Netskopeが「ゼロトラスト」でエンジニアの快適な開発環境を維持したまま、人とデータを保護できる理由を聞いてみた。
リモートワークの急激な普及でインターネットのトラフィックは増大しました。
それと同時にクラウドサービスを活用した業務のデジタル化が一気に進んでいると実感している方も多いのではないでしょうか。
一方で、クラウドサービスの利用拡大に際し、情報漏洩事件やマルウェア「Emotet*¹」による被害が発生したことでセキュリティへの関心が高まっています。
*¹ Emotet：悪意のある攻撃者によって送られる不正なメールから感染が拡大しているマルウェアのこと
このような流れの中、セキュリティサービス市場の中でも注目のSSE（Security・Service・Edge）ソリューションを提供しているのがNetskopeです。
Netskopeは情報漏洩など様々なセキュリティリスクから企業と従業員を守るためのクラウドサービスを提供しており、2022年のガートナー社が発表したSSEの『Magic Quadrant』にてリーダーとして選出されたりと、セキュリティサービス市場において評価を高めています。
今回はNetskope Japan株式会社のエバンジェリスト、白石庸祐氏にSSEとは何か、新たなセキュリティの考え方である「ゼロトラスト」とNetskopeの親和性、昨今需要が増加しているセキュリティ市場に関するお話を伺いました。
サイバーセキュリティについてよくわかる資料が公開中！
「クラウドと脅威に関するレポート」、「クラウドにおけるデータ戦略保護の立て方」、サイバーセキュリティコミック「ミス・ゼロトラスト」などを公開しています。
目次
プロフィール
エバンジェリスト
データ・情報の漏洩を防ぐのがNetskopeのミッション
――はじめに、Netskopeは、社会のどんな問題を解決されようとしているのか教えてください。
白石 : Netskopeではセキュリティの課題に対する様々なソリューションを提供しています。
それらのソリューションを使用して実現したいことは、データの保護です。
クラウドサービスの利用が普及する以前は、システムやネットワークのセキュリティを強化するためにファイアウォールを設定するなど、自社でセキュリティ対策を講じる必要がありました。
ですが、最近はクラウドサービスの利用が当たり前となったため、インフラ側のセキュリティ対策をクラウドサービスのベンダー側が講じてくれます。
そのようなメリットがある一方で、データの共有などが簡単にできるクラウドサービスにおいて、従業員によるデータ漏洩のリスクが生じています。Netskopeはデータの漏洩を防ぐことができれば、お客さまが直面するであろう今後のセキュリティ事件・事故を大幅に減らせると考えています。
――クラウドサービス利用が拡大する以前は、どのようなセキュリティ対策の考え方が主流だったのでしょうか？
白石 : 調査によると、クラウドサービスの利用は2020年頃から大きく増加してます。
それ以前は、クラウドサービスも使われていたものの、日本ではどちらかといえばオンプレミス志向で、クラウド化に一歩踏み出せていないお客さまが多かったです。
そのため、クラウドサービスが普及する前は、いわゆる「境界型防御」と呼ばれる、社内ネットワークに“壁”を作って守っていくセキュリティの考え方が主流でした。
ほとんどの社員が出社して仕事をしていたため、一部のリモートワークをする人だけがVPNを経由して社内ネットワークに入ってからWebサイトなどへアクセスをする、もしくは仮想デスクトップなどを利用することで社内と同等のセキュリティを担保しようという考え方が多かったと思います。
今でも忘れられないのですが、その頃はお客さまのところにヒアリングに行っても、クラウドサービスを利用していないし、今後も一切利用する気がないと言われたこともありました。
しかし、現在クラウドサービスの利用に全く興味がないというお客さまはほとんどいません。
――以前は日本では「VPNがあれば安心」といった空気感のようなものがあったと感じますが、いかがでしょうか？
白石 : たしかにその感じはあったと感じます。ただし安心だとは思ってはいなかったかもしれませんね。むしろ今までは「それしかないからしようがない」という空気感だったかもしれないです。
日本でも、コロナ禍をきっかけにリモートワークをしていくためにとりあえずVPNを導入したり、いまあるVPNを増強しようという企業が増えました。
それに伴ってVPNの脆弱性を狙う攻撃も増え、VPNを使うこと自体がリスクになるという認識が企業の中で広まってきています。
――たしかに、VPNは企業側の負担がちょっと大きいのではないかという見解も見られたと思います。
白石 : 50名用のVPNを買っていたのに、リモートワーク推進とともに500名用が必要になってしまい慌てて増強するという企業もいました。VPNを増やし続けるとしても、基本的にはハードウェアなので初期投資、設備投資が必要ですし、減価償却の観点で買ったら通常は数年間は使わなければなりませんから、急激な変化に対応しづらい面はあると思います。
