この記事は、 「ネットワーク上級編｜要件定義・設計・クラウド・自動化へ進む」 の第29回です。
第3章では、BGP、冗長インターネット接続、QoS、MPLS、SD-WANなど、 企業ネットワークを設計するうえで重要になる高度なネットワーク技術を学びます。
SASEとは？仕組み・構成要素・SD-WANやSSEとの違いを図解
クラウド利用やリモートワークが増えると、 「すべての通信を本社へ戻してからインターネットへ出す」という従来型の構成では、 性能・運用・セキュリティの両面で課題が生じます。 SASEは、ネットワーク接続とセキュリティをクラウド側で統合し、 利用者・拠点・端末・アプリケーションの場所に依存しにくいアクセス環境を作る考え方です。
SASEを学ぶときに重要なのは、 「新しいセキュリティ製品の名前」として覚えないことです。
SASEでは、ネットワークとセキュリティを別々に考えるのではなく、 「利用者がどこから、どのアプリケーションへアクセスしても、 必要な接続とセキュリティ制御を一貫して提供するにはどうすればよいか」 という視点で考えます。
この記事を読み終えるとできること
- SASEの基本的な考え方を説明できる
- 従来型ネットワークとの違いを説明できる
- SD-WAN・SWG・CASB・FWaaS・ZTNAの役割を整理できる
- SASEとSSEの違いを説明できる
- SASE導入時の設計ポイントを洗い出せる
- 顧客へSASEを技術用語だけに頼らず説明できる
SASEとは何か
SASE（Secure Access Service Edge）とは、 ネットワーク接続機能とセキュリティ機能を統合し、 主にクラウド経由で利用者・拠点・端末へ提供するアーキテクチャの考え方です。
従来の企業ネットワークでは、 「会社の中」と「会社の外」を分け、 社内ネットワークの境界にファイアウォールなどを配置して守る構成が一般的でした。
しかし現在は、業務システムが必ずしも社内データセンターに存在するとは限りません。
- SaaSを利用する
- クラウド上に業務システムを配置する
- 社員が自宅や出張先から接続する
- 複数拠点から直接インターネットへアクセスする
- スマートフォンやタブレットから業務システムを利用する
このような環境では、 「社内ネットワークへ入っているから安全」 「社外だから信頼しない」という単純な境界だけでは整理しにくくなります。
SASEで考える対象は「場所」だけではありません。
誰が、どの端末から、どのアプリケーションへ、 どの条件でアクセスしているのかを確認しながら、 ネットワーク接続とセキュリティ制御を提供します。
なぜSASEが必要なのか
従来型の「本社経由」に課題が出てくる
たとえば全国に複数拠点がある企業で、 各拠点からSaaSへアクセスする通信を考えてみます。
従来型のインターネットアクセス例
本社にファイアウォールやProxyを集中配置している場合、 支店のインターネット通信を一度本社へ戻してから外へ出すことがあります。
この構成には管理を集中しやすいメリットがありますが、 SaaSやクラウド利用が増えると次の課題が発生する可能性があります。
通信経路が長くなる
支店から近くのクラウドサービスを利用するだけでも 本社を経由することで、遅延が増える場合があります。
本社回線へ通信が集中する
Web会議やクラウドストレージなどの通信が増えると、 本社側のインターネット回線がボトルネックになる可能性があります。
利用場所が分散する
社員が自宅、ホテル、モバイル回線などから接続するため、 社内境界だけを守る構成では対応が難しくなります。
機能ごとに管理が分かれる
VPN、Proxy、FW、Webフィルタリング、 クラウドアクセス制御などを個別に運用すると、 ポリシー管理が複雑になることがあります。
SASEは「本社を経由させないこと」そのものが目的ではありません。 利用者とアプリケーションの場所を踏まえ、 必要なネットワークとセキュリティ処理を 適切な場所で提供できるようにする考え方です。
SASEの全体構成
