広範なVPNアクセスからゼロトラストへ
リモートアクセスで必要なのは、ユーザーの業務に必要なリソースへの到達であり、周辺ネットワークへの不要なアクセスではありません。ZTXGateは、ユーザー、デバイス、対象リソース、その時点の条件に基づいて許可を判断します。
従来のリモートアクセスVPNを見直す理由
VPNは現在でも有用で、適切に導入すれば安全に利用できます。一方、従来のVPN構成は通常、まずネットワークへの接続を確立します。その後の到達範囲を経路、ファイアウォール、セグメンテーション、ID・端末の制御などで制限します。
ZTNAは逆の順序で「このユーザーが、このデバイスを使い、今このリソースにアクセスしてよいか」を評価します。
ネットワーク接続とリソースへのアクセス
ネットワークへの接続が認められても、すべての内部アプリへの許可を意味しません。ZTXGateでは対象を個別に定義してアクセス範囲を明示できます。
VPNとZTXGateの比較
| 項目 | 従来のリモートアクセスVPN | ZTXGate |
|---|---|---|
| 基本モデル | ネットワーク接続 | 定義済みリソースへのアクセス |
| ユーザーID | VPNとID基盤による | ポリシーへ統合 |
| デバイスID | 製品により異なる | デバイスごとに登録 |
| ポスチャー | 周辺製品による | ポリシー入力として利用可能 |
| 期限付きアクセス | 周辺の制御を要する | ポリシーワークフローに組み込み |
| 申請・承認 | 別ワークフローを要する場合が多い | 組み込み |
| 追加認証 | 製品により異なる | ポリシーで要求可能 |
| 接続中の再評価 | 製品により異なる | 継続的な適用が可能 |
| IDライフサイクル | 周辺システムによる | OIDC・SCIM連携 |
| 監査 | VPNとログ基盤による | アクセス・認証・ポリシーを集約 |
| SIEM | 製品により異なる | syslog、CEF、JSON |
アクセス範囲を縮小
ユーザーに必要なアプリ、サーバー、データベースなどのリソースを定義し、ロールやデバイスと結び付けます。ネットワーク内の別のシステムへの不要なアクセスを削減できます。
一時アクセスに期限を設定
通常業務に必要な恒常的権限と、機密作業向けの期間限定権限を区別します。申請・承認と自動失効を使ってアクセスの残存を防ぎます。
デバイスIDをアクセス判断に組み込む
各デバイスを登録・管理でき、紛失や廃棄の際は該当する端末だけを失効できます。対応するMDM・EDRのポスチャー情報も追加できます。
既存のIDシステムを利用
OIDCで認証、SCIMでユーザーライフサイクルを同期します。既存のIDプロバイダーを継続利用し、二重管理を抑えます。
必要な場所で強い認証を要求
機密リソースには追加認証を設定できます。ライセンスされたZTXBASはエアギャップ環境でも利用できるフィッシング耐性のある生体認証を提供します。
アクセスを可視化
アクセス、認証、ポリシーの記録を検索し、対応するSIEMへ転送できます。アクセスの背景を説明できる監査証跡を残せます。
自社のペースで移行
既存VPNを一度に撤去する必要はありません。先に対象リソースとパイロット利用者を絞り、接続・認証・運用を検証しながら段階的に移行できます。
実践的なパイロット
- 一つの代表的なアプリケーションを選びます。
- 少数のユーザーとデバイスを登録します。
- リソース単位の許可を構成します。
- アクセス失効と追加認証を確認します。
- 監査記録を確認し、問題がなければ対象を広げます。
よくある質問
VPN技術は不要になりますか？ いいえ。VPNは依然として適切な用途があります。ZTXGateはリソース単位の認可を重視する別のアクセスモデルです。
現在のVPNをすぐ撤去する必要がありますか？ いいえ。段階的な併用・移行が可能です。
既存のIDプロバイダーは使えますか？ 対応するOIDC・SCIMプロバイダーを利用できます。
アクセスは自動失効しますか？ はい。期限付きアクセスが可能です。
CoreZTのクラウドサービスが必要ですか？ 基本的なアクセスには必須ではありません。