テレワークとクラウドの利用が当たり前になり、社内ネットワークの「内側」を守る従来のセキュリティだけでは、会社の情報を守りきれなくなってきました。そこで注目されているのが、ネットワークとセキュリティの機能をクラウドでまとめて提供する「SASE」です。
ここでは、SASEとは何かを、生まれた背景から解説します。SASEを構成する機能や通信の仕組み、ゼロトラスト・SSE・VPNとの違いに加えて、インフラエンジニアの仕事にどう関わるかもまとめました。
この記事で分かること
- SASEとは何か、注目されるようになった背景
- SASEを構成するネットワークとセキュリティの機能と、通信の仕組み
- ゼロトラスト・SSE・VPNとの違いと、導入のポイント
SASEとは？
ネットワークとセキュリティをクラウドでまとめる考え方
SASE（サシー）は「Secure Access Service Edge」の略で、ネットワークの機能とセキュリティの機能を1つにまとめ、クラウドのサービスとして提供する考え方です。2019年に、米国の調査会社Gartnerが提唱しました。
これまでは、ファイアウォールやVPN装置、Webの通信を検査する装置など、目的ごとに別々の機器を社内に置いて管理するのが一般的でした。SASEでは、こうした機能をクラウド上にまとめ、社員がどこから接続しても、同じルールで安全に通信できるようにします。
SASEが注目される背景
SASEが注目されるようになった理由は、大きく3つあります。
| 背景 | 起きている問題 |
|---|---|
| テレワークの定着 | 社外から社内ネットワークにVPNで接続する人が増え、VPN装置や回線が混雑する |
| クラウドの利用拡大 | 業務で使うシステムが社外のクラウドに移り、「社内の内側を守る」だけでは守れない |
| 拠点の増加 | 支店や工場ごとにセキュリティ機器を置くと、費用と管理の手間がかさむ |
従来の仕組みでは、社外からの通信もいったん本社のネットワークを経由させてから、クラウドに向かわせることが多くありました。これでは通信が遠回りになり、遅くなるうえ、本社の設備に負荷が集中します。SASEは、こうした問題をまとめて解決する方法として広がっています。
SASEの仕組みと構成要素
クラウド上の拠点で通信を検査する仕組み
SASEでは、利用者の端末や拠点からの通信を、SASEのサービスが世界各地に置いている接続拠点（PoP）に送ります。通信は、そこでセキュリティの検査を受けてから、クラウドのサービスや社内のシステムに届けられます。
通信の流れは、次のとおりです。
- 接続する
社員の端末や拠点のネットワークが、最寄りの接続拠点（PoP）に接続する。 - 確かめる
だれが、どの端末から接続しているかを確かめる。 - 検査する
通信の中身を検査し、危険なサイトへの接続や情報の持ち出しを防ぐ。 - 届ける
許可された通信だけを、目的のクラウドや社内システムに届ける。
接続する場所が本社でも自宅でも出張先でも、同じルールで検査されるのが、SASEの大きな特長です。
ネットワークの機能
| 機能 | 役割 |
|---|---|
| SD-WAN | 複数の回線を組み合わせ、通信の種類に応じて最適な経路を自動で選ぶ。拠点間の通信をソフトウェアで柔軟に管理できる |
SD-WANによって、拠点からクラウドへの通信を本社経由にせず、インターネットから直接、効率よく届けられるようになります。
セキュリティの機能
| 機能 | 役割 |
|---|---|
| SWG（セキュアWebゲートウェイ） | Webサイトへの通信を検査し、危険なサイトへの接続を防ぐ |
| CASB | 社員が使うクラウドサービスを見える化し、利用を制御する |
| ZTNA（ゼロトラストネットワークアクセス） | 利用者と端末を確かめたうえで、許可されたアプリにだけ接続させる |
| FWaaS | ファイアウォールの機能を、クラウドのサービスとして提供する |
| DLP | 機密情報が社外に送られるのを防ぐ |
これらの機能を1つのサービスで提供し、1か所の管理画面でまとめて設定・管理できるのがSASEの強みです。
ゼロトラスト・SSE・VPNとの違いと導入のポイント
ゼロトラストとの違い
ゼロトラストは、「社内も社外も信頼せず、すべての通信を確かめる」というセキュリティの考え方です。一方、SASEは、その考え方を実際のネットワークとセキュリティの仕組みとして形にする手段の一つです。
つまり、ゼロトラストが目指す姿で、SASEはそれを実現するための仕組みという関係です。