また、VPNはネットワーク同士をつなぐので、VPN越しにマルウェアが水平展開して広がる可能性もあります。こういった課題を解決するために、ゼロトラストネットワークアクセス（ZTNA）と呼ばれるソリューションを導入したいというお客さまが増えています。
「ゼロトラスト」でセキュリティの心配なく、従業員が気持ちよく働けるようになる
――最近では、クラウドサービスの利用が増え、大手企業では一社あたり何百種類も利用している例もあるようですね。
白石 : 組織が管理していない「シャドーIT（Shadow IT）」のことですね。企業が契約している「サンクションIT（Sanctioned IT）」つまり、「Microsoft365」や「Google Workspace」、「BOX」「Slack」といったクラウドサービスは指で数えるほどですが、従業員が勝手に使うシャドーITはリモートワーク環境下で飛躍的に増えました。あるお客さまの事例では、1300人規模の会社で500個ほどのシャドーITが見つかったこともあります。もう、どの企業においても見過ごせない状況です。
Netskopeが日本に来たのは2017年ですが、それまで日本では従業員のクラウドサービスの利用を監視し、未然に危険を検知して対策するようなソリューションは広まっていませんでした。そのため、シャドーITが存在していても、見つける方法も制御する方法も分からず、放置されているような状況がありました。
――パンデミックによるリモートワークの増加では、情報漏洩事故は増えたのでしょうか？
白石 : リモートワークの増加の影響というよりも、昨今はマルウェア「Emotet（エモテット）」が台頭してきて、事件簿はこれで一杯になっています。Emotetが流行った背景には、もしかしたらリモートワークの影響もあるのかもしれませんが、Emotetで事件が一気に増えた感覚はあります。
Emotetにおいても、C2サーバーへのアクセスや機密情報の流出を防いだり、クラウドやWeb経由でのマルウェアのダウンロードを検知・ブロックしたりと、Netskopeは様々な方法で被害を抑えることが可能です。
それとは別にクラウドを利用した情報漏洩事故も見かけることがあり、その多くが情報システム部が管理していないクラウド、つまりシャドーITを利用したものです。
――セキュリティ意識が高まったことで、Netskopeの導入が増えているのですね。
白石 : Netskopeが選ばれている理由は、今のところ、大きく分けると3つあります。
1つ目はクラウド利用が増えたこと、2つ目はリモートワークが増加したこと、3つ目は会社のビジョンとしてゼロトラスト※2を目指すお客さまが増えたことです。
※2 ゼロトラスト：「何も信頼しない」を前提に対策を講じるセキュリティの考え方
お客さまがゼロトラストを目指す理由にはコロナ禍によるリモートワークなどあるかもしれませんが、別の観点からいうと、お客さまがセキュリティのグランドデザインを考える際に、ゼロトラストを積極的に打ち出すケースがかなり増えています。
これまではマルウェア対策、リモートワーク対応、クラウド対応など具体的な課題ベースでしたが、今後目指すインフラやセキュリティのデザインとしてゼロトラストを目指す企業が増えてきました。
――今後、ゼロトラストがキーワードになりそうですね。
白石 : 以前はゼロトラストは絵空事のような話でしたが、NetskopeをはじめとするSSEソリューションや、IDaaS, EDR, MDMなどその他のソリューションが充実してきたことで現実的になりました。ゼロトラストは終わりのない旅ではありますが、Netskopeを導入することでゼロトラストの実現に大きく近づけると、すでに導入しているお客さまからも高い評価をいただいています。
――ここで、あらためてゼロトラストがどんなものか教えてください。
白石 : まず、何のためにゼロトラストを目指すのかを知っていただけると良いと思います。ゼロトラストは、基本的にはセキュリティを確保しながらも利便性高く、従業員が快適に仕事をするために必要なビジョン・考え方のことだと思います。
例えばフルリモートワークで、好きな時間に好きな場所から働けるといった利便性を実現するために、SSEソリューションを利用することでセキュリティを保ちつつも低遅延でクラウドサービスが使えるようになります。セキュリティ面の心配なく、従業員は気持ちよく働けます。これを突き詰めていくのにゼロトラストの考え方が合っています。
――ひとつひとつの安全性を検証して接続していくことが以前のセキュリティ手法と大きく異なるのでしょうか？
白石 : 以前の境界型防御の考え方によると、境界の中に入っているものは全て信頼し、社内にいれば誰でもファイルサーバなどの社内アプリケーションに繋がることが多かったのですが、今日では、そういうわけにはいきません。