SASEの基本イメージは、 利用者や拠点の通信をSASEサービスへ接続し、 そこで必要なネットワーク・セキュリティ処理を行ってから SaaS、インターネット、クラウド、社内システムなどへ接続する構成です。
SASEの基本構成イメージ
実際の製品やサービスでは、 各機能の提供方法や名称、接続方式、構成は異なります。
上級編では特定製品の名称を暗記するのではなく、 どの通信に、どのネットワーク機能とセキュリティ機能が必要なのか を判断できることを目標にします。
SASEを構成する主な機能
SASEでは、ネットワーク機能と複数のセキュリティ機能を組み合わせます。 代表的な機能を整理しましょう。
SD-WAN
複数回線を活用しながら、 アプリケーションや回線品質、ポリシーに応じて WAN通信を制御するためのネットワーク機能です。
Secure Web Gateway
利用者のWebアクセスを検査し、 危険なサイトや不適切な通信へのアクセスを 制御するための機能です。
Cloud Access Security Broker
利用者とクラウドサービスの間で、 SaaS利用状況の可視化やアクセス制御、 データ保護などを支援する機能です。
Firewall as a Service
ファイアウォール機能を クラウドサービスとして提供し、 通信の許可・拒否やセキュリティ制御を行います。
Zero Trust Network Access
利用者・端末などの情報を確認しながら、 必要なアプリケーションへのアクセスを ポリシーに基づいて許可する考え方・機能です。
可視化・ログ・ポリシー管理
ネットワークとセキュリティの情報を集約し、 通信状況、脅威、アクセス状況などを 一元的に確認しやすくします。
SASEを理解するポイント
「SD-WANというネットワーク」と 「SWG・CASB・FWaaS・ZTNAなどのセキュリティ」を 別々の島として管理するのではなく、 一貫したアクセス環境として統合していくことが重要です。
SASEとSSEの違い
SASEを学ぶと、よく一緒に登場する言葉が SSE（Security Service Edge）です。
SASEとSSEの関係
ネットワーク
SD-WANなど
利用者・拠点を 適切な経路でサービスへ接続する。
SSE
SWG・CASB・FWaaS・ZTNAなど
Web、SaaS、プライベートアプリへの アクセスを保護する。
| 用語 | 主な対象 | 考え方 |
|---|---|---|
| SD-WAN | WAN接続 | 回線・経路・アプリケーションを考慮してWANを制御する |
| SSE | セキュリティ | Web・SaaS・プライベートアプリへのアクセスを保護する |
| SASE | ネットワーク＋セキュリティ | 接続とセキュリティを一体として提供・運用する |
SASE＝SSEだけではありません。
セキュリティ機能だけを取り出した領域がSSEで、 SASEではそこへWAN接続などのネットワーク機能も含めて考えます。
SASE環境の通信の流れ
例1：拠点からSaaSへアクセスする
拠点 → SASE → SaaS
拠点の通信を必ず本社へ戻すのではなく、 SASEサービスへ接続し、 セキュリティチェックを受けたうえでSaaSへアクセスする構成を取れます。
例2：自宅から社内アプリケーションへアクセスする
Remote User → SASE → Private Application
利用者が社内ネットワークへ広く接続するのではなく、 認証情報や端末状態、ポリシーなどを確認したうえで、 必要なアプリケーションへのアクセスを許可する考え方につなげられます。
この部分は、次の記事 「Zero Trust Network Accessの考え方」 で詳しく扱います。
従来型ネットワークとSASEの違い
| 比較項目 | 従来型の例 | SASE型の考え方 |
|---|---|---|
| セキュリティ境界 | 本社・データセンター境界を中心に保護 | 利用者・端末・アプリケーション単位も考慮 |
| インターネット出口 | 本社・DCへ集約 | 利用場所からSASEサービスへ接続する構成も可能 |
