ガートナーの最新の定義を基にすると、企業ネットワークを保護する主要なセキュリティ製品は、次の8種類に分類できる。中にはエンドポイントセキュリティ製品と呼べるものも含まれるが、「エンドポイントセキュリティはネットワークの存在を前提とした対策に移行する」という見方から、ガートナーはエンドポイントセキュリティとネットワークセキュリティを明確に区別せずに「インフラストラクチャプロテクション」と総称している（参考：スマートフォンやクラウドの普及がエンドポイントセキュリティを変える）。

• 次世代ファイアウォール
• 統合脅威管理（UTM）
• セキュアWebゲートウェイ
• 次世代IPS（侵入防止システム）
• セキュアメールゲートウェイ
• エンドポイントプロテクションプラットフォーム
• モバイルデータプロテクション
• デバイス制御

　時代の変遷によって名称や意味が変化していったものもあるため、それぞれについて確認しておこう。

次世代ファイアウォール：ポートだけでなくアプリ／ID単位で制御

　「次世代ファイアウォール」は、この2、3年で非常に注目されているゲートウェイセキュリティ技術の1つだ。その基本機能であるファイアウォールの歴史は古く、1993年にイスラエルのCheck Point Software Technologiesが世に出した「ステートフルインスペクション」技術が最初である。ステートフルインスペクション技術は、ポート単位で通信を識別・制御する。

　一方の次世代ファイアウォールは、ポートだけでなくプロトコルレベルの通信識別・制御も可能な「ディープパケットインスペクション」に加えて、アプリケーションや個人（ID）を識別・可視化し、より詳細に制御可能にした技術である。用語としての「次世代ファイアウォール」は、米Palo Alto Networksが最初に使い始めたとのことだ。

UTM：複数セキュリティ機能をワンパッケージに

　「UTM」は、複数のセキュリティ機能を1つのアプライアンスに統合したものである。ファイアウォール機能に加えて、VPNゲートウェイやゲートウェイ型ウイルス対策／スパム対策、IDS（侵入防御システム）／IPS、URLフィルタリングといった複数の機能を持つ。

セキュアWebゲートウェイ：URLフィルタから進化、アプリ／ID単位の制御も可能

　「セキュアWebゲートウェイ」は、URLフィルタリングを発端とした技術だ。ただし、こちらも次世代ファイアウォールと同様、アプリケーションとIDを識別して制御できるように進化している。ユーザーが利用するWeb／インターネットトラフィックを可視化して、マルウェアやフィッシングサイトをフィルタリングする他、従業員にインターネットポリシーを順守させるために役立つ。

次世代IPS：アプリやコンテンツまでチェックするIPS

　最近になって登場してきたのが「次世代IPS」だ。ガートナーでは、一般的なIPS技術の要件を満たした上で、

• アプリケーションを識別・可視化し、複数製品の連携によって得られる情報を活用すること
• コンテンツを詳細にチェックできること

などを次世代IPSの要件として挙げている。製品によっては、次世代ファイアウォールと同等の機能も備えているようだが、まだ登場したばかりの技術であるため、注意深くチェックしていきたいところだ。

セキュアメールゲートウェイ：スパム対策からマルウェア駆除まで

　「セキュアメールゲートウェイ」は、スパム対策を発端としたメールセキュリティ技術であり、情報漏えい対策技術や暗号化、マルウェア駆除などの複数の技術を搭載するようになった。

エンドポイントプロテクションプラットフォーム：ウイルス対策の進化形

　「エンドポイントプロテクションプラットフォーム」は、ウイルス対策ソフトを発端として、クライアント端末にインストールされるセキュリティソフトウェアの総称である。ウイルス対策に加え、ホストベースIPSやファイルの制御ログをまとめたファイル統計などの機能が備わっていき、ガートナーでは2008年ごろからこうした製品を指して「エンドポイントプロテクションプラットフォーム」と呼ぶようになった。

モバイルデータプロテクション：暗号化でディスクを保護

　「モバイルデータプロテクション」というと分かりにくいが、もう少し具体的にいうと、HDD暗号化技術の総称だ。大半のHDD暗号化製品は、企業システムへの普及が進むSSDでも利用できる。

デバイス制御： USBメモリ経由の情報漏えいを食い止める

　「デバイス制御」は、情報漏えい対策として、USBメモリや外部ディスクの利用を監視・管理する統合型のセキュリティソフトのことをいう。

Webアプリケーションを守るのはWAF？　それともIDS／IPS？

　上記のリストには入っていないものの、注目すべきセキュリティ技術に「Webアプリケーションファイアウォール（WAF）」がある。WAFは、その名の通りあくまでもWebサーバを守る技術だ。特に、多数のユーザーが非常に多数のWebサーバを高頻度で利用する環境を、サイバー攻撃から保護するために利用することが多い。そのため、サーバ数やユーザー数が限られる一般ユーザー企業のネットワークでWAFが使われることは、それほど多くない。