ゼロトラストの考え方については、［ゼロトラストとは？］で詳しく解説しています。
SSEとの違い
SSE（Security Service Edge）は、2021年にGartnerが提唱した考え方で、SASEのうちセキュリティの機能だけを取り出したものです。
| 項目 | SASE | SSE |
|---|---|---|
| 含む機能 | ネットワーク（SD-WAN）＋セキュリティ | セキュリティ（SWG・CASB・ZTNAなど）のみ |
| 向いているケース | ネットワークとセキュリティをまとめて見直したい | 今のネットワークを残したまま、セキュリティから強化したい |
今のネットワークをすぐに入れ替えるのが難しい企業は、まずSSEから導入し、あとからSASEに広げる進め方もよく選ばれています。
VPNとの違い
VPNは、暗号化した通信路で社外から社内ネットワークにつなぐ仕組みです。一度接続すると、社内ネットワーク全体に入れてしまうことが多く、侵入されたときに被害が広がりやすいという弱点があります。
SASE（とくにZTNAの機能）は、利用者ごとに、許可されたアプリにだけ接続させます。社内ネットワーク全体には入れないため、万が一のときも被害を小さく抑えられます。
導入のメリットと注意点
メリット
- 機器を減らして、管理を一元化できる
- どこからでも、同じルールで守れる
- 通信の遠回りが減り、速度が改善する
注意点
- 設計が複雑で、今のVPNや機器との併用・段階的な移行が必要になる
- 社内システムへの通信など、かえって経路が長くなる場合がある
- ネットワークとセキュリティの両方がわかる人材が必要
インフラエンジニアの仕事への影響
SASEが広がると、社内に置くファイアウォールやVPN装置の設定・保守の仕事は、少しずつ減っていきます。その代わりに、クラウド上のサービスを組み合わせて、ネットワークとセキュリティを設計する力が求められるようになります。
ネットワークの知識はこれまでどおり土台として欠かせません。そこに、クラウドとセキュリティの知識を重ねていくことが、これからのインフラエンジニアの強みになります。
ネットワークの仕事については［ネットワークエンジニアとは？］で紹介しています。
SASEでよくある疑問
Q．SASEとゼロトラストは同じもの？
同じではありません。ゼロトラストは「すべての通信を確かめる」というセキュリティの考え方で、SASEはその考え方を実現するための具体的な仕組みです。ゼロトラストを実現する手段として、SASEを導入するという関係になります。
Q．SASEを入れれば、VPNは不要になる？
多くの場合、VPNの役割はSASEのZTNAの機能に置き換えられます。ただし、古い社内システムなど、SASEで扱いにくい通信が残ることもあります。そのため、しばらくはVPNと併用しながら、段階的に移行する企業が多く見られます。
Q．中小企業でもSASEは導入できる？
導入できます。SASEはクラウドのサービスなので、大規模な機器を買わずに、利用する人数に合わせて始められます。最初はWebの通信の検査など、必要な機能から小さく始めるのが現実的です。
Q．SASEが広がると、ネットワークエンジニアの仕事はなくなる？
なくなりません。機器の設定作業は減っていきますが、通信の経路やアクセスのルールを設計する仕事は、むしろ重要になります。ネットワークの基礎に、クラウドとセキュリティの知識を加えることで、活躍の場はさらに広がります。
まとめ
SASEは、ネットワークとセキュリティの機能をクラウドでまとめて提供し、どこからでも安全に通信できるようにする仕組みです。
この記事のポイントは次のとおりです。
- SASEとは
2019年にGartnerが提唱した、ネットワークとセキュリティをクラウドで統合する考え方。 - 背景
テレワークとクラウドの普及で、社内の内側だけを守る従来の方法では対応しきれなくなった。 - 構成要素
ネットワークのSD-WANと、SWG・CASB・ZTNA・FWaaSなどのセキュリティ機能を組み合わせる。 - 違い
ゼロトラストは考え方、SASEはそれを実現する仕組み。SSEはSASEのセキュリティ部分だけを指す。 - 仕事への影響
機器の保守は減り、クラウド上でネットワークとセキュリティを設計する力が求められる。
SASEは、これからのネットワークとセキュリティの標準になっていく仕組みです。ネットワークの基礎を固めながら、クラウドとセキュリティの知識も少しずつ広げていきましょう。