| WAN | 専用線・閉域網中心の構成など | SD-WAN等を組み合わせて柔軟に接続 |
| Webセキュリティ | オンプレミスProxy等 | SWGなどをクラウドサービスとして利用 |
| リモートアクセス | VPNで社内ネットワークへ接続 | ZTNA等で必要なアプリへのアクセスを制御 |
| 運用 | 複数製品を個別管理する場合がある | ネットワーク・セキュリティポリシーの統合を目指す |
従来型ネットワークが間違っているわけではありません。
データセンター中心のシステムや、 閉域網を必要とする通信、 特殊なセキュリティ・性能要件などでは、 従来型構成が適する場合もあります。
「SASEだから新しい」「新しいから優れている」ではなく、 要件に合っているかで判断します。
SASE設計で確認するポイント
SASEを導入する場合も、 製品を先に決めるのではなく要件から考えます。
1．利用者と接続場所
- 本社・支店の利用者数
- リモートワーカー数
- モバイル利用の有無
- 海外拠点の有無
- 管理端末・BYODの扱い
2．アクセス先
- インターネット
- SaaS
- パブリッククラウド
- オンプレミスの業務システム
- 拠点間通信
3．必要なセキュリティ機能
- Webアクセス制御
- URLフィルタリング
- マルウェア対策
- クラウドサービスの可視化
- データ持ち出し対策
- FW機能
- ZTNA
- ログ・監査
4．認証・ID連携
SASEではIPアドレスやネットワークの場所だけでなく、 利用者や端末の情報を使った制御が重要になります。
- 利用しているID基盤
- 多要素認証の有無
- 端末状態を確認するか
- 利用者グループごとの権限
- 退職・異動時の権限管理
5．通信性能
セキュリティを強化しても、 業務アプリケーションが遅くなれば利用者へ影響します。
- SASE接続拠点までの遅延
- ピーク通信量
- Web会議・音声などリアルタイム通信
- 大容量ファイル転送
- 暗号化通信の検査による負荷
6．可用性
- SASEサービスへ接続できない場合の影響
- 拠点回線の冗長化
- 接続先障害時の切り替え
- 障害時の通信迂回方法
- 緊急時のバイパス設計
7．ログと監視
- 誰がどのサービスへアクセスしたか
- 遮断された通信
- 脅威検知ログ
- 拠点・端末の接続状態
- ログ保存期間
- SIEM等との連携
8．運用体制
- ネットワーク担当とセキュリティ担当の責任分界
- ポリシー変更の承認方法
- 障害時の問い合わせ先
- ベンダー・サービス事業者との責任分界
- 既存機器をいつまで残すか
設計レビューで重要な質問
「SASEを導入します」ではなく、 「誰の、どの通信を、どの経路で、どの機能によって保護するのか」 を説明できる状態にします。
SASE導入の進め方
SASEは複数のネットワーク・セキュリティ領域へ影響するため、 すべてを一度に切り替えるのではなく、 現状を整理しながら段階的に移行する方法も検討します。
- 現行ネットワークを把握する 拠点、回線、Internet出口、VPN、Proxy、 FW、クラウド利用、リモートアクセスなどを整理します。
- 利用者とアプリケーションを整理する 誰が、どこから、どのサービスへアクセスしているのかを把握します。
- 現状の課題を明確にする 本社回線の逼迫、VPN負荷、ポリシー分散、 SaaS可視化不足など、SASEで解決したい課題を決めます。
- 必要な機能を決める SD-WAN、SWG、CASB、FWaaS、ZTNAなど、 要件に必要な機能を整理します。
- 小さい範囲で検証する 一部利用者・一部拠点などで接続性、 性能、セキュリティポリシーを確認します。
- 段階的に移行する 拠点単位、利用者単位、機能単位などで 移行範囲を広げます。
- 旧構成を廃止する 安定稼働と切り戻し条件を確認したうえで、 不要になったVPN・Proxy・FW構成などを整理します。
移行時には、 「新しい通信経路で正常に通信できるか」だけでなく、 「従来と同じセキュリティ要件を満たしているか」 も確認します。
SASEでよくある勘違い・失敗