　「限られた環境で用いるWebサーバやWebアプリケーションであれば、IDS／IPSで十分だ」と石橋氏は語る。ただし、その運用にはポイントがあるという。「IDS／IPSの運用は、実に面倒だ。適切にチューニングしないと、アラートが挙がり過ぎたり、逆に全く挙がらなくなったりする」

　そこで石橋氏は、セキュリティ機器の運用や監視、リポート発行業務をサービスとして提供する「マネージドセキュリティサービス」の活用を勧める。「ノウハウ不足のまま自社で運用するよりも、セキュリティのプロフェッショナルに運用や監視を任せた方が、インシデント時の対処も容易になる」

次世代ファイアウォールとセキュアWebゲートウェイのすみ分けは？

　最近活発に議論されていることの1つは、セキュアWebゲートウェイと次世代ファイアウォールのすみ分けである。どちらも、アプリケーションやIDを識別し、ネットワークを可視化して制御できるという点で、機能的には同等のようにも見える。「実は、次世代ファイアウォールが登場した2008年ごろは、この2種は共存すると考えられていた。だが機能拡充の結果、次世代ファイアウォールがセキュアWebゲートウェイの機能を併せ持つようになった経緯がある」と石橋氏は説明する。

　長らくURLフィルタリングを利用しているユーザー企業の多くは、「URLフィルタリングの延長線上にあるセキュアWebゲートウェイをスキップして、次世代ファイアウォールに移行してもよいのかどうか悩んでいるようだ」と石橋氏は話す。

　中には、次世代ファイアウォールを中核としたセキュリティ体制へ移行した名古屋国際学園など、次世代ファイアウォールで幅広いセキュリティ対策を賄おうとする事例もある（参考：BYOD解禁とP2P対策、2大課題に挑んだ名古屋国際学園）。とはいえ、細かい使い勝手や機能を考慮すると、自社のニーズを単一のセキュリティ製品で満たすのは難しい。たとえ機能的に重複する部分があったとしても、複数のセキュリティ製品を組み合わせて運用したいと考えるユーザー企業も少なくないはずだ。

　では、次世代ファイアウォールとセキュアWebゲートウェイの場合、この2つを共存させることは可能なのだろうか。

　問題となるのが、双方の共存によってセキュリティポリシーに一貫性がなくなる可能性があることだ。次世代ファイアウォールとセキュアWebゲートウェイを独立して運用し、それぞれで個人識別による制御を実施すると、通信のタイミングによってWebサイトの閲覧制限が掛かったり掛からなかったりするといった不具合が発生することがあるという。

　「実は、次世代ファイアウォールとセキュアWebゲートウェイを組み合わせて運用しているユーザー企業は多い」と石橋氏は語る。ただし、こうしたユーザー企業の多くは、「“次世代ファイアウォールでは個人を識別しない”という運用方法を採用している」という。もちろんこれでは、「次世代ファイアウォールを導入した意味がない」。

　さらに、システムインテグレーター（SIer）が、次世代ファイアウォールとセキュアWebゲートウェイの共存をサポートしないケースも少なくないという。「海外企業など、情報システム部門にエンジニアを数多く有する企業の場合、自社のスタッフが動作を検証して、納得すれば共存させることもあるだろう。一方、一般的な国内企業の場合、『システムの動作はSIerに保証してもらいたい』と考えるところが多い。だがSIerは、共存により不具合が生じる可能性を研究を通して知っているので、“サポートできない”となる」

　こうしたことから、現状では次世代ファイアウォールとセキュアWebゲートウェイの共存はハードルが高いといえるだろう。ユーザー企業には、アプリケーションと個人の識別と制御の機能などを十分に吟味して、自社に最適な製品を選定することが求められる。

グローバル企業には「ポリシー統合管理」が不可欠

　石橋氏は、特にグローバル展開をしている企業の場合、ネットワークセキュリティ製品の選定時に注目すべきポイントがあると語る。それは、セキュリティポリシーの統合管理が可能かどうか、という点だ。

　グローバル展開をする企業は従来、各国の拠点からインターネットへのアクセスが発生したとき、通信をいったん国内の本社に集約し、そこでセキュリティ製品などで必要な制御をした上で、インターネットへアクセスさせるという手法が主流だった。だが「各国の拠点から日本国内のネットワークを経由させると大きな遅延が発生するため、アクセス速度が急激に低下してしまう」という問題がある。

　特に日本企業の進出が多いアジアには、まだインターネット環境が整っているとはいえない国や地域も多い。それに加えて大きな遅延が発生するようでは、生産性に多大な影響を与えることになる。

　こうした点を踏まえ、ネットワークセキュリティ製品の選定時には、拠点に設置した機器のセキュリティポリシーを中央から一括制御できるかどうかを確認すべきだと石橋氏はアドバイスする。「いちいち日本国内の本社を通過させず、各国の拠点から直接インターネットへアクセスさせることができるようになる。これにより、セキュリティレベルを統一しつつ、少なくとも各拠点での体感速度でネットワーク接続が可能になる」