クラウドプロキシーでゼロトラスト時代の第一歩を｜仕組み・機能・オンプレミスとの比較

クラウドプロキシーは、クラウド上で提供されるプロキシーサービスのことです。IT用語としては、主に社内ネットワークから外部のインターネットに接続する際に、中継するサーバーを「プロキシーサーバー」あるいは単に「プロキシー」と呼びます。

クラウドプロキシーは従来型プロキシーに搭載されているURLフィルタリングなどの機能に加え、マルチデバイス環境での通信監視やSSLインスペクションなどの機能を搭載していて、テレワークなど社外からのインターネット接続でも通信の安全性を確保しやすいという点が特徴です。

クラウドプロキシーはクラウド上にあるプロキシーサーバーが通信を制御します。オンプレミス環境の場合、通信は基本的にデータセンターなどにあるプロキシーサーバーを経由します。テレワークなどで社外からインターネットにアクセスする場合も、VPNによりデータセンター内のプロキシーを経由するのが一般的です。ただし、この場合一度に多くの従業員がインターネットに接続すると、データセンター内にあるネットワーク機器の負荷が増大し、通信速度が落ちるなどの支障がでることもあります。

クラウドプロキシーの場合、通信量に応じて柔軟にスケール調整が行われるため、トラフィック増大によるアクセストラブルを減らしつつ、セキュアな通信環境を実現できます。

クラウドプロキシーは従来型のプロキシーにない機能や、クラウドならではの特性を持っています。クラウドプロキシーの基本的な機能や特徴について、7つご紹介します。

クラウドプロキシーには一般的なプロキシーの機能に加え、URLフィルタリングやアンチウイルス、サンドボックスといったセキュリティ機能が搭載されていて、マルウェア感染やフィッシング詐欺といったセキュリティリスクを低減できます。クラウドで提供されるため、外出先からのインターネット接続も安全に行えます。

TLS/SSLインスペクションとは、暗号化されたTLS/SSL通信を復号しチェックすることです。

今やほとんどのインターネット通信がTLS/SSLで暗号化されています。暗号化されることで、通信の盗聴リスクが減る一方、それを悪用してTLS/SSLにマルウェアを忍ばせるサイバー攻撃も存在します。

また、TLS/SSLインスペクションには一定の処理能力が必要で、オンプレミス環境で行うと通信量によっては動作が重くなるといったデメリットもありました。クラウドプロキシーは状況に合わせて柔軟にスケールアップ/スケールアウトが可能なため、TLS/SSLインスペクションにより通信速度が遅くなることもなく、業務を円滑に遂行できます。

クラウドプロキシーは、マルチデバイス環境でも安全な通信が実現できます。企業が社員にノートPCだけでなくスマートフォン（以下、スマホ）を提供するケースは少なくありません。スマホに対応した各種クラウドサービスも増加するなど、社員がスマホ上で業務データを扱うシーンも増えつつあります。

スマホなど使用するデバイスが複数になることで、セキュリティポリシーがバラバラになってしまえば、情報漏えいなどのリスクが高まります。クラウドプロキシーでは、デバイスを横断して統一したセキュリティ・ポリシーを適用できるため、情報漏えいリスクを最小限に抑えられます。

クラウドプロキシーのなかには企業で許可されていないクラウドの利用を制限できるタイプもあります。クラウドサービスには無料で個人アカウントを開設できるものもあります。こうした場合に生じるのが、企業があずかり知らぬところで、未許可のクラウドサービスを使ったデータのやり取りがなされる「シャドーIT」のリスクです。

クラウドプロキシーを活用してユーザーのクラウド利用状況を可視化の上、必要に応じてアクセスを制御することで、シャドーITのリスクを低減できます。
ただし一般的にクラウドサービスの可視化や制御は、「CASB」と呼ばれるセキュリティサービスの方が得意としております。クラウドプロキシーとの使い分けや連携を考慮したり、クラウドプロキシーとCASBが一体化した製品を利用するなど、ニーズや予算に応じた導入計画を立てることが重要です。

クラウドプロキシーはクラウドであるため、通信量に応じて柔軟にスケールできます。トラフィックが増大しても通信速度が落ちる心配はありません。また大手のクラウドプロキシーサービスは世界中に100か所以上の接続拠点を持ちます。そのため、世界中どこにいても、遅延することなくセキュアなインターネット接続の利用が可能です。海外に利用拠点がある場合でもクラウドプロキシーを利用することで、統一されたセキュリティ・ポリシーのもと、円滑に業務を遂行できます。

クラウドプロキシーと従来型（オンプレミス型）プロキシーの違いを表にまとめました。

CASB（Cloud Access Security Broker）はその名の通り、クラウドサービス利用を監視するための仕組みです。そのため、クラウドサービス以外の通信は対象外となります。クラウドサービスに特化しているため、ログイン制御以外にも操作ログを監視するなどよりきめ細かな制御が可能です。

一方、クラウドプロキシーはクラウドサービスも含めたインターネット通信全般を監視、制御しますが、CASBと比較するとクラウドサービスの可視化・制御機能に制限があることが多いです。クラウドプロキシーの方がカバー領域は広く、CASBはよりクラウドに特化しているといったイメージです。最近はCASB機能を搭載したクラウドプロキシーや、プロキシー機能を備えたCASBサービスなどもではじめており、境界も狭まりつつあります。