SASEは、ネットワークとセキュリティを 統合して提供するアーキテクチャ・考え方です。 実装方法や提供機能はサービスによって異なります。
SD-WANはSASEにおけるネットワーク側の重要な要素ですが、 SASEではSWG、CASB、FWaaS、ZTNAなどの セキュリティ機能も合わせて考えます。
通信要件や既存システムによっては、 VPNを残す構成も考えられます。 「新技術へ置き換えること」ではなく、 要件に合うアクセス方式を選ぶことが重要です。
SASEサービスを経由することで通信経路が変わるため、 帯域、遅延、冗長化、障害時の迂回、 Web会議への影響などネットワーク設計も重要です。
先に「SASE製品を導入する」と決めるのではなく、 現在の課題、アクセス先、利用者、 セキュリティ要件、性能、運用条件から必要な機能を整理します。
SASEでは、 「どの経路で接続するか」と 「その通信をどう保護するか」を 一体として設計することが重要です。
顧客・上司へSASEをどう説明するか
技術に詳しくない相手へ、 「SWG、CASB、FWaaS、ZTNAを統合します」 と説明しても、導入目的は伝わりにくいでしょう。
説明例
「これまでは、会社の中から利用することを前提に、 本社へ通信を集めてセキュリティチェックを行っていました。 しかし現在は、自宅・支店・クラウドなど 利用者とシステムの場所が分散しています。
SASEでは、利用者がどこにいても、 必要なネットワーク接続とセキュリティチェックを クラウド側から提供できるようにします。 これにより、クラウド利用やリモートワークに対応しながら、 セキュリティルールも統一しやすくします。」
技術を業務効果へ変換する
| 技術的な説明 | 業務・運用面での意味 |
|---|---|
| SD-WANとセキュリティを統合する | 拠点接続とセキュリティ設定を一体として管理しやすくする |
| SWGを利用する | 危険なWebアクセスを場所に依存せず制御する |
| CASBを利用する | 利用中のクラウドサービスを把握し、情報持ち出しリスクを管理する |
| ZTNAを利用する | 必要な利用者だけを必要な業務アプリへ接続させる |
| クラウド型セキュリティへ移行する | リモートワークや拠点増加へ対応しやすくする |
上流工程では、 「SASEを導入すると何が新しくなるか」ではなく、 「現在のどの課題を、どの仕組みで改善するのか」 を説明できることが重要です。
SASEで使われる英語表現
| 英語 | 意味 |
|---|---|
| Secure Access Service Edge | SASE |
| Security Service Edge | SSE |
| Secure Web Gateway | SWG |
| Cloud Access Security Broker | CASB |
| Firewall as a Service | FWaaS |
| Zero Trust Network Access | ZTNA |
| Policy enforcement | ポリシーの適用・強制 |
| Cloud-delivered security | クラウドから提供されるセキュリティ |
| Private application | 社内・非公開業務アプリケーション |
ドキュメントで使われる表現
SASE converges networking and security capabilities.
SASEはネットワーク機能とセキュリティ機能を統合します。
Users can securely access applications from any location.
利用者はさまざまな場所から安全にアプリケーションへアクセスできます。
Access policies are based on user identity and device context.
アクセスポリシーは利用者IDや端末の状態などをもとに判断されます。
Traffic is inspected before access is permitted.
