また、VPNを使えば、信頼できない公衆無線LANから社内ネットワークに接続する従業員のセキュリティレベルを引き上げることもできる。顧客企業の無線LAN環境のように、パスワードで保護されてはいるものの、実際のセキュリティレベルが不明な無線ネットワークからの接続についても同様だ。

　モバイルユーザーが急増し、ユースケースも増加する中、VPN戦略では以下の要件を満たすことが求められる。

• VPNクライアントはできるだけ多くのプラットフォームに対応し、できる限り使いやすいものでなければならない
• 従業員が社内ネットワークにアクセスするためのインフラは、いつでも利用可能でなければならない
• 新規のモバイルアプリや利用者の追加に伴う急激なアクセスの集中や負荷の増加に対処できるよう、VPNインフラは拡張性を備えていなければならない
• ライセンス契約の内容は、不測の事態（天候や公衆衛生上の緊急事態など）によって生じる短期的な利用急増に対応できるものでなければならない
• VPNのサポートは年中無休でなければならない

クラウドVPNとマネージドVPN、どちらのサービスを選ぶべきか

　上記の要件を満たすのは容易ではない。特に資金やスタッフがそれほど潤沢ではないIT部門にとっては困難だろう。だが、VPN環境をサードパーティープロバイダーにアウトソーシングすれば、IT部門は、継続的な可用性や充実した顧客サポートを確保する負担や、広範に及ぶモバイルプラットフォーム向けの定期更新といった負荷から解放される。

　VPNのアウトソーシングには、2種類の基本的なアプローチがある。1つは、VPN装置をオンプレミスに構築し、その管理をマネージドサービスプロバイダー（MSP）に任せる方法。もう1つは、ホスティング型あるいはクラウドベースのVPNサービスを利用する方法だ。後者の場合、VPN関連のインフラはサービスプロバイダーのデータセンターに設置される。

　オンプレミスのアプローチでは、VPN環境の全てをIT部門の管轄内に設置する。そのため、IT部門はVPNインフラを完全にコントロール下に置くことができる。ファイアウォールなどその他のセキュリティインフラにもいえることだが、IT担当者は一般的に、VPN機器を第三者の支配下に置くことを好まない。とはいえ、堅牢な高可用性環境を構築するとなれば、会社にはより大きな費用負担が掛かり、スケーリングも難しくなりかねない。その点、日々の監視・管理をMSPに任せれば、ネットワーク担当者はVPNの運用管理に伴う負担をほぼゼロにできる。

　さらに、障害の原因分析やサービスの改善といった2次対応部門の引き継ぎが必要となる、ヘルプデスクへの問い合わせも大幅に削減できる。その結果、IT部門の人数の限られたヘルプデスクスタッフは、ネットワーク接続に関わる問題の対応に追われることなく、業務システムなどの課題の解決に集中できる。

　こうした運用管理上のメリットは、ホスティング型／クラウドベースのVPNサービスでも当てはまる。加えて、VPNサービスはコスト構造を「設備投資と運用費の組み合わせ」から「運用費のみ」にシフトさせる。インフラの構築とアップグレードはサービスプロバイダーの役目となる。新機能を追加する際には、エンドユーザーに意識させることなく、迅速かつ透過的に展開するのに役立つ。機能追加などのアップグレードをサービス利用規約に組み込めば、オンプレミスでハードウェアをアップグレードしたり、リプレースしたりする必要がなくなる。

　また、ホスティング型／クラウドベースのVPNサービスを使えば、インフラ設備を完全に入れ替えたり、減価償却が完了するまで使い切ったりする必要がないので、ニーズに合わなくなったシステムの修正や交換も容易だ。スケーリングに関する問題は全て、サービスを提供するホスティング／クラウドプロバイダーの責任となる。

　クラウドVPNとマネージドVPN、どちらのアプローチを選んだとしても、ライセンス契約の問題（例えばトラフィックの一時的な急増の対応など）は避けることができない。IT部門は、サービスプロバイダーと利用規約を交渉する必要があり、PNを支えるインフラによっては、交渉の余地がほとんどない場合もある。ロプライエタリなプラットフォームを使用しているプロバイダーの場合、契約の内容はベンダーの意のままだが、オープンソースプラットフォームでサービスを構築しているプロバイダーは、同時使用ユーザー数であれ料金であれ自由に設定できる。

　では結局のところ、ホスティング型／クラウドベースのVPNサービスと、オンプレミスのマネージドVPNのどちらを選ぶべきだろうか。以下に、幾つか指針を示す。

• 「VPNインフラを所有せず、社内のデータセンターに置かないこと」をリスク管理チームは納得しているか？　もしそうなら、クラウドサービスを検討するといい
• 「VPNインフラを直接コントロールできなくなること」に対し、セキュリティチームは心構えができているか？　もしそうなら、恐らくクラウドとマネージドのどちらのサービスでも大丈夫だ
• 社内のモバイル環境について、利用者数やプラットフォームの種類、ユースケースが激しく変化しているか？　もしそうなら、クラウドサービスの方がいいかもしれない
• ファイアウォールなど、オンプレミスのセキュリティ製品の管理を既にサードパーティーに外注して成功しているか？　もしそうなら、VPNもその外注先との契約に追加すればいい
• まだVPNを利用しておらず、新規に展開しようとしているのか？　もしそうなら、まずはクラウドサービスを慎重に検討するといい
• 設備投資費を運用費にシフトさせることに興味があるか？　もしそうなら、ホスティング型／クラウドベースのVPNを真剣に検討するといい。加えて、オンプレミスに導入したインフラをMSPが所有・管理する、いわゆる共同負担リスク型の運用モデルも検討するといいだろう

　いつものことながら、IT部門がアウトソーシングを検討する際には、機能や運用、コストといった側面で明確な目標を定めておく必要がある。ディシジョンツリーや加重スコアカードなど、確立された意思決定手段を用意し、目標に応じて選択肢を評価・選択することも重要だ。今後、企業の間では、ミッションクリティカルな業務基盤をクラウドやMSPに委託する動きが進むだろう。その中で、VPNのアウトソーシングが、ますます多くの企業にとって魅力的な選択肢となるはずだ。