従来のVPNソリューションからZTNAへの移行とは

従来のVPNの概要：仕組みと弱点

仮想プライベート ネットワーク(VPN)ソリューションは、リモート ワーカーと企業ネットワーク間に暗号化されたトンネルを構築します。リモート ユーザーが接続すると、通常はすべてのトラフィックがVPNサーバー経由でルーティングされるため、まるでオフィスにいるかのように内部のアプリやネットワーク リソースにアクセスできます。このアプローチは数十年前から存在していますが、従来のモデルは、クラウド サービスの拡大や分散したユーザーの増加などに伴う新たなニーズへの対応に困難を抱えています。

従来のVPNは、一般にネットワーク上のすべてのユーザーとデバイスを信頼するものであり、VPNクライアントが侵害された際に内部サービスが侵入を受けるリスクをもたらします。さらに、離れた場所にいるユーザーの場合、VPN接続ではレイテンシーが発生する場合があります。これは、インターネットを利用する場合やトラフィックが多数のホップを経由する場合には特に顕著です。多くの場合、VPNはさまざまなハードウェア アプライアンスを介して管理されるため、コストと拡張性が課題になることがあります。

従来のVPNの主な弱点

• 広範な暗黙の信頼：VPNはユーザーをネットワークに直接接続するため、必要以上のアクセスを許可することになり、ラテラル ムーブメントのリスクが高まります。
• 管理の複雑さ：ユーザー数や脅威が増加するにつれ、VPNクライアント、VPNサーバーの容量、インフラの管理は、IT部門にとって煩雑な作業となる可能性があります。
• パフォーマンスのボトルネック：トラフィックが中央のVPNハブを経由してヘアピン通信が発生することで、リモート ワーカーや拠点のユーザー エクスペリエンスが低下する可能性があります。
• きめ細かな制御の限界：従来のVPNソリューションでは、きめ細かな可視性が不足し、管理者がネットワーク セグメンテーションや特権アクセス制御を簡単に実装できない場合があります。

ゼロトラスト ネットワーク アクセス(ZTNA)とは

ゼロトラスト ネットワーク アクセス(ZTNA)は、認証されたユーザーに対して、ネットワーク全体を開放するのではなく必要な特定のリソースの権限のみを付与するセキュリティ モデルです。「決してデフォルトで信頼せず、常に検証する」この原則によって、ユーザーのアイデンティティー、コンテキスト、デバイス ポスチャーを継続的に検証し、リスクを効果的に軽減することが可能です。

実際、ゼロトラスト ネットワーク アクセスとVPNを比較することで、セキュリティ戦略の根本的な変化が浮き彫りになります。ZTNAは、VPN接続を介して組織のネットワーク エッジ全体を拡張するのではなく、分離されたマイクロトンネルを設定します。これらの接続は通常クラウド サービスとして提供され、バックエンド リソースはアプリケーション ゲートウェイの背後に隠れたままになるため、単一のユーザーやデバイスが侵害された場合のラテラル ムーブメントのリスクが軽減されます。

ゼロトラスト ネットワーク アクセスとVPNの比較：主な違い

より優れたセキュリティ アプローチを求める組織の多くは、ZTNAとVPNを比較します。以下は、重要な領域におけるゼロトラストとVPNの違いを簡潔に示したものです。

リモート アクセス：ZTNAと従来のVPNの比較

現代の組織は分散環境で働く従業員に大きく依存しており、場所を問わず業務を行えるようにするための自由で安全な接続を必要としています。このような状況において、ZTNAとVPNの比較は差し迫った課題となっています。以下では、リモート アクセスに関する考慮事項について、パフォーマンスや拡張性に加え、コンプライアンスや管理の側面も含めて詳しく見ていきます。

パフォーマンス、拡張性、ユーザー エクスペリエンス

ZTNAは、より直接的なアプローチをとり、輻輳が発生するVPNアプライアンスを経由することなく、検証済みのユーザー トラフィックを必要な場所に正確にルーティングします。この設定により、ユーザー エクスペリエンスが向上するだけでなく、全体的なパフォーマンスが向上し、ネットワークのヘアピン通信によって生じる不必要なレイテンシーが排除されます。クラウドベースのアプリを使用してリアルタイムで作業する従業員が増えるなかでは、リモート ユーザーが増えるたびに従来のVPNハードウェアをアップグレードするよりも、ゼロトラスト プラットフォームで拡張する方が、はるかに効率的です。

対照的に、従来のVPNでは、新しいVPNクライアントが追加されるたびにVPNサーバーの負荷が増加し、組織のリソースに負担をかける可能性があります。ネットワークに輻輳が発生すると、パフォーマンスが低下し、ヘルプ デスクに苦情が殺到しかねません。その点、ZTNAでは、動的に拡張するための俊敏性が確保され、リモート ワーカーや新たな拠点の急増によってシステムが過負荷に陥ることを回避できます。

コンプライアンス、可視性、管理

ゼロトラスト フレームワークは、きめ細かな監査とコンプライアンス レポートに作成において威力を発揮します。あらゆる場面でユーザーを認証し、エンドポイントを継続的に監視することで、セキュリティ部門は誰が何のために重要なアプリにアクセスしているかについて、より高度なインサイトを得ることができます。このような綿密な監視によって、内部でのセキュリティ ポリシーの施行、設定ミスのリスク軽減、規制順守を支援します。

