【ITニュース解説】“脱VPN”は序の口？　モバイル時代にネットワークセキュリティ再考が必須な訳

現代の企業活動において、従業員がオフィスに出社し、固定されたパソコンを使って仕事をするという従来の働き方は大きく変化した。スマートフォンやタブレットといったモバイルデバイスが業務で広く使われるようになり、社員は自宅や外出先など、さまざまな場所から企業のリソースにアクセスするのが当たり前になった。この変化は、ビジネスの効率化や柔軟な働き方を可能にする一方で、企業のネットワークセキュリティに新たな、そして大きな課題を突きつけている。

従来、企業は社内のネットワークと社外のネットワークとの間に強固な「境界」を設け、その境界で不正なアクセスを防御するという考え方でセキュリティを構築していた。これは「境界型防御」と呼ばれ、まるで城壁で囲まれた城のように、内部は安全、外部は危険という前提でセキュリティ対策を進めてきた。外部からのアクセスが必要な場合は、VPN（Virtual Private Network）という技術を使って、インターネット上に仮想的な専用回線を作り、あたかも社内ネットワークにいるかのように安全に接続できるようにしていた。VPNは、離れた場所からでも社内システムに安全にアクセスできる便利な仕組みであり、多くの企業で利用されてきた。

しかし、モバイルデバイスが業務で広く利用されるようになると、この「境界型防御」とVPNを中心としたセキュリティモデルには限界が見えてきた。その理由はいくつかある。まず、従業員が利用するモバイルデバイスは、会社の管理が行き届いた固定のパソコンとは異なり、個人所有のデバイスであったり、社外に持ち出されたりすることが多い。これらのデバイスは、公衆Wi-Fiのようなセキュリティが不十分なネットワークに接続される可能性もあり、ウイルス感染や情報漏洩のリスクが高まる。

次に、アクセス元が多様化した点も大きい。従来のオフィスでは、社内ネットワークからのアクセスがほとんどだったが、今は従業員が自宅、カフェ、移動中の電車内など、あらゆる場所から業務システムにアクセスする。これにより、企業ネットワークの「境界」があいまいになり、どこが安全な内部で、どこが危険な外部なのか、区別がつきにくくなった。VPNを使えば安全な接続は可能だが、すべてのモバイルデバイスからのアクセスをVPN経由にするのは、管理の複雑さやパフォーマンスの低下を招くことがある。また、VPN自体が万能ではなく、もしVPNの認証情報が盗まれたり、VPN機器に脆弱性が見つかったりすれば、そこから社内ネットワーク全体への侵入を許してしまうリスクも存在する。

さらに、近年では企業が利用するシステムも、社内のサーバーだけでなく、クラウドサービス（SaaSなど）の利用が一般的になった。これにより、従業員は企業のネットワークを経由せず、直接インターネット上のクラウドサービスにアクセスする機会が増えた。この状況では、従来の境界型防御の考え方では、社員がどこからどのサービスにアクセスしているのか、一元的に把握し、制御することが非常に難しくなる。

このような背景から、「脱VPN」という言葉が象徴するように、従来のセキュリティモデルから脱却し、モバイル時代に合わせた新しいセキュリティの考え方が求められている。それは、もはや「安全な内部」と「危険な外部」という区別を前提とせず、すべてのアクセスを疑い、常に検証するというアプローチである。具体的には、アクセスしてくるデバイスが会社の正規のものであるか、最新のセキュリティ対策が施されているか、アクセスしようとしているユーザーが本当に本人であるか、そしてアクセス先のリソースにアクセスする権限を持っているか、といった点を、たとえ社内からのアクセスであっても常に確認し、正当性を証明できない限りはアクセスを許可しないという考え方だ。

この新しい考え方は、ユーザーやデバイスがどこにいても、安全に、そして効率的に業務を遂行できる環境を提供しながら、企業の情報資産を守ることを目指している。ネットワークの「境界」が溶解し、従業員が多様なデバイスと場所から業務を行う現代において、もはや従来型の汎用的なネットワークセキュリティツールや考え方だけでは、情報漏洩やサイバー攻撃から企業を守ることはできない。企業のセキュリティ担当者は、モバイルデバイスの業務利用がもたらす新たなリスクを正確に理解し、それに対処するためのセキュリティ戦略を根本から見直すことが急務となっている。