働き方の多様化で浮上するリスク
テレワークとクラウドで生まれたビジネス変革を支えるゼロトラストセキュリティ

セキュリティやネットワークにまつわるさまざまな問題が、安全かつ快適なテレワークの実現を阻んでいる。「ニューノーマル」時代に応じたシステムの運用構築を支える「ゼロトラストセキュリティ」の仕組みと実現方法を解説する。

新型コロナウイルス感染症（COVID-19）の拡大防止を目的に、さまざまな企業がテレワークを導入した。慌ててVPN（仮想プライベートネットワーク）接続の手順を確認したり、Web会議の進め方に苦労したりしながら新しい働き方に慣れた人もいるだろう。

ところが一度はテレワークに切り替えたものの、「対面でコミュニケーションしないと話が伝わらない」「従業員がきちんと仕事をしているかどうかが見えにくい」といった理由から、再びオフィスに出社する形に戻した企業もある。今後の事業成長も視野に入れるのであれば、こうした動きは必ずしも正解とは言えない。

そもそもなぜ企業は新しい働き方を推進する必要があるのか。テレワークを継続するための具体的な施策と併せて見ていこう。

テレワークが実現する真の価値

国土交通省の調査によると、2020年12月時点における日本企業のテレワークの導入率は約20％にとどまっている。海外に目を向けると、例えばドイツはCOVID-19流行後急激にテレワークが広がっている。フラウンホーファー労働経済・組織研究所（Fraunhofer Institute for Industrial Engineering IAO）とドイツ人労務協会（German Association for Human Resource Management）が2020年5月に実施した調査によると、調査対象企業の約70％がテレワークを導入していたという。通勤時間の短縮やストレスの消滅、ワークライフバランスの改善、生産性の改善効果を人々がメリットと感じたことが理由だ。

テレワークはCOVID-19拡大防止のためだけの施策ではない。「本来は世界中の人とつながり、より効率の良い働き方を実現し、スケールの大きな仕事をするための手段です」と、富士通の斎藤健氏（戦略企画・プロモーション室WLSプロモーション推進部　マネージャ）は指摘する。

それを可能にするのがさまざまな技術だ。斎藤氏はコンピュータの技術が進化してきた歴史を振り返って、その本質は「現実を拡張」することにあると指摘する。ビジネスでのコミュニケーション手段は電話やFAX、メール、Web会議と変化しており、富士通もその歩みを支援し続けている。働く場所についても現実を拡張し、自由な働き方を実現すべき時が到来している。

「COVID-19の流行を機にテレワークを促進できた企業とできなかった企業では、その後の成長に大きな差が生じる恐れがあります」と斎藤氏は述べる。「COVID-19が収束すればわれわれのビジネスは元通りになる」という考えは大きく外れることになるだろう。

セキュリティやパフォーマンスの課題を解決する
「ゼロトラストセキュリティ」

では、なぜ日本企業にテレワークがなかなか普及しないのか。大きな理由として挙げられるのはセキュリティだ。働く場所に左右されないのはいいが、従業員がオフィス外で働くことが当たり前になれば、「働く場所はオフィスの中」であることを前提とした情報資産の保護策は十分に機能しなくなる。クラウドサービスを使うとしても、扱うデータをどう保護すればよいのか。ランサムウェア（身代金要求型マルウェア）攻撃などのサイバー攻撃が高度化する中では、企業が不安を抱くのももっともだ。

全ての通信をいったん企業のデータセンターに集約して、さまざまなセキュリティ対策を施してからインターネットに接続する方式は、通信量が急激に増加した際の負荷に耐えられない。その結果「Web会議ツールが重くて使えない」という不満が従業員の間で多発し、仕事にならなくなる。

テレワークでは対面時のような非言語コミュニケーションが取りづらく、業務の進捗（しんちょく）状況や微妙なニュアンスが伝わりにくいことも問題だ。かといって従業員に小まめな報告を求めて厳密に管理しようとすると、従業員のモチベーションを損なうことになる。非対面でも進捗状況を共有でき、円滑にコミュニケーションできる情報共有体制が不可欠だ。

企業がこのような問題を抱える中、セキュアかつ高速で、利便性を損なわないネットワークと情報共有基盤を実現するアプローチとして、斎藤氏は「ゼロトラストセキュリティ」を挙げる。

企業の業務システムは、テレワークを含む多様な働き方の浸透と、クラウドサービスの拡大で変わりつつある。守るべき情報資産がさまざまな場所に分散し、情報資産にアクセスするエンドユーザーのネットワークやデバイスが多様化した。こうした状況で有効になるのが、アクセスのたびにポリシーや最新の脅威情報などと照らし合わせながらエンドユーザーを評価して、必要最低限のアクセスを許可することで資産を守るゼロトラストセキュリティだ。

ただし、誤解してはならないポイントとして斎藤氏は「ゼロトラストセキュリティはこれまでのサイバーセキュリティの進化形であり、相反する概念ではない」点を強調する（図1）。これはゼロトラストセキュリティを定義する米国のセキュリティガイドライン「NIST SP800-207」も言及している。ゼロトラストセキュリティは従来のサイバーセキュリティ対策と共通の考え方に基づき、技術の変化に合わせて拡張、進化したものと捉える方が適切だろう。

