セキュリティ

ゼロトラスト考察 – SASE (Secure Access Service Edge) の読み解きとゼロトラストの関係性について – 1

木村滋
2021年4月23日

「ゼロトラスト」と「SASE (Secure Access Service Edge)」 (以下 SASE) の２つの言葉は、作り出された時期は異なりますが、2019年後半から特に日本企業へバズワード的に浸透が進み、企業のデジタル化、クラウド化、テレワーク化等に大きく影響するかもしれない新しいITセキュリティのアプローチとして認知されています。

Ciscoも含め多くのSASEベンダーが自身のソリューションをゼロトラストの中核的取り組みとして位置づけているということ、そして、両方とも似たような時期に浸透が始まり、目的・背景も含め、似ているコンセプトがあるという背景から混同・混乱・誤解されやすいという背景があります。

“Gartner – The Future of Network Security Is in the Cloud (SASE)“ から「SASE」の定義や全体像を読み解き、「ゼロトラスト」との関係性整理していきたいと思います。

このエントリでは、比較と整理の前に、まずは注意すべき正しいSASEの定義とゼロトラストの簡単な振り返りに着目します。

SASEの定義

「包括的WAN/ネットワークセキュリティ機能 (SWG, CASB, FWaaS, ZTNA等) を組み合わせて、デジタル企業のダイナミックなセキュアアクセスのニーズをサポート」
「SASE : 新しいタイプのサービス」

SASEの機能

「Definition（定義）」のセクションでは、SASEが保有するべき主要機能として、特に SWG, CASB, FWaaS, ZTNA が強調されています。全体像としては、図のようにルーティング、CDN、WAN最適化機能などを含む「Network as a Service」、および、その他のセキュリティ機能を包括する「Network Security as a Service」を合わせて提供できるサービスプラットフォームとされています。

SASE Convergence

この機能の中で “NIST – SP 800 207 Zero Trust Architecture” の「Architecture Approach（アーキテクチャアプローチ）」のセクションで実装のアプローチ選択肢の一つとして利用できるツール・コンポーネントとして取り上げられている “SDP (Software Defined Perimeter)“、「ゼロトラスト」というキーワード自身がコンポーネントの名前として使われている “ZTNA (Zero Trust Network Access)” については、「SASE」と「ゼロトラスト」の関係性を理解する上で個別の整理が必要になります。

新しいサービスとしてのSASE

SASEは、「新しいタイプのサービス」「新興サービス」とされています。明確にクラウドベースであるという定義ではありませんが、暗にクラウドから提供される「as a Service」であることがベストのアプローチであると考えることができます。

SASEにおける SD-WAN

「SD-WANはSASEの触媒である」
「SASE + SD-WANが新市場の推進力になる」

「Reccomendation（推奨）」のセクションでは、Amazon Web Service (AWS) EC2 (IaaS) や Salesforce.com (SaaS) のようなクラウドコンピューティングプラットフォームが 15 年以上の年月をかけてデータセンターのインフラアーキテクチャを大きく変革させたように、SASEが同様に今後の「ネットワーク」と「ネットワーク・セキュリティ」のアーキテクチャを大きく変革させる可能性がある、それにより、セキュリティ管理者はその「アーキテクチャの再設計」をする機会となる、とされています。

SASEは単なるクラウドのみで成り立つプラットフォームでは無いと考える必要があります。

SASE検討の際には、特にSD-WANにも触れる、以下のような事項を推奨すべきであるとされています。