ゼロトラストと利便性を両立するための主な技術要素

1. DNSレイヤでのセキュリティ対策

SASEの初期防御の一つとして、DNS（Domain Name System）レベルでの制御が挙げられます。

DNSはあらゆるインターネット通信の入口となるため、不正ドメインへの名前解決を制御することで、通信の初期段階でリスク低減を図ることが可能です。

Web通信（HTTP/HTTPS）にとどまらず、DNS問い合わせ全体を対象としたセキュリティ対策が提供されています。

また、脅威インテリジェンスを活用することで、既知の不正ドメインへのアクセスを未然に制御する仕組みも採用されています。

※各製品の対応範囲や検知精度は異なるため、詳細は個別の仕様確認が必要です。

2. 暗号化通信への対応（SSL/TLS検査）

現在、多くのインターネット通信はSSL/TLSによって暗号化されています。このため、セキュリティ対策としては、通信内容を一度復号し検査を行う仕組みが重要となります。従来のファイアウォールやプロキシサーバのようなオンプレミス機器では、復号処理に伴う負荷増大が課題となるケースもありましたが、近年ではクラウド基盤上で処理を行うことで、パフォーマンスへの影響を抑えつつ検査を行うアーキテクチャも採用されています。

3. ZTNAによるリモートアクセスの高度化

ZTNA（Zero Trust Network Access）は、従来のVPNに代わるリモートアクセス手法として注目されています。

製品により対応範囲は異なりますが、以下のような観点が比較ポイントとなります。

• Webアプリケーション以外のプロトコル対応（例：ファイルサーバー等）
• デバイスやユーザー単位でのアクセス制御
• IDaaS等の認証基盤との連携

これらの仕組みを組み合わせることで、従来の境界型防御に依存しないアクセス制御が可能となります。

4. グローバルに分散したクラウド基盤

SASEでは、ユーザーからクラウドまでの経路設計が重要となります。

一般的に、SASEサービスは複数の拠点（PoP）を活用し、ユーザーが最寄りの拠点に接続することで、通信遅延の低減や安定性の確保を図ります。

また、主要なクラウドサービスやネットワークとの接続性（ピアリング）も、パフォーマンスに影響を与える要素の一つです。

5. 導入・運用を考慮したライセンス設計

SASEの導入検討では、コストモデルや拡張性も重要なポイントとなります。

ユーザー単位の課金モデル（IDベース）の場合、ユーザー1名分の料金で複数の端末を利用することが可能です。

また、特定部門からの導入や、検証（PoC）を行いながら段階的に全社展開するアプローチも可能です。

SASEは、ネットワークとセキュリティを統合するアーキテクチャとして、多様な働き方やクラウド活用の拡大を背景に導入が進んでいます。

その中で重要なのは、個々の製品や機能の優位性だけでなく、

• 自社の業務要件への適合性
• 運用体制との整合
• 段階的な移行の実現性

といった観点を踏まえた総合的な検討です。

各ソリューションの特長を比較しながら、自社に適した構成を選定することが求められます。