欧米流のゼロトラストをそのまま当てはめるのは得策ではない
約3年で大きく変化した企業のシステム利用形態。テレワークによる社外から社内へのシステムアクセスや、SaaSなどのクラウドサービスの活用が一気に増加した。連動してセキュリティー要件も大きく変わっている。閉域の企業内ネットワークとインターネットとの境界線上で守る「境界防御」が意味をなさなくなったからだ。社員の居場所が多様化したことで組織の内と外があいまいになり、守るべきポイントが増えている。
そこで注目されているのが、あらゆるデバイスや通信を信用せず、都度の認証を行うゼロトラストセキュリティーである。最近はその実現方法としてSASE（Secure Access Service Edge）が提唱されており、必要なソリューションをクラウド型で提供するベンダーも増えてきた。同時に、「できるだけ早くゼロトラストへ移行しないと危険」と訴える記事も増えている。
しかし、そのような考え方には少しだけ注意が必要だ。確かに閉域の企業ネットワークが限界を迎えつつあることは間違いないだろう。今後DXがさらに進めば、インターネットそのものを企業ネットワークとして活用するオープンネットワークが一般化し、ゼロトラストへの移行は必須になるはずだ。
一方、現在の日本企業には基幹系をはじめとするレガシーシステムがまだ大量に残っている。そこに欧米流のゼロトラストアプローチやSASEソリューションをそのまま当てはめてしまうと、かえって仕組みや運用の煩雑化、コスト増大といった問題を生じさせてしまうことになるからだ。
日本企業が見据えるべきは、一足飛びに完成形に移行するのではなく、既存資産を生かしながら段階的に進めていくことだ。そのための方法と効果について、次ページで紹介する。