リモート勤務者のためのセキュリティ モデル
場所を選ばない働き方を実現するには
2020 年早春、世界がリモート ワークへの移行を進める中で、多くの企業が使用して いたセキュリティ モデルの真価が問われました。
リモート ワークは新しい概念ではないものの、これほどの規模と緊急性で必要とさ れたことは未だかつてなかったのです。一部の従業員がリモート勤務を行う企業は珍 しくありませんでしたが、全従業員がリモート ワークを行う備えがある企業はごく 一部だったのです。すべての企業が、事業継続性をいかにして維持するかという、大 きな課題に直面しました。
安全なリモート接続の実現に VPN 利用を頼れた事例は一部にとどまります。追加ライセンスを運良く注文で きた企業もありますが、これほどのワークロードの増加にコンピューティング インフラが対応できなかったた め、ライセンスを入手できなかった企業がほとんどだったのです。多くの企業は何らかの大きな変化を起こす には手遅れだったため、手持ちのソリューションの制約の中で難局をやり過ごし、最初の終息期間にテクノロ ジを更新する計画を立てることを要求されました。VPN は拡張性に重大な制約があるため、現代企業が使用す るアプリケーションの多くがパブリック クラウド上に存在するか SaaS アプリケーションである点が大きな問 題になります。おそらくこの欠点から、エッジやクラウドへの安全な接続を実現するさまざまな手法の調査を はじめる企業が、ここ数か月の間に増加しています。
従来のセキュリティ モデルは将来の環境に適さない
従来、リモート接続のセキュリティ対策は有限で固定されたものでした。ライセンスで制限された一定数の従 業員だけに VPN 機器への接続を許可するのが普通だったからです。また、リモート接続も固定でしたが、ア プリケーションは場所ごとに設定されていました。
現代世界は固定のリソースを導入するにはあまりに変化が早く、明日何が起きるかは誰にもわかりません。そ のため当面は、オフィス、自宅、あるいはその他の社外環境など、どこで働くとしても柔軟性が鍵となります。
さらに、アプリケーションも変化しています。企業アプリケーションのほとんどが厳重に守られた企業のデー タセンターの中だけに存在した時代は過去のものになりました。今では、オンプレミス、クラウド、エッジな どあらゆる場所にアプリケーションとデータが存在します。そのため、単一の企業境界はもう存在しません。
拡大する境界のセキュリティ対策
仮に企業が 25 種類の SaaS ベース アプリケーションを使用していたら、外部に存在する小さなデータの島を 1 つ 1 つ保護しなければなりません。アプリケーションとデータ ソースは残らずセキュリティ対策を行う必要 があります。企業は、オフィス勤務かリモート勤務かを問わず、各ユーザーのリソースへのアクセス状況を可 視化することが必要です。
筆者の意見では、現在到達しているハイブリッド勤務環境における「場所を選ばない働き方」モデル全体が、 結局のところ 2 つの重要な要素に行き着きます。すなわち、ユーザー アクセスのセキュリティ対策と、必要 なリソースが何であれ、リソースへのアクセスに必要な手段の提供が求められるのです。リモート接続には、 ユーザーが企業のオフィスで働く場合と同等のセキュリティが必要です。あらゆるツールを同じやり方と同じ レベルのセキュリティで利用できなければなりません。
企業の厳重なセキュリティ対策の内側では、さまざまなセキュリティ ソリューションがユーザーを保護するの が普通です。そしてこれが、リモート ワークを行うだけの接続性を実現する目的で単に VPN を導入するとい う考え方が上手くいかない原因の 1 つでもあります。企業が毎日直面しているリスクを最小限に抑えるには、ある程度の調査と、ある程度厳重なセキュリティが欠かせません。
シャドー (IT) からの脱却
公正を期すために言えば、企業の IT 部門がユーザーに適用している制御が必ずしもすべて機能するとは限り ません。たとえば、一元的なセキュリティ対策が適用される IT リソースに共通の課題として、シャドー IT があげられます。これは、必要なリソースを入手できない場合に、ユーザーが IT 部門に隠れて IT リソース を使用してしまう問題です。
この記事では将来のセキュリティ モデルについて考察しているため、「影」からの脱却を試みる良い機会で す。今こそユーザーと緊密に連携し、使用中のアプリケーションと使用したいアプリケーション ( ただし、生 産性を高められるもの ) を明確化しましょう。そのためには、一歩踏み出してユーザーと対話し、できるだ け多くのフィードバックを求める必要があります。それはなぜでしょうか。聞いてみるまでわからない答え もあるからです。
シャドー IT は常に生産性の問題です。ユーザーが望む働き方に対応したセキュリティ モデルと、ユーザー が必要とするアプリケーションを導入することで、成果を改善できます。
生存、成長、最適化。
パンデミックを前に、リモート ワークを実現する最初の段階は、とにかく生き延びて、仕事を続けられるよ うにする段階でした。また、第二段階は状況を最大限に活用して成長を試みる段階でした。そして今こそ、将来のセキュリティ モデルの最適化と作成を行い、場所を選ばない働き方を現実のものにする段階です。
ハイブリッド勤務向けのセキュリティ モデルを実現するにはアジリティが必要で、アジリティを実現するに は拡張性が要求されます。セキュリティとリモート ワークを実現する手段が、適切なハイブリッド勤務の実 現を妨げるハードウェアと固定ライセンスしかなかった時代は過去のものになりました。
現在必要とされているのは、クラウドから提供されオンプレミスとエッジで利用可能な常時接続のモデルで す。さらに、必要に応じてリソースと機能をスケールアップすべきです。
セキュア アクセス サービス エッジ (SASE) アプローチは、ソフトウェアを利用した手法でハイブリッド勤務 を実現する優れたモデルです。ゼロトラストと SASE を重ねることで、拡大する境界と、ユーザーが毎日ア クセスするサイロ化したさまざまなアプリケーションとデータを保護できるようになります。
明日の世界がどうなるかはわかりません。どのような脅威が我々を襲うかは誰にもわかりませんが、俊敏性 と臨機応変さが必要なことは明白です。ユーザーの所在やアクセスするアプリケーションを問わずあらゆる ニーズに対応するには、柔軟で融通の利くセキュリティが求められます。