一方、従来のVPN環境では、コンプライアンス監査が複雑になる可能性があります。企業ネットワーク全体に接続した後では、どのリモート ユーザーがどのアプリケーションにアクセスしているのかについての関連付けが難しくなる場合があるためです。リソースの使用状況を大規模に追跡したり、ポリシーの順守状況を実証したりする必要があるセキュリティ担当者にとって、この不透明性は大きな問題となります。ZTNAは、アプリケーションレベルでアクセスをセグメント化することで、この複雑さを軽減します。

VPNからZTNAへの移行：ベスト プラクティス

従来のVPNモデルからの移行は困難に感じるかもしれませんが、体系的なアプローチを採用することで摩擦を軽減することができます。セキュリティと事業継続性の両方を維持するには、慎重な計画が必要です。

1. 現在のインフラの評価：展開済みのネットワーク リソース、ユーザー数、セキュリティ ギャップを特定し、移行前にすべての要件をマッピングします。
2. 段階的な展開：パイロット グループまたは特定のアプリケーションから展開を始め、ZTNAのプロセス検証、フィードバックの収集、ポリシー設定の改善を行います。
3. 関係者の教育：IT部門、リモート ユーザー、ビジネス リーダーに対して、新しいモデルのワークフロー、メリット、セキュリティへの影響に関するトレーニングを実施します。
4. 監視と分析の統合：可視性を維持し、潜在的な問題に迅速に対処するために、堅牢なログ管理、メトリクス、インシデントの対応プロセスが構築されていることを確認します。

VPNからZTNAに移行する際の課題と検討事項

VPN接続からゼロトラスト アプローチへの移行には、複雑さが伴います。たとえば、以下のような課題や検討事項が発生する場合があります。

• 文化的な変化：一部のユーザーは、VPNクライアントに慣れており、新しい習慣を取り入れることに抵抗を示すかもしれません。
• 旧式のシステム：古いオンプレミス アプリは、最新のゼロトラスト フレームワークに組み込むことが難しい場合があります。
• ネットワーク トポロジー：マルチクラウドやハイブリッドのネットワーク環境では、環境特有の脅威に対応しながらトラフィックを安全にルーティングし、ユーザー認証を行うために創造的な設計が必要になることがあります。
• ポリシーの調整：詳細なルールを設定するには、誰がどのリソースに対する特権アクセスを必要とするかを詳しく調べる必要があります。
• ベンダーの選定：ゼロトラストをうたうセキュリティ ソリューションは多数存在しますが、確かな実績のある適切なパートナーを選ぶことが重要です。

これらの課題に正面から対処することで、移行を円滑化することが可能です。なお、ここで共通のテーマとなっているのは「継続的な検証」という原則です。これは、持続的な問題への対処法によく似ています。たとえば、問題を無視すれば、部屋の中を飛び交うハエはますます増えていきますが、その状況を直視して「窓」を閉めれば、招かれざる客の侵入を未然に防ぐことができます。同様に、ZTNAを段階的に展開することで、従来のVPNシステムの開放性を悪用する攻撃者から組織を保護できます。ゼロトラストの手法で環境を保護すれば、小さな問題が大きなセキュリティ上の脅威に発展する可能性はなくなります。

入念な準備と連携によって、組織は最終的にゼロトラスト ネットワーク アクセスの持つレジリエンスを活用し、従来のVPNをリプレースするとともに、進化し続けるデジタル環境で機密データを適切に保護できます。

Zscalerの実績あるZTNAでVPNをリプレース

Zscaler Private Access (ZPA)は、確かな実績を持ち、広く導入されているゼロトラスト ネットワーク アクセス(ZTNA)ソリューションです。ネットワークに内在するエクスポージャーを排除しながらパフォーマンスを向上させることで、従来のVPNインフラを効果的にリプレースします。AIを活用したクラウド ネイティブ アーキテクチャーを採用することで、ユーザーを実際のネットワークに接続することなく、ユーザーとアプリケーション間の安全な直接接続を確立し、ラテラル ムーブメントや侵害のリスクを大幅に軽減します。ZPAは、以下のような複数の重要なメリットを提供します。

• セキュリティの強化：アプリケーションをインターネットから不可視化し、AIを活用したユーザーとアプリ間のきめ細かなセグメンテーションによって脅威のラテラル ムーブメントを排除します。
• パフォーマンスの向上：全世界160か所以上の中から最も近い場所にあるポイント オブ プレゼンスを通じて、アプリケーションへの高速かつ低遅延の直接接続をユーザーに提供します。データ センター経由でトラフィックをバックホールする必要はありません。
• 管理の簡素化と拡張性：エージェントレスまたはエージェントベースの統合アプローチにより、ユーザーや拠点全体に迅速に展開し、従来のVPNに比べ管理負荷を大幅に軽減できます。
• 包括的な保護：高度な脅威対策、情報漏洩防止、アイデンティティーとコンテキストに基づく継続的な検証など、統合されたセキュリティ機能を提供します。

リモート アクセスのセキュリティ態勢とユーザー エクスペリエンスを変革するZscaler Private Accessの仕組みの詳細は、デモを依頼してご確認ください。