SASEとは？仕組みやメリットを解説！クラウド時代のセキュリティとネットワークの新フレームワーク

企業活動において「クラウド」の活用は、多様な働き方への対応だけでなく、業務効率の向上にも必要不可欠になっています。
クラウドサービスの利用がある企業がほとんどの現代において、そのセキュリティをどのように担保していくかは重要なポイントになります。
本稿では、2019年にアメリカのガートナー社が、いつでもどこでも誰もがセキュアにクラウドサービスにアクセスできるようにと提唱したSASEについてお話したいと思います。

SASEとはSecure Access Service Edgeの略で「サシ―」と読みます。2019年にアメリカのガートナー社が定義した用語です。
SASEが定義されるそのもっと前、2010年からあるゼロトラストセキュリティモデルに基づいて、ネットワーク機能とセキュリティ機能をクラウド上で統合して提供するという比較的新しいネットワークセキュリティアーキテクチャとなります。

個人的な意見ですが、新しいIT用語を調べると、記事によって「~というアーキテクチャです」とか「~というフレームワークです」とか「~というモデルです」とか「~というソリューションです」の様に締め括られていて、理解したようでやっぱり良く分からなかった...となる事がありませんか。
私はこれらで締め括られる用語の多くをバズワードだと思って捉えています（全てをそう思っているわけではないですが）

※バスワード...専門的でかっこいいから使われがちだけど実際のところ定義が曖昧で説明されにくい言葉

そうやって最終的に良く分からなかった...と思った自分に落胆せず、広く浅く単語を吸収出来ていれば良しとしています。

ちなみに、アーキテクチャやフレームワークは「構成、構造」、モデルは「考え方、模範」、ソリューションは「解決方法、サービス」として言い換えるともう少し理解し安くなるので、カタカナに惑わされる((；・∀・))という方は是非試してみてください。

SASEは、ゼロトラストモデルに基づいてクラウド上で必要なセキュリティ対策とネットワーク構成を構築し（Network as a Service and Network Security as a Service）必要な機能をエッジ（クライアント）に提供するという考えですので、機能としては以下を含みます。

物理ネットワークの上に仮想データチャンネルを構築し、ゼロトラストモデルに則りソフトウェアで相互通信を制御する機能。

通信のたびに使用しているネットワーク、デバイスの状態などについて認証を実施。

クラウドサービスの全利用を管理、監視、保護する（シャドーITにも対応）。

クラウド上で提供されるFirewall（社内ネットワークを経由しない通信も対応）。

社外ネットワークへの全アクセスを管理、監視、保護する（社内ネットワークを経由しない通信も対応）。

これらを纏めて１つのサービスとして提供しているベンダーはないかも知れません。その場合は各機能を情シス担当自身が選定してくる必要がありますが、ベンダーによってはSD-WANの中にZTNAが含まれていたり、CASBとSWGが１つのサービスに統合されていたり、ベンダーによってカラーが異なりますので「そのサービスが何の機能を持っているのか」を把握した上で、SASEを実現する為に必要な機能が賄えているか？で判断して下さい。

新型コロナの影響で日本は働き方が大きく変化しました。多数の従業員にテレワークが出来る環境を提供しなければならず、その為に殆どの企業が新たなクラウドサービスの導入を進めています。
改革が行われたと思いがちですが、実はかなり以前から働き方改革という言葉は存在していて、テレワーク環境の整備も行われていました。多くは一部の従業員による短期的な利用でしたが、それがあるが故に、より多くの従業員を対象にテレワークが出来る環境を整備する過渡期を迎えても、既設のネットワーク構成、既存のセキュリティ対策の延長線上でアレンジを加えるやり方になってしまっていました。
これは「社内ネットワークは安全、社外ネットワーク（インターネット）は危険」という境界型ネットワークが終焉に向かう序章となりました。これに加え、近年のサイバー犯罪の激化が後押しして、いっきに世の中がゼロトラストセキュリティの必要性に目覚めたと言っても過言ではありません。

境界型ネットワークを維持しながら新たな要件が出る度に新たなツールを導入するというやり方では、一つ一つのツールをバラバラに管理しなければいけません。
運用が煩雑になると担当者の負担やセキュリティリスクも高まります。
また膨れ上がったトラフィック（データ流量）を既存の社内ネットワーク、いわゆるVPNで受け止めるのも厳しくなってきたとお気づきの情シス担当も少なくないのではないでしょう。
SASEによりこれらを全てクラウドに統合する事で、運用管理の煩雑さや機能重複によるパフォーマンスの低下、長期的視点でのコスト圧縮、セキュリティリスクの軽減を図ることが出来ます。

2010年以降、新しいIT用語が数多く輩出されました。「〇aaS」と称されるクラウドサービスの需要が爆増し、それに伴って企業ネットワークの在り方やセキュリティの考え方が一変しました。SASE以前からある単語も、合わせてご紹介致します。

CASB（Cloud Access Security Broker）は前述した通り、従業員のクラウドサービスの全利用を管理、監視、保護する役割を持ったソリューションです。ロケーションを問わない働き方は、クラウドへの直アクセスのニーズを高めました。
シャドーITや、会社から管理されていない自宅ネットワークからのアクセスというセキュリティリスクを解消するのに役立ちます。CASBはSASEを実現する為の一つの機能として位置するものです。

ゼロトラストは境界型セキュリティの考え方を否定する新たなセキュリティモデルです。
「全ての通信を信用しない」をコンセプトに、社内ネットワークに流れる通信であっても全てのアクセス、デバイスをゼロから検疫します。SASEはこのゼロトラストモデルを基盤としたアーキテクチャです。

DLP（Data Loss Prevention）は情報漏洩対策ツールです。従来の情報漏洩対策では、ユーザや格納場所に由来したアクセス制御を基盤としていましたが、DLPはデータそのものを監視して漏洩を防ぐものです。DLP単体でサービスとして存在することもあれば、SWGの機能として含まれる場合もあります。こちらもSASEを実現する為の一つの機能として位置するものでしょう。