【SW勉強会コラム】「もうお城とお堀では守れない？」ネットワークのプロが語る、Zscalerとゼロトラスト入門

「自社のセキュリティは、今の働き方に合っているのだろうか…」。リモートワークやクラウド利用が当たり前になった今、多くのエンジニアや情シス担当者が抱える疑問ではないでしょうか。 先日開催された第4回目の社内勉強会では、高槻大輝さんが登壇。「Zscalerとゼロトラスト入門」と題し、最新のセキュリティの考え方と、それを実現するクラウドサービスについて語られました。 専門用語が多くなりがちで、とっつきにくい印象があるセキュリティやネットワークの話ですが、今回のゴールは「Zscalerというサービスを人にざっくり説明できるようになること」。身近な例えを用いて紐解かれた、実践的なセッションのエッセンスをお届けします。

高槻さんが冒頭で指摘したのは、これまで主流だった「境界型防御」の限界でした。 従来は、社内ネットワークを「お城」、その周囲を「お堀」に見立て、門番（ファイアウォールなど）が許可した通信だけを中に入れる手法がとられてきました。一度門番の許可を得てお城（社内）に入れば、メールサーバーやファイルサーバーなど、範囲内のリソースに自由にアクセスできる利便性がありました。

しかし、悪意のある攻撃者がIDをなりすまして門番を通過してしまった場合、城内で好き放題に悪事ができてしまうという致命的な弱点があります。 さらに、現代の令和の時代においては、前提を崩す「3つの変化」が起きています。

1. 1. リモートワークの定着： 境界の外（自宅や出先など会社の外）から仕事をするのが当たり前になった。
2. 2. データのクラウド化： 守るべきデータがクラウド上に移行したため、もはやお城（城壁の中）に守る対象がない。
3. 3. ログイン情報の盗用（なりすまし）： 偽サイト等でIDやパスワードが騙し取られ、攻撃者が本人のふりをして侵入する手口が巧妙化している。

これらの変化により、指定された範囲（社内）だけを守ればいいという従来のモデルが通用しなくなってきているのです。

そこで現在の主流となっているのが、「何も信用せず、都度確認する（ゼロトラスト）」という考え方です。 高槻さんはこの概念を「博物館の警備」に例えてわかりやすく解説しました。

• ・都度認証と最小権限： 博物館の入館時に毎回一般チケットかVIPチケットか（ID）を確認するように、アプリを利用するたびに本人確認を行います。「このIDならこのアプリ（部屋）まで」と、一つのIDに対して必要なアプリにだけアクセス権（最小権限）を与えるのが特徴です。
• ・常時検証： 博物館の館内をカメラや警備員が巡回するように、ログイン後も通信状況を常に監視します。「12時間つなぎっぱなし」「いつもと違う端末や場所からのアクセス」などがあれば、その都度本人確認を行う仕組みになっています。

このゼロトラストの原則をクラウド上で実現するのが、「Zscaler（ゼットスケーラー）」に代表されるSSE（Security Service Edge）プラットフォームです。 ※ちなみに、SSEにSD-WAN（広域ネットワーク接続）の機能が加わったものをSASE（サシー）と呼びますが、基本的なカテゴリとしては同じように扱われます。

Zscalerの強みは、社内PCからの全通信をまずクラウド上の「ゼロトラストエクスチェンジ」で検査する点にあります。

• ・1対1の接続で攻撃を防ぐ（ZPA）： 検査をクリアした通信は、ユーザーのIDに紐づいた認可済みのアプリケーションへと「1対1」で振り分けられます。 これにより、万が一攻撃者がIDを奪って接続を試みても、他のアプリケーションやネットワーク全体が攻撃者視点からは見えないため、攻撃対象（リスク）を大幅に減らすことができます。

セッションの中では、Zscaler以外の選択肢についても触れられました。

• ・Palo Alto Networks： ファイアウォールに強みを持つベンダーであり、防御力に優れ、ネットワーク全体をお任せしたい場合に選ばれやすい。
• ・Cisco Secure Access： ネットワーク機器で高いシェアを持つCisco社の強みを活かし、既存のルーターや無線アクセスポイント（Merakiなど）との互換性が高く、移行時のハードルが低い。

高槻さんは、「状況や要件によって最適解は変わる。各サービスのメリットを理解し、お客様に最適な提案ができるエンジニアになりたい」と語り、ツールありきではなく課題解決をベースとする姿勢を示しました。

勉強会の後半のQ&Aセッションでは、実際の導入や運用を想定したリアルな議論が交わされました。

• ・ターゲット層とコスト： 非常に強力なサービスである一方、コストは比較的高めです。そのため、拠点が分散しリモートワークが中心で、かつセキュリティ要件が厳しい「大企業」に特にマッチするソリューションとのことです。
• ・シームレスなユーザー体験： 導入する管理者側はアクセス許可の設定等に工夫が必要ですが、利用者（従業員）側から見れば、特別な設定変更を意識することなく、これまで通りネットワークを利用できるというメリットも語られました。

参加者からは「スマートフォンのアプリのキッズモードのように、裏側でしっかり通信が制限・制御されているイメージですね」といった納得の声も上がり、活発な知識共有の場となりました。

毎週水曜日に開催されている社内勉強会。今回は、難解なネットワークやセキュリティの専門用語を「お城」や「博物館」といった身近な例えで解説してくれた、非常にわかりやすいセッションでした。 新しい技術の概要を学ぶだけでなく、「競合製品との違い」や「実際の導入フロー」まで踏み込んだ議論ができるのは、現場のリアルを知るエンジニアが集う当社ならではの強みだと感じます。 当社では現在、最新技術を活用しながら、共にプロダクトと組織を成長させていく仲間を募集しています。このような技術交流や課題解決のプロセスにワクワクした方は、ぜひ採用ページもご覧ください！