「ネットワーク運用に追われる日々」を抜け出し、“ゼロトラスト前提”で考えるには？：NaaSで変わる企業ネットワーク（4）

ネットワーク担当者はVLANの設定変更、トラブル対応など日々発生するネットワーク運用業務を抱える一方で、ゼロトラストをどう実践するかといった新たな課題にも向き合っています。しかし、従来のネットワーク設計と運用から脱却するのは簡単ではありません。課題を解決するためのヒントの一つを紹介します。

[井上勝晴（ネットワンシステムズ）, 編集：遠藤文康，＠IT]

　企業のIT部門では、障害対応や機器のメンテナンスだけでなく、組織変更や端末の追加に伴うアクセス制御の見直しなど、日々さまざまなネットワーク運用業務に追われています。安全性を高めようとすればするほど設定は複雑になり、運用負荷も増していきます。

　第3回では、こうした運用負荷を軽減する自律型ネットワークについて解説しました。しかし、企業に求められるのは運用の効率化だけではありません。セキュリティの抜本的な強化も、課題であり続けています。最終回では、ネットワーク担当者がゼロトラストに向き合うためのアプローチの一つを紹介します。

ラテラルムーブメントや設定ミスのリスクに向き合う

　従来のキャンパスLANでは、「社内ネットワーク（内側）は安全、社外（外側）は危険」という基本的な発想を基に、内側と外側とを境界線で区切り、そこにファイアウォールを置いて守る境界型防御の考え方が一般的でした。しかし従来の境界型防御では、一度攻撃者やマルウェアが社内LANへの侵入に成功すると、社内の他のPCやサーバへと横方向に攻撃が広がる「ラテラルムーブメント」が起きやすいという課題があります。その結果、被害が組織全体に拡大する恐れがあります。

従来モデルではラテラルムーブメントが起きやすい（提供：ネットワンシステムズ）

　社内ネットワーク内のアクセス制御が粗い環境では、正当な権限を持つ利用者による過剰なアクセスや内部不正のリスクも高まります。

　これを防ぐために、従来の設計では「VLAN」（Virtual LAN）を細かく区切り、「ACL」（アクセスコントロールリスト）をスイッチごとに設定することが一般的です。しかし第3回で触れたように、このような機器ごとの個別設定は属人化しやすく、設定ミスや運用の複雑化を招きます。さらに、組織変更や端末の追加といった日々の変化にも対応しにくく、ネットワーク全体の柔軟性を損なう要因にもなります。

“ゼロトラスト前提”で考えるための3つの要素

　LANをNaaS（Network as a Service）として利用する「キャンパスNaaS」では、「ユニバーサルゼロトラスト」と呼ばれる考え方が提案されています。これは、ユーザーの場所や利用するデバイス、有線・無線といった接続方法にかかわらず、一貫したアイデンティティーベースのセキュリティポリシーを適用するというものです。ネットワークの内側だからといって無条件に信頼するのではなく、アクセスのたびに利用者やデバイスを検証するというゼロトラストの考え方を、ネットワーク全体で実現しようとするアプローチと言えます。

　もっとも、ゼロトラスト環境の構築は容易ではありません。ID管理やネットワーク、アクセス制御など複数の仕組みを連携させる必要があり、多くの企業では設計や運用の複雑さが課題になります。キャンパスNaaSでは、こうした仕組みをネットワーク基盤側で担うことで、ゼロトラストを実現しやすくするアプローチを採ります。代表的な特徴は次の3点です。

1．ファイアウォールをポリシー適用の中心に据えるマイクロセグメンテーション

　キャンパスNaaSでは、デバイス単位で通信を分離する「マイクロセグメンテーション」を採用することで、ゼロトラストを実現しやすくしています。各デバイス間の通信はネットワーク基盤（ファブリック）を経由して上位のファイアウォールへ集約され、アクセス制御はファイアウォールで一元的に適用されます。これにより、従来のようにVLANやACLをネットワーク機器ごとに細かく設定・管理する必要性を抑えられます。Nile社のキャンパスNaaSは、このようなアーキテクチャを採用する代表例の一つです。

2．デバイス間の横展開を防ぐ「壁」を構築

　デバイス間での通信を遮断するいわば“見えない壁”を、ネットワーク側が自動的に構築します。万が一、1台のPCがマルウェアに感染しても、隣接するデバイスへの横移動（ラテラルムーブメント）を遮断する仕組みです。全ての通信がファイアウォールを経由して検証されることで、隔離や検疫のプロセスを自動化し、被害の拡大を抑えやすくします。

3．動的なアイデンティティーベースのポリシー適用

　「Okta」や「Microsoft Entra ID」などのIdP（Identity Provider）とリアルタイムに連携し、IPアドレスではなくユーザーの「身元」に基づいてアクセスを認可します。NaaSのファブリック全体がユーザーIDを認識し続けるため、会議室への移動や拠点をまたいだ接続の際も、アクセスのたびに最新の認証・認可状態が確認されます。場所が変わっても「誰が、どのデバイスで、何にアクセスしようとしているか」を常に検証し、上位ファイアウォールで定義された同一の権限を動的に適用します。

ゼロトラストの考え方を取り入れたNaaSの仕組み（提供：ネットワンシステムズ）

　NaaSのネットワーク基盤が通信の「隔離」とユーザーの「識別」を担い、ファイアウォールが「判断」の役割を担います。この役割分担によって、運用負荷を抑えながら、従来の境界型防御では実践しにくかったゼロトラストの考え方をネットワーク全体に適用しやすくします。

まとめ：ネットワークは「つなぐ道具」から「守る基盤」へ

　キャンパスNaaSについて、全4回にわたって解説してきました。

1. NaaSとは何か？：所有から利用へのシフト
2. 本質的な価値：TCO削減と、サービスとしての安定稼働保証
3. 自律型ネットワーク：AIによる運用自動化
4. ユニバーサルゼロトラスト：場所を問わない安全

　いまやネットワークは、単にPCやスマートフォンをインターネットにつなぐだけの「土管」ではありません。運用の自動化やゼロトラストといった考え方を取り込みながら、サービス全体の可用性やセキュリティを支える基盤へと役割を広げつつあります。

　IT部門が「ネットワークの管理に追われる日々」を終わらせて、業務や事業の「変革」というミッションにより集中できるようにするには何が必要なのか。今後、キャンパスNaaSはその問いに対する一つのアプローチとして、運用やセキュリティの在り方を見直すきっかけになるかもしれません。

著者紹介

井上 勝晴（いのうえ まさはる）

ネットワンシステムズ株式会社　ビジネス開発本部　イノベーション推進部

同社応用技術部にて主に通信キャリア向け技術を長年担当。その後、米国にて新規商材の発掘・先端技術の動向調査に従事。現在はビジネス開発チームをリードし、新規商材の事業創出を推進している。