安全性や利便性といった理由から、クラウドプロキシーの導入は増加しつつあります。では、なぜクラウドプロキシーへの注目が集まっているのでしょうか？

クラウドプロキシーに注目が集まる理由の1つに、Microsoft 365やG Suite、boxといったSaaS＝クラウドサービスの業務利用の増加があります。従来まではソフトウェアとして利用していたメールや文書作成も、クラウドサービスを利用することが一般化しました。

総務省の令和2年版情報通信白書によると、企業のクラウド利用率は64.7％。2015年の44.6％から約1.5倍に増加している計算になります。クラウドは社内、社外を問わず使える利点があり、ユーザーの利便性が高まる一方で、インターネットトラフィックの増大や、情報漏えいなど新たな問題も生じているのが現状です。

引用：令和2年版情報通信白書｜総務省

クラウドサービス利用が増加したことで、企業は下記のような課題に直面することになりました。

ゼロトラストとは、「無条件に信頼せず、都度検証してから通信する」という考え方です。

従来までの企業におけるセキュリティは「境界型」と呼ばれ、社内と社外をネットワーク機器やソフトウェアで切り分けることがメインでした。つまり、「社内ネットワークは安全」という前提に立ち、社外からのさまざまな脅威に対しファイアウォールやゲートウェイを設置することで、セキュリティを確保する考え方です。

しかし、標的型攻撃やソーシャルエンジニアリング、フィッシング詐欺など近年のサイバー攻撃は巧妙さを増しています。さらにテレワークやクラウドの普及によって、「社外から情報にアクセスすること」が一般化しました。IPA（独立行政法人 情報処理推進機構）が2021年1月に発表した「情報セキュリティ10大脅威 2021」ではランサムウェアや標的型攻撃についで、「テレワークなどのニューノーマルな働き方を狙った攻撃」が上位に挙げられています。

ビジネス環境が劇的に変化する今、侵入されるリスクや情報漏えいするリスクに対し、企業はあらゆる手段を講じて、セキュリティを担保する必要性が生じているのです。

クラウドプロキシーをうまく活用することで、ネットワーク機器の負荷軽減が可能です。オンプレミス環境で接続する場合とは違い、社内ネットワーク（リモートアクセス環境）を経由せず、直接インターネット接続でクラウドプロキシーを利用できるため、テレワーク時やWebアプリケーション利用時に、通信速度が落ちるといったトラブルを回避できます。

クラウドプロキシーはクラウドサービスであるため、トラフィックが増加した際にも、サーバーやネットワーク機器を新たに増設する必要がありません。そのため、導入前の検討期間も含めて機器導入に要するコストや、システム構成を変更するなどの業務負荷を下げられます。障害監視やバージョン管理なども、クラウド側ですべて行うため、情報システム部門の業務効率化にもつながります。

クラウドプロキシーは従来型プロキシーが搭載しているセキュリティ機能に加え、マルチデバイス環境でのセキュリティ機能を備えています。スマホやタブレットなどにも統一されたセキュリティポリシーを適用することで、テレワークなど社外で業務を行う際のセキュリティを高めることが可能です。さらにCASB機能を搭載したクラウドプロキシーなら、クラウドサービス上でのユーザーの「振る舞い」を検知でき、情報漏えいのリスクを低減できます。

通信を遅延させることなく、どこにいてもセキュアな通信環境を実現できるクラウドプロキシーですが、注意点もあります。

クラウドプロキシーを利用することで、送信元IPアドレスがすべてクラウドプロキシーサービスのグローバルIPアドレスになる、という点には注意が必要です。たとえば、クラウドサービスの利用をIPアドレスで制御している場合、アクセスできなくなるリスクがあります。さらに、ほかのユーザー企業と共通のIPアドレスになってしまう場合もあります。

最近では、対応策を用意しているベンダーも増加しつつあるので、クラウドプロキシーを検討する際には、固定IPアドレスを設定できるかどうか確認しておくとよいでしょう。また、この場合の固定IPアドレスが、従来自社で使っているものをそのまま利用するのか、あるいはクラウドサービス側で提供するものなのかも、合わせて確認しておくことをおすすめします。

クラウドプロキシーを導入したからといって、すべての通信を制御できるわけではありません。クラウドプロキシーでは基本的に「http」もしくは「https」プロトコルが対象となります。https以外の通信がある場合は対象外となるので、注意する必要があります。ただし最近のクラウドプロキシーは、https以外の通信にも対応している製品がありますので、導入検討時にチェックしておくとよいでしょう。

自動でバージョンアップされることはクラウドプロキシーの大きなメリットですが、注意点もあります。バージョンアップされるたびに新しい機能が追加されたり、管理画面に修正が入ったりするので、従来利用していた操作マニュアルをそのまま利用できなくなる可能性があります。クラウドプロキシーがバージョンアップされる場合はかならず事前にユーザーに周知されますので、事前にリリースノートを読み、運用手順に修正がないか確認することが重要です。

クラウドプロキシーベンダーのシステムに障害が生じたり、セキュリティ侵害が起こるリスクはゼロではありません。大手クラウドサービスベンダーであっても、過去にトラブルも起きているのが実情です。また、特定のベンダーに依存しすぎてしまうことで、ほかのサービスやシステムへの乗り換えが困難になる「ベンダーロックイン」にも留意しておく必要があります。

クラウドプロキシーを導入することで、テレワーク時の通信の遅延やセキュリティに関する課題を解決できます。しかし、エンドポイント対策はどうするのか、インシデントが起こった際の対応はどうするかといった、セキュリティのすべてをカバーできるわけではありません。包括的な視点から、自社のネットワークとセキュリティを考える必要があります。