SASE

SASE（Secure Access Service Edge）とは、2019年にGartnerが提唱したネットワークアーキテクチャの概念であり、SD-WANなどのネットワーク機能とセキュリティ機能をクラウドベースの単一プラットフォームに統合するフレームワークです。従来、別々に導入・管理されていたネットワークとセキュリティの機能を一元化することで、リモートワークやクラウドサービスの普及に対応した柔軟かつ安全なアクセス環境を実現します。

SASEの中核をなすセキュリティ機能には、CASB（Cloud Access Security Broker）、SWG（Secure Web Gateway）、FWaaS（Firewall as a Service）、ZTNA（Zero Trust Network Access）の4つのコンポーネントが含まれます。これらがSD-WANと統合されることで、ユーザーの場所やデバイスを問わず、一貫したセキュリティポリシーの適用とネットワーク最適化が可能となります。

SASEの導入形態には、すべての機能を単一ベンダーから提供されるシングルベンダーSASEと、ネットワークとセキュリティを異なるベンダーの製品で構成するデュアルベンダーSASEがあります。シングルベンダーは運用の簡素化と統合性に優れ、デュアルベンダーは各分野のベストオブブリード製品を選択できる柔軟性があり、組織の要件や既存環境に応じた選択が求められます。

SASEの背景と必要性

従来の企業ネットワークは、本社のデータセンターを中心としたハブ＆スポーク型のアーキテクチャで構成されていました。しかし、クラウドサービスの急速な普及、リモートワークの常態化、IoTデバイスの増加により、すべてのトラフィックをデータセンター経由で処理するモデルは、パフォーマンスの低下とセキュリティの複雑化を招くようになりました。

SASEは、この課題に対してネットワークとセキュリティをクラウドエッジに移行し、ユーザーに最も近いポイントでポリシーを適用するアプローチを採用しています。これにより、トラフィックの迂回を最小化しつつ、一貫したセキュリティを確保することができます。

SD-WANの役割

SD-WAN（Software-Defined Wide Area Network）はSASEのネットワーク基盤として機能します。MPLS、ブロードバンド、LTEなど複数の回線を統合的に管理し、アプリケーションごとに最適な経路を動的に選択します。クラウドアプリケーションへの直接接続（ローカルブレイクアウト）により、データセンターを経由せずに高速なアクセスを実現します。

CASB（Cloud Access Security Broker）

CASBは、組織がクラウドサービスを利用する際のセキュリティポリシーを制御するゲートウェイです。シャドーITの検出、データ損失防止（DLP）、アクセス制御、脅威防御の4つの柱を提供し、SaaS・IaaS・PaaSに対する可視性とコントロールを確保します。SASE統合により、ネットワークレベルでのインラインなクラウドセキュリティ適用が可能になります。

SWG（Secure Web Gateway）

SWGは、Webトラフィックをフィルタリングし、マルウェア、フィッシング、不適切なコンテンツからユーザーを保護するセキュリティ機能です。URLフィルタリング、SSL/TLSインスペクション、マルウェアスキャン、データ漏洩防止などの機能を備えています。SASEに統合されることで、VPNを使用せずにリモートユーザーにも同一レベルのWeb保護を提供できます。

FWaaS（Firewall as a Service）

FWaaSは、従来のオンプレミスファイアウォールの機能をクラウドサービスとして提供するものです。次世代ファイアウォール（NGFW）の機能であるIPS/IDS、アプリケーション制御、URLフィルタリングなどをクラウド上で実行し、拠点やリモートユーザーの場所を問わず統一的なファイアウォールポリシーを適用できます。

シングルベンダー vs デュアルベンダー

シングルベンダーSASEは、Palo Alto Networks（Prisma SASE）、Zscaler、Netskope、Cato Networksなどが代表的な提供ベンダーであり、すべてのコンポーネントが統合されたプラットフォームとして運用の一貫性と簡素化を実現します。一方、デュアルベンダーSASEは、例えばSD-WAN専業ベンダーとSSE（Security Service Edge）ベンダーを組み合わせるアプローチで、各分野の最先端技術を活用できますが、統合の複雑さが課題となります。

• 01
  段階的な導入計画の策定：SASEへの移行は一度に全機能を切り替えるのではなく、まずSD-WANまたはSSEの一方から導入を開始し、段階的に統合を進めてください。既存のネットワーク・セキュリティ環境との共存期間を設け、移行リスクを最小化することが重要です。
• 02
  統一的なセキュリティポリシーの設計：SASE導入前に、全社的なセキュリティポリシーを統一的に設計してください。拠点・リモートユーザー・クラウドアクセスに対して一貫したポリシーを適用し、ポリシーの抜け漏れや矛盾を排除することが重要です。
• 03
  ゼロトラスト原則の徹底：SASEの導入に合わせて、ZTNAコンポーネントを活用したゼロトラストアーキテクチャを実装してください。すべてのアクセスリクエストに対して認証・認可・検証を行い、最小権限の原則を適用することで、ラテラルムーブメントのリスクを低減できます。
• 04
  SSL/TLSインスペクションの適切な実装：暗号化されたトラフィックの検査を有効化し、マルウェアや情報漏洩の検出精度を向上させてください。ただし、医療・金融など特定の規制要件に対応するための復号除外ルールを適切に設定し、プライバシー規制との整合性を確保する必要があります。
• 05
  可視性とログ管理の強化：SASEプラットフォームが提供するログ・分析機能を最大限に活用し、全トラフィックの可視性を確保してください。SIEM連携により、ネットワークイベントとセキュリティイベントの相関分析を行い、脅威の早期検出と対応を実現しましょう。
• 06
  ベンダーロックインリスクの評価：シングルベンダーSASEを採用する場合は、ベンダーロックインのリスクを評価し、契約条件やデータポータビリティを確認してください。マルチクラウド環境への対応力、API連携の柔軟性、撤退時のデータ移行手順を事前に検証することが重要です。