SASEとは？具体的なアーキテクチャやメリット・デメリット、導入方法を解説

SASEの需要が高まった背景

SASEは、2019年にガートナーにより初めて提唱された新しい考え方・概念です。需要が高まった背景には、クラウドサービスとリモートワークの普及、ネットワークの複雑化の3点が挙げられます。

SASEとゼロトラストの違い

SASEと同様に、近年注目されるネットワークセキュリティとして「ゼロトラスト」があります。ゼロトラストは、すべてのネットワークの接続を信用せず、常に認証と認可を行う新しいセキュリティモデルです。

ゼロトラストは2010年に米国の調査会社によって提唱されたもので、ネットワーク内部・外部に攻撃者が存在する可能性を考慮し、すべてのユーザーやデバイスに対するアクセスを最小限に制限するという考え方です。

一方、SASEはこのゼロトラストの考え方を基盤としており、そのうえでネットワークとセキュリティを一体化させ、ユーザーの利便性や運用の最適化まで図っています。さらに、これらの機能をクラウドから提供できるという特性を持っているのも特徴です。

【関連記事】ゼロトラストとは｜その意味やセキュリティ対策のポイントをわかりやすく説明

ビジネスにおけるネットワーク利用状況

現代のビジネス環境では、クラウドサービスの利用が急速に拡大し、企業のIT基盤が根本的に変化しています。

従来のオンプレミス中心のシステムから、「Microsoft 365」「Salesforce」「AWS」といったクラウドプラットフォームへの移行が加速しているのです。

リモートワークの普及により従業員がさまざまな場所から企業システムにアクセスする機会が増加し、従来のネットワーク構成では効率的な接続や適切なセキュリティ確保が困難になっています。

また、モバイルデバイスやIoT機器の業務利用が拡大したことで、ネットワークでのデータ処理需要も急激に高まっている状況です。

SD-WAN

SD-WAN（Software Defined-Wide Area Network）とは、広範囲に及ぶネットワーク（WAN）をソフトウェアで制御する技術のことです。

従来のWANは物理的な接続が中心で、回線の切り替えや管理が手間でした。

しかし、SD-WANの登場によってソフトウェアでの操作が可能となり、柔軟なネットワーク構成を行えるようになりました。

CASB

CASB（Cloud Access Security Broker）は、企業が利用するクラウドサービスへのアクセスをセキュリティ面から管理・制御するソフトウェアです。

たとえば、従業員が不適切にクラウドサービスにアクセスしようとしたときに、その動きを検知し、ブロックするなどの機能を持っています。

また、情報漏えいを防ぐという目的で利用されることもあります。

ZTNA

ゼロトラストの考え方をネットワークアクセスに適用させたものが、ZTNA（ZeroTrust Network Access）です。

特定のサービス、もしくはアプリケーションへのアクセスのみを許可するもので、ユーザーがアクセスする際に認証と認可を常に行い、必要最小限のアクセスのみに抑制します。

FWaaS

FWaaS（Firewall as a Service）は、企業ネットワークとパブリックネットワークの中間に位置し、複数のセキュリティによりネットワークの脅威を防ぐクラウドファイアウォールです。

従来はハードウェアとして設置されていたファイアウォールですが、クラウドサービス化したことで、あらゆる種類の脅威を検出できるようになりました。

それに伴い、ネットワークに接続するアプリケーションなどを柔軟に運用できます。

SWG

SWG（Secure Web Gateway）は、インターネットへのアクセスを制御するためのセキュリティソリューションです。

WEBやインターネットのトラフィックを分析し、マルウェアの感染を防ぐためのフィルタリングや、WEBサイトへのアクセス制御を設けます。

これにより、サイバー脅威やウイルス感染に対してセキュリティを確保し、ユーザーが安全にインターネットを利用できるようになります。

【関連記事】マルウェアとウィルスの違いとは？関係性や感染時の見分け方、感染時の対策を解説

ネットワーク構成を簡素化できる

SASEの導入により、ネットワーク構成を大幅に簡素化することが可能です。これは、ネットワークとセキュリティの機能を1つのサービスとして提供できるようになるためです。

具体的には、複数の拠点を持つ企業やリモートワーカーがいる企業の場合、各拠点やリモートワーカーへの接続を一元的に管理できるようになります。

これにより、従来のように各拠点・個別にネットワーク設備を用意する必要がなくなり、ネットワーク構成が大幅に簡素化されます。

セキュリティを一元管理できる

セキュリティを一元管理できるのもSASEの魅力です。SASEの包括的なセキュリティ機能により、ファイアウォールやFWaaS、SWGなどを一元管理できます。

一元管理できることで、企業が複数のクラウドサービスを利用している場合でも、それぞれのサービスへのアクセス制御やデータ保護を1つの場所から統一的に行うことが可能です。