図1：ゼロトラストセキュリティの概念

安全かつ高速なアクセスをクラウドベースで実現

では、ゼロトラストセキュリティを具体的に実現した際の構成はどうあるべきなのか。重要なのは、企業が利用するIT製品・サービスの変化だ。

以前はアプリケーションもそれを使う従業員のデバイスも社内LANの中にあった。これまで社内LANの保護のみを目的に、ファイアウォールやプロキシサーバ、Webフィルタリングなどのセキュリティ機能を導入してきた企業は、社外にある業務デバイスを守り切れない可能性がある。こうした状況を放置すれば、新しい働き方におけるマルウェア感染のリスクは引き上がる。業務デバイスとクラウドサービスをつなぐネットワークの品質が高いとは限らないため、通信速度低下によって業務に影響が生じる恐れもある。従業員のクラウドサービス利用を安易に許すと、設定ミスによる情報漏えいや、セキュリティ水準が低い危険なクラウドサービスの利用といったリスクも生じる。

こうした課題は、安全かつ高速なネットワークをベースに、さまざまなセキュリティ技術を組み合わせてゼロトラストセキュリティと包括的な運用体制を実現することで解決につながる。具体的には以下の技術が鍵を握る。

エンドポイントセキュリティ
多要素認証
クラウドセキュリティ
マイクロセグメンテーション（ネットワークの分割）
統合的なログ管理
脅威インテリジェンス

Palo Alto Networksとのパートナーシップに基づいて富士通が導入や運用を支援する「Prisma Access」は、こうした構成に沿ってゼロトラストセキュリティを実現する（図2）。Prisma Accessはネットワークセキュリティを強化するさまざまなセキュリティ機能を提供する。ユーザー企業はクラウドサービスへの接続を前提にしたセキュリティの枠組み「SASE」（Secure Access Service Edge）を導入できる。通信量に応じて自動でスケーリングすることで必要な通信容量を確保して、従業員が常に快適にネットワークを利用可能な点が特徴だ。

図2：Prisma Accessで実現するゼロトラストセキュリティ

さまざまな認証基盤との強固な連携機能もPrisma Accessのポイントだ。データセンターはもちろん、「Microsoft 365」などのクラウドサービス利用時において認証を実施し、従業員が危険なクラウドサービスにアクセスしないようにエンドユーザーやデバイスベースで細やかに制御することで、エンドポイントとクラウドサービス両方のデータを保護する。

Palo Alto Networksの「Prisma Cloud」は、クラウドサービス利用時のセキュリティ強化に力を発揮する。主要な法令やガイドラインに基づき複数のクラウドサービスの設定を自動診断して、ルールから逸脱したアカウントや設定ミス、不審なアクセスを通知したり、自動で修復したりする。複数のクラウドサービスを一元的に管理できることもポイントだ。

ゼロトラストセキュリティを支える認証基盤や
日々の運用を富士通が支援

多様な働き方とシステムを守るゼロトラストセキュリティは、「これだけを導入すれば実現できる」というものではない。「エンドポイントからネットワーク、クラウドサービスまで広い領域をカバーし、それらを運用する体制が必要です」と斎藤氏は述べる。

富士通はこれら全ての領域にまたがり、幅広い製品・サービスやサポートを提供して、ユーザー企業の多様な働き方を支えている。

「認証」は、ゼロトラストセキュリティを構成するセキュリティ技術を横串で貫く基盤として重要だ。富士通のネットワークサービス「FENICSII ユニバーサルコネクトアドバンス」は、オンプレミスシステムとクラウドサービスにまたがるシングルサインオン機能を提供する。生体認証やデバイス証明書を組み合わせれば、IDとパスワードよりも強固な認証を導入できる。強固な認証基盤とPrisma Access、Prisma Cloudを組み合わせることは、ゼロトラストセキュリティ実現への近道となるだろう。

もう一つの重要な要素が「運用」だ。セキュリティ製品・サービスを導入しただけでは、ゼロトラストセキュリティは実現できない。ログやイベント情報を収集、分析して、「今何が起こっているのか」を把握する。深刻な問題につながる恐れのあるアクティビティーがあれば速やかに対処し、芽のうちに摘み取る。「そうした日々の運用があって初めてゼロトラストセキュリティが実現します」と斎藤氏は説明する。自社だけでまかなえない場合は、専門的な知見を持つ富士通の専門家が運用を代替わりするサービスが視野に入る。

富士通は、自社のコミュニケーション基盤を統一してマルチクラウドに移行することで、従業員同士の密な連携による業務の効率化を推進してきた。その経験を、ニューノーマル時代における働き方改革を実現するサービス群「FUJITSU Work Life Shift」として体系化し、Palo Alto NetworksのPrisma Accessなどのサービスを活用しながらユーザー企業の働き方改革を支援している。富士通もユーザー企業も変わる取り組みによってゼロトラストセキュリティ、ひいてはニューノーマル時代の新たな働き方を支えていく構えだ。