アクセスを許可する前に通信を検査します。
理解度チェック
用語を暗記するだけでなく、 SASE・SSE・SD-WANの役割を区別できるか確認しましょう。
問題1．SASEの説明として最も適切なものはどれですか。
- SD-WANだけをクラウドで管理する仕組み
- ネットワーク接続とセキュリティ機能を統合して提供する考え方
- 社内LANだけを保護するファイアウォール製品
- すべての通信を本社へ戻すためのWAN方式
解答を見る
SASEでは、SD-WANなどのネットワーク機能と、 SWG・CASB・FWaaS・ZTNAなどのセキュリティ機能を 一体として考えます。
問題2．SSEとSASEの違いとして適切なものはどれですか。
- SSEにはセキュリティ機能がなく、SASEにはある
- SSEはLAN専用、SASEはWAN専用
- SSEは主にSASEのセキュリティ機能側を指す
- SSEとSASEは完全に同じ意味
解答を見る
SSEはSWG、CASB、FWaaS、ZTNAなどの セキュリティ機能側を中心に扱います。 SASEでは、そこにSD-WANなどのネットワーク機能も含めます。
問題3．全国の支店からSaaSへの通信をすべて本社へ戻しており、 本社回線が混雑しています。 SASEを検討する際に確認すべきこととして最も適切なものはどれですか。
- すぐに本社回線を廃止する
- SASE製品の価格だけを比較する
- 支店の通信量、SaaS利用状況、セキュリティ要件、接続経路を確認する
- すべての支店へ同じルーターを設置する
解答を見る
SASEも要件から設計します。 通信量、利用サービス、必要なセキュリティ、 性能、可用性などを確認して構成を決めます。
問題4．次の機能を役割と組み合わせてください。
- SWG
- CASB
- ZTNA
- SD-WAN
- WAN経路を制御する
- Webアクセスを検査・制御する
- クラウドサービス利用を可視化・制御する
- 利用者等を確認し、必要なアプリへのアクセスを許可する
解答を見る
- SWG：B
- CASB：C
- ZTNA：D
- SD-WAN：A
問題5．SASEを設計するとき、 セキュリティ機能以外に確認すべきネットワーク要件を3つ挙げてください。
解答例を見る
- 必要帯域・ピーク通信量
- 遅延
- 回線・経路の冗長化
- 障害時の迂回方法
- 拠点数・利用者数
- リアルタイム通信への影響
実践演習：企業ネットワークをSASE型へ見直す
あなたは、複数拠点を持つ企業の ネットワーク更改を担当しています。
現在の構成
現行ネットワーク
顧客から聞いた内容
- Web会議とSaaS利用が増えている
- 支店からSaaSへアクセスすると遅いという声がある
- リモートワーカーが約400人いる
- リモートユーザーは現在VPNで本社へ接続している
- VPN装置の負荷が高くなっている
- 危険なWebサイトへのアクセスを制御したい
- 会社で許可していないクラウドサービスの利用状況を把握したい
- 社内の業務システムは今後も一部残る
課題1．現在の課題を分類する
顧客の状況から、 「ネットワーク」「セキュリティ」「運用」の 3分類で課題を洗い出してください。
セキュリティ：＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
運用：＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
解答例を見る
ネットワーク
- 支店のSaaS通信が本社を経由し、経路が長い
- 本社インターネット回線へ通信が集中する
- リモートアクセスVPN装置へ負荷が集中する
セキュリティ
- Webアクセス制御が必要
- 利用中のクラウドサービスを把握したい
- リモートユーザーのアクセス制御を見直したい
運用
- VPN、Proxy、FWなど複数機能を個別運用している
- 拠点・リモートユーザーのポリシー統一が必要
課題2．必要なSASE機能を考える
次の要件へ対応するため、 どの機能を検討すべきか答えてください。
| 要件 | 検討する機能 |
|---|---|
| 支店のWAN経路を柔軟に制御したい | ＿＿＿＿＿＿＿＿ |
| 危険なWebサイトへのアクセスを制御したい | ＿＿＿＿＿＿＿＿ |
| 利用中のクラウドサービスを把握したい | ＿＿＿＿＿＿＿＿ |
| リモートユーザーを必要な社内アプリだけへ接続したい | ＿＿＿＿＿＿＿＿ |
解答例を見る
- WAN経路制御：SD-WAN
- Webアクセス制御：SWG
- クラウド利用の可視化：CASB
- 社内アプリへのアクセス：ZTNA
課題3．SASE導入後の通信経路を考える
次の3通信について、 どのような経路とセキュリティ機能を使うか考えてください。