運用コストを削減できる

SASEを導入すると、運用コストを削減することができます。

前述したネットワーク構成の簡素化とセキュリティの一元管理により、ハードウェアやソフトウェアの維持管理コスト、セキュリティ更新などの運用コストが大幅に削減されます。

また、SASEにより社内のセキュリティが複雑化しないため、全体の管理がしやすくなるといったメリットも期待できます。

テレワーク環境で通信の遅延を防げる

SASEの仕組みであるインターネットブレイクアウトにより、テレワーク環境での通信の遅延を防ぐことができます。

インターネットブレイクアウトとは、用途に応じて接続先を選定するという機能です。

データセンターを経由しないアクセスが可能になることで、リモートワーカーが利用するアプリケーションやサービスへのアクセスが効率化され、業務の遂行が快適になります。

情報漏えい対策を強化できる

SASEを導入すれば、社内の情報漏えい対策を強化できます。これは、SASEが包括的なセキュリティ機能を提供し、リアルタイムで脅威の検知・ブロックが可能になるためです。

SASEの包括的なセキュリティ機能が役立つ主なシーンは以下の通りです。

• 社内で人的ミスが起こりそうなとき
• 第三者からの攻撃により危険にさらされたとき

企業の情報資産を外部に漏らすリスクを可能な限り抑制できるため、社員は安心してアプリケーションなどを利用できるようになります。

【関連記事】コンピューターウイルスの種類一覧｜感染経路や被害事例についても紹介

管理の複雑化

SASEは多機能である分、初期導入時の設定や日常的な運用管理が複雑化する傾向があります。

統合されたプラットフォームであっても、ネットワークとセキュリティの両方に関する専門知識が必要です。

SD-WAN、ファイアウォール、ゼロトラスト、CASBなど複数の機能を適切に設定し、相互の連携を確保することは高度なスキルを要求されます。

特に既存システムからの移行時には、現在のネットワーク構成とセキュリティポリシーをSASE環境に適合させる作業が必要です。

また、障害発生時の原因特定や対処も、統合プラットフォーム特有の複雑さを伴う場合があります。

ネットワーク品質への依存

SASEの性能はインターネット接続の品質に大きく左右されるため、安定した通信環境の確保が不可欠です。

ネットワーク障害が発生した場合、業務に深刻な影響を与える可能性があります。

特に支社や海外拠点では、ローカルインターネット回線の品質やプロバイダーの信頼性により、本社との接続品質に大きな差が生じることもあるでしょう。

また、トラフィックの急増や回線混雑により、クラウドベースのSASEサービスへのアクセス遅延が発生する場合もあります。

SASEの性能を維持するためには、定期的な回線品質監視と障害発生時の迅速な切り替え体制の構築が欠かせません。

初期導入のハードルの高さ

既存システムからSASEへの移行には相当な時間とコストがかかり、慎重な準備が必要となります。

従来のネットワーク構成を大幅に変更する必要があるため、綿密な計画立案が不可欠です。

特にレガシーシステムや専用線を多用している企業では、既存インフラとの互換性確保が複雑な課題となります。

また、従業員への教育や新しい運用手順の定着にも時間を要するため、段階的な移行スケジュールの策定が必要であり、経営層のコミットメントと十分なリソース確保が求められます。

導入する機能の選定

SASEには多数の機能が存在し、企業の状況や目的に応じて優先度の高い機能が違います。

すべての機能を導入すると、かえって管理・運用が複雑になるため、SASEを活用するうえでは機能の選定が必要です。

社内のニーズに合わせて、適切な機能を選定し、効果的な活用を図りましょう。

リソース共有の確認

SASEを導入する前に、どのようなリソースが共有されるのかを事前に確認しておきましょう。共有されるリソースは多岐にわたるため、十分に確認しておかなければ、SASEの機能を十分に活かせず、高いセキュリティ機能を発揮できません。

SASEを導入すると、それぞれ統合的な管理が可能になります。社内のニーズに合ったソリューションを選択するためにも、必ずリソース共有を確認しておきましょう。

エンドポイント機能の確認

エンドポイントで共有される機能と、各種機能に差異があることを調べておく必要があります。サイバー攻撃を受けた場合、はじめにエンドポイントであるPCやモバイルデバイスが標的になります。

このエンドポイントの機能性を理解し、SASEのセキュリティ機能を適切に活用しなければ、システムを導入しても高い安全性は見込めません。SASEの無駄な運用を避けるために、エンドポイントの機能を事前に確認しておきましょう。

