない導入でも、顕在化している課題は共通、様々な成果が出ているというわけだ。そして同時に、ユーザーも気づかない間にゼロトラスト化している。それを実現しているのがアカマイのクラウドシフトに即したセキュリティ基盤なのだ。

多くの活用例で、ゼロトラストの実践をサポート

　「アカマイ自身も社内でゼロトラストを実践すべく、EAAやETPを全世界の社員約7,000名に展開しています。これまでビジネスアプリケーションで使っていたVPNを徐々に置き換える形でEAAを活用、利便性の高い業務環境になってきました。EAAはアプリケーションごとに導入するため、スモールスタートで状況にあわせて段階的に展開することができるのです。またETPはモバイルユーザーや組織外ユーザーも含めたセキュリティ強化を実現し、ウェルスナビの事例にもあるように運用上のメリットも得られます。そしてどちらも、既存の多くのセキュリティ製品とは違って、グローバルにガバナンスを発揮できるのです。」と金子氏は言う。

　アカマイでは今後も、ゼロトラストの考え方を軸に、セキュリティソリューションの強化を進めていく方針だ。EAAおよびETPの機能も順次強化されており、セキュリティはもちろん、エンドユーザーの利便性や管理者の運用性も向上されている。

　「世界中の企業のクラウド時代のセキュリティ戦略をサポートするのが、アカマイが提供するセキュリティソリューションの役割といえるでしょう。日本においては、2019年から2020年にかけて多くの企業で働き方を本格的に見直そうという動きが加速しており、我々も具体的な実践例を紹介するなどして、ゼロトラストの考え方を広めていこうと考えています」（金子氏）

　理論に終始しがちなゼロトラストを実践し、現実のものとして提供しているアカマイの今後の展開から目が離せない。