今まで社内で目が届いていた境界型防御とは違い、リモートワークは別の場所で働くわけです。そうなってくると毎回、アクセス、セッションを検証しないと安全が確保できないことが当然になってくると思います。
SSE市場のリーダーとして、統合ソリューションを提供し業界を牽引していく
――Netskopeはガートナー社が2022年に発行したSSEの『Magic Quadrant』でリーダーとして選出されたり、2021年には「Gartner Peer Insights」のSWG部門においてカスタマーズチョイスの1社として評価されたりするなど、市場からも高い評価を得ています。ここで改めて、Netskopeのセキュリティサービスの特徴やメリットがどういった点にあるか教えてください。
白石 : Netskopeのやりたいことは、先ほども申し上げた通り、データの保護です。
SSEには次の4つのコアがあり、それらを統合して提供することを推奨しています。
- CASB(Cloud Access Security Broker)
- クラウドアクセスに対してセキュリティを提供する
- SWG(Secure web gateway)
- Webアクセスに対してセキュリティを提供する
- ZTNA(Zero Trust Network Access)
- プライベートアプリへの安全なリモートアクセスソリューション
- FWaaS(Firewall-as-a-service)
- 全てのポートとプロトコルを制御する
数多くのSSEベンダーが存在する中で、全てのソリューションを自社で開発するのが難しく、一部のソリューションを買収して実装することがあります。
そうすると、ソリューションごとに違う画面になったり、異なるエージェントになったりします。
これはSSEのビジョンからは外れていると言えます。
Netskopeでは、それらのソリューションの完全な統合を実現しています。
またその中でも、クラウドサービスに対する制御を非常に得意としています。
――Netskopeなら、クラウドサービスで個人情報がアップロードできないよう制御したり、アクセスを制限したり、問題のあるシャドーITを使おうとしたら使わせないようにしたりするといったことが可能になりますね。
白石 : シャドーITの発見は、Netskopeの得意技のひとつです。ポイントはその数にあります。シャドーITの発見には、SSEベンダー側で、多くのクラウドサービスを網羅したデータベースを用意する必要があります。このデータベースに登録されているクラウドの件数の多さが重要です。
Netskopeでは現時点で5万件以上のクラウドを把握しており、今後も追加していきます。
お客さまが何らかのシャドーITへのアクセスをしたら、このデータベースと突合して、セキュリティの観点で、0点から100点までの間で評価をします。「50点の危なさです」や「80点の信頼性です」と判定することで、シャドーITに厳しすぎる制限をつけることなく、ある程度、信頼できるものにはファイルのダウンロードを許可するなど、Netskopeではキメ細かい制御をすることが可能です。
――利便性を失わずにセキュリティを確保できるのは魅力的だと思いました。
白石 : Netskopeのメリットのひとつです。
私も元々エンジニアなのですが、たくさん制限をつけられて仕事をするのは、やはり好きではありません。ですから、特定のアプリケーションやクラウドサービスを使うなと禁じるのではなく、「マイナンバーをアップしようとしたら止めます」といったように事故がおきないようにガードレールを作り、問題行動が無いかを見守れるということがポイントになってきます。
こうすれば、開発者の皆さんが、それまでの仕事で活用していた、使いやすいクラウドサービスやアプリなどを引き続き利用することができます。これはNetskopeにしかできないことです。
当社のユーザーには、エンジニアが多く在籍する会社も多いのですが、こういった開発者のセキュリティという部分にNetskopeをあてはめる機会は非常に多いですし、得意な部分の１つです。
――Netskopeを使えば、エンジニアの方に快適に仕事をしてもらいつつ、しっかりデータを守ることができるのですね。
白石 : そうです。そうしないとエンジニアが会社を辞めてしまうこともあるらしいので……。
一同 : （笑）
白石 : 会社としても、従業員と管理側の双方の摩擦がなくなるような形でエンジニアの方々を守ることは重要だと思います。
――過去、退職前の従業員がデータをクラウドに流出させたり、持ち出したりするケースがありましたが、Netskopeを使っていれば、そういった問題も事前に防ぐことができますか？
白石 : 日本でも転職が増えています。当社でも、退職前の社員が大量にデータをダウンロードしているのを検知して注意することができたというご報告をいただいています。
実際、アメリカの調査では、退職まで30日を切ったユーザーのシャドーITなどへのファイルのアップロードは3倍ほどになるという結果が出ています。今後、日本でもこれまでのような性善説だけではデータを守りきれないのではないでしょうか。