カスタマイズ性の確認

社内で利用中のサブスクリプションなどに対して、ライセンス体系の適合や拡張性について調査しておくことも重要です。

既存のIT環境やビジネス要件は企業に応じて異なり、SASEの機能性を高めるためには、それらの要素と適切に連携できるかがキーポイントとなります。

カスタマイズ性を事前に確認しておけば、導入後のトラブル回避や、最適なソリューションの選択にも繋がります。

現状分析

既存のネットワーク構成とセキュリティ要件を詳細に調査し、現在の課題と改善すべき点を明確化します。

利用中のアプリケーションやサービスの特性を把握することが大切で、SASEへの移行による影響度を正しく評価しましょう。

また、各拠点の接続状況や帯域使用量、セキュリティインシデントの発生状況なども詳細に分析する必要があります。

この段階で得られた情報は、後の設計や移行計画立案の重要な基礎資料となります。

導入計画の策定

現状分析の結果を踏まえ、移行スケジュールと予算を含む包括的な計画を作成します。緊急時の対応策も併せて準備することが重要です。

段階的な移行スケジュールを策定し、各フェーズでの成功指標と評価基準を明確に定義する必要があります。

また、移行期間中の業務継続計画やロールバック手順も検討して、万が一の事態に備えた準備を整えることが大切です。

予算については初期導入費用だけでなく、運用コストや人材育成費用も含めた総合的な投資計画を立案しましょう。

サービスの調査・選定

自社の要件に最も適合するソリューションを選択するために、複数のSASEベンダーの機能と価格を比較検討します。

各ベンダーの技術的特徴、サポート体制、将来の拡張性などを総合的に評価することが重要です。

PoC（概念実証）を実施し、実際の環境での動作確認や性能評価を行うことで、導入後のリスクを最小化できます。

また、既存システムとの互換性やAPIによる連携の可能性についても詳細に検証します。

導入・運用

サービスの選定が終わったら、SASEサービスを段階的に導入していきます。ここでは、業務への影響を最小限に抑えながら導入を進めることがポイントです。

運用開始後は、パフォーマンス監視、セキュリティログの分析、ユーザーサポートなどの体制を確立する必要があります。

評価・検証

導入効果を定量的に測定し、事前に設定した目標達成度を客観的に評価します。必要に応じて設定変更や追加機能の導入を検討することが継続的改善に繋がります。

ネットワーク性能の向上度、セキュリティインシデントの減少率、運用コストの削減効果などを具体的な数値で評価することが重要です。

また、ユーザー満足度調査やヘルプデスクへの問い合わせ件数変化なども、導入効果を測る重要な指標となります。

定期的な評価により、SASE環境の継続的な価値向上と新たな課題への対応力強化を実現できます。

SSE

SSEは「Security Service Edge」の略称で、SASEのセキュリティ機能部分のみを切り出して実現するサービスです。

ネットワーク機能を含まないため、SD-WANなどは対象外となり、ファイアウォール、CASB、ZTNA、SWGなどのセキュリティ機能に特化したクラウドサービスとして位置付けられています。

既存のネットワークインフラを活用しながらセキュリティ機能のみをクラウド化したい企業にとって、SASEよりも導入ハードルが低い選択肢として注目されています。

SASEとSSEの大きな違いは、ネットワーク最適化機能の有無とSD-WANの有無にあり、企業の要件に応じて適切な選択を行うことが重要です。

SOAR

SOARは「Security Orchestration, Automation and Response」の略称で、セキュリティ運用の自動化と効率化を実現するためのソリューションです。

インシデント対応の自動化、脅威判定、影響範囲の調査などが主な役割となります。

複数のセキュリティツールからのアラートを統合し、定型的な対応手順を自動化することで、セキュリティ担当者の負荷軽減と対応速度の向上を実現します。

SASEがネットワークとセキュリティの統合基盤であるのに対し、SOARはセキュリティ運用の効率化に特化したソリューションといえるでしょう。SOARの詳細については以下の記事で解説しています。

【関連記事】SOARとは？3つの構成要素と導入するメリット・デメリット

SOC

SOCは「Security Operation Center」の略称で、保護すべきシステムやソフトウェアのログ監視、ネットワーク機器の監視を行い、発見した脅威に対して対応を行うセキュリティ部門やチームを指します。

SASEがセキュリティの技術基盤であるのに対し、SOCはセキュリティ運用チームという大きな違いがあります。

「GMOサイバーセキュリティ byイエラエ」のSOCサービスでは、24時間365日の監視体制により、「見直す・見守る・身を守る・みんなで守る」の4つの観点でお客様と共にセキュリティ運用上の課題解決に取り組みます。

攻めの技術を守りに転用した独自のアプローチにより、従来のSOCでは対応困難な高度な攻撃にも対処することが可能です。