- 大阪支店 → SaaS
- リモートユーザー → 社内業務アプリ
- 東京支店 → インターネット上のWebサイト
2．リモートユーザー → ＿＿＿＿＿＿ → 社内業務アプリ
3．東京支店 → ＿＿＿＿＿＿ → Webサイト
解答例を見る
1．大阪支店 → SASE → SaaS
SD-WAN等でSASEへ接続し、
必要に応じてCASBやSWG等のセキュリティ処理を行います。
2．リモートユーザー → SASE/ZTNA → 社内業務アプリ
利用者・端末等を確認し、
許可された業務アプリへアクセスさせます。
3．東京支店 → SASE/SWG → Webサイト
Web通信を検査したうえで、
インターネットへアクセスさせます。
課題4．追加ヒアリング項目を考える
SASEの基本設計を始める前に、 顧客へ追加で確認したい質問を10個考えてください。
2．＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
3．＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
4．＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
5．＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
6．＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
7．＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
8．＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
9．＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
10．＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
解答例を見る
- 各拠点のインターネット通信量とピーク値はどの程度ですか？
- 現在利用しているSaaSは何ですか？
- 今後利用予定のクラウドサービスはありますか？
- Web会議の利用人数・時間帯はどの程度ですか？
- リモートユーザーがアクセスする社内システムは何ですか？
- 現在利用しているID・認証基盤は何ですか？
- 多要素認証は利用していますか？
- Webアクセスやクラウド利用にどのような制限が必要ですか？
- 通信・セキュリティログを何年間保存する必要がありますか？
- SASEサービスや回線障害時に許容できる停止時間はどの程度ですか？
自分の言葉で説明する課題
後輩エンジニアから、 「SD-WANとSASEは何が違うんですか？」 と質問されました。 1分程度で説明してください。
SASEとは、＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿。
説明例を見る
SD-WANは、複数のWAN回線や通信品質、 アプリケーションなどを考慮しながら、 拠点間・クラウド向けの通信経路を ソフトウェアで制御しやすくする技術です。
SASEは、そのSD-WANなどのネットワーク機能に加えて、 SWG、CASB、FWaaS、ZTNAなどの セキュリティ機能を統合し、 拠点や利用者の場所にかかわらず 一貫した接続とセキュリティを提供しようとする考え方です。
簡単に言えば、 SD-WANは主に「どうつなぐか」、 SASEは「どうつなぎ、どう安全に利用させるか」まで考える と整理できます。
まとめ
- SASEは、ネットワーク接続機能とセキュリティ機能を統合し、 主にクラウドから提供するアーキテクチャの考え方
- クラウド・SaaS・リモートワークの増加により、 本社境界だけを中心にしたセキュリティでは対応しにくい場面が増えている
- SASEではSD-WAN、SWG、CASB、FWaaS、ZTNAなどを組み合わせる
- SSEは主にSASEのセキュリティ機能側を扱い、 SASEではネットワーク機能も含めて考える
- SASEは単なる「VPNの置き換え」や「SD-WANの別名」ではない
- 設計では利用者、アクセス先、帯域、遅延、認証、 セキュリティ、可用性、ログ、運用体制まで確認する
- 製品から考えるのではなく、 現状課題と要件から必要な機能・通信経路を決める
SASEで重要なのは、 「ネットワーク」と「セキュリティ」を別々に設計するのではなく、 利用者がアプリケーションへ到達するまでを 1つのアクセス経路として考えることです。
上級編では、要件定義から基本設計、 BGP、SD-WAN、SASE、クラウド、セキュリティ、 自動化、設計レビュー・顧客提案までを順番に学びます。
コメント