――今後、関連する機能の強化などは予定されていますか？
白石 : Netskopeでは情報漏洩からデータを守ることを常に念頭に置いています。先日、発表したのが、EndpointのDLP（Data Loss Prevention）機能です。パソコンからUSBなどにデータを出力する際に、重要情報が入ってないか検査できるようになります。これでクラウドサービスだけでなく外部メディアも保護できることになり、情報漏洩のリスクを軽減することができます。さらにデータ保護の網羅性が広がることになります。
こういった方向性で、まだ私どもが手を出せていない情報漏洩の種を見つけて、潰していく方針です。
「あらゆるリスク」に対応し人とデータを保護するプラットフォームへ
――Netskopeはこれからさらに日本市場でも知名度が上がっていくと思いますが、御社のサービスとマッチする企業の規模や傾向などはありますか？
白石 : 正直、企業規模はあまり関係がないですね。もしかしたら、適合しやすい業種はあるかもしれませんが、Netskopeがハマる条件は、クラウドを使っているか、もしくは使う予定があるか、という部分が大きいです
数名規模の企業から数万名規模の企業まで幅広く導入実績がありますが、現在においては、規模は重要ではありません。ゼロトラストを目指しているか、クラウドを使っているか、リモートワークをしているか、といった条件の方がはるかに重要になっています。
――極端な話、10万人規模の企業であっても、インターネットやクラウドを使っていなければ不要ということですよね。
白石 : そうですね。ただ、そういったお客さまは減ってきていることや、会社全体での導入からリモートワークする部署だけでの導入まで、幅広いニーズに対応が可能であることから、様々なお客さまに当社の製品を使っていただけるようになってきていると思います。
――Netskopeがこれから目指す将来像は、どのようなものでしょうか？
白石 : Netskopeはあらゆるリスクに対応できるセキュリティ、つまりユーザーとデバイスがどこにいて何をしていても人とデータをしっかりと保護できるプラットフォームを目指しています。
人は社内・社外を問わず移動して好きなところで仕事をしており、アプリやデータはSaaS、Web、オンプレミスのデータセンターと様々な場所に存在しています。どうすれば人とデータを守れるかというと、SSEのようにクラウド型プラットフォームを用いてデータを復号・検査することで誰がどこに対して何をしようとしているのかを可視化した上で、制御していくことが必要になってきます。
現時点でのデータの検査だけではなく、ログから得たメタデータを解析してデータの移動やクラウド利用についての傾向をみたり、ユーザーの行動を分析して信頼度の点数をつけたりと、メタデータを有効活用することもできます。
このプラットフォームをより拡大していくことで、さらに包括的にデータを守っていくことができると考えています。
――最後にQiita Zine読者にメッセージをお願いします。
白石 : Netskopeの目線で見ると、開発者の皆さまはシャドーITを使う方が多いです。転職後の新しい職場でもそれまでご自身が使っていたツールやアプリケーションを使い続けたいという要望が非常に多いように思います。
また、熱中して仕事を進めていると、情報漏洩やセキュリティへの意識が低くなってしまう傾向が見られます。
しかし、当然ながら、誰しも情報漏洩をしたい訳ではなく、誰かに守ってほしいと考えています。エンジニアの方々が仕事に集中し、好きな場所から好きなスタイルで働きつつ、裏側できめ細かく情報漏洩が起こらないように守っていくにはなんらかのソリューションが必要になります。
このようにエンジニアの方々の生産性を高めつつ、リスクを回避することで、みなさんにとって理想的な環境を作り上げるのはNetskopeしかできないことだと思っています。Netskopeを使うことで「ちゃんと守られている」という安心感のもとで、やりたい仕事を効率的にすることができる世界を作っていきたいと考えています。
編集後記
リモートワークが一般化し、遠隔で働く社員が増えたことで、クラウドサービスの利用も一気に広まりました。これに呼応する形で、企業からの情報漏洩などの「事件」が報道される機会も増えたように感じます。全く他人事ではないと、心穏やかではないご担当者の方も多いと思います。
企業で情報システム管理をされている方々はNetskopeに興味を持たれたのではないでしょうか？
Netskopeでは、マンガやホワイトペーパーの形で、セキュリティに関する様々な情報提供を行っています。無料で入手できるので、ぜひご覧になってみてください。
取材／文：神田 富士晴
撮影：AtoJ
サイバーセキュリティについてよくわかる資料が公開中！
「クラウドと脅威に関するレポート」、「クラウドにおけるデータ戦略保護の立て方」、サイバーセキュリティコミック「ミス・ゼロトラスト」などを公開しています。