企業のセキュリティ環境では現在、セキュリティ戦略の特定要素に特化したさまざまな技術が使われていることが多い。例えば、ネットワークセキュリティ製品は多くの場合、ファイアウォール、侵入検知システム（IDS）／進入防止システム（IPS）、ネットワークアクセス制御（NAC）、Data Loss Prevention（DLP）といった特定機能に特化したスタンドアロンシステムとして提供されている。このアプローチでは、カテゴリごとに最適な製品を選択できるものの、各スタンドアロンシステムの効率的な管理や監視が課題となる。

　NGFW製品の多くは、ネットワークセキュリティ機能に加え、コンテンツフィルタリングといった複数のセキュリティ機能を備える。ネットワーク管理者に向けて、こうした複数のセキュリティ機能を管理する単一の管理インタフェースも用意する。さらに重要なことは、NGFWでは各セキュリティ機能の間で脅威や資産の情報を共有できることだ。NGFWの真価は、包括的な監視機能を提供し、管理者が特定機能に特化した製品群を使っていたときよりも、企業全体の明確なセキュリティ状況を把握しやすくすることにある。

NGFWをネットワークのどこに設置するか

　当然のことながら、NGFWのメリットを得るにはコストが掛かる。しかも、NGFWは他のセキュリティ製品と比べて高価だ。NGFWの導入を考えているネットワーク担当者は、ネットワークのどの場所にNGFWを設置すれば最も効果を発揮するのか、慎重に検討しなければならない。例えば、NGFWを組織の末端部分に導入するのは経済的ではないかもしれない。企業内のネットワークでNGFWが最大の価値をもたらす要所を選択し、そこに導入することを考えるべきだ。

　ほとんどの企業では、NGFW設置に当たって、インターネットに公開されているサービスの保護を最優先している。Webサーバやメールサーバなど、インターネットからのアクセスを許可しなければならない公開サーバは、攻撃を受けるリスクが最も高い。そのため、NGFWによる保護の効果が最も大きくなりそうだ。このことから、インターネットとLANの中間にあり、LANと隔離されたDMZ（非武装地帯）は、NGFWを設置する場所として有力な候補になる。DMZは、公開サーバの設置場所としてよく利用される。

　DMZをNGFWで保護したら、価値の高い他のネットワークセグメントについても保護を検討する。扱っているデータや担当業務の種類から、大きなリスクにさらされている特定のユーザーグループはないだろうか。例えば、クレジットカードを扱うPOS（販売時点情報管理）端末を含むネットワークセグメントは、NGFWを導入するのにうってつけの場所だろう。NGFWを導入すれば、POS端末を狙ったマルウェア「Backoff」などの脅威が降り掛かってきたときに迅速に対処できる。

NGFWのどの機能を選択するか

　導入するNGFWの機能を選択する際は、ネットワークチームとセキュリティチームが協力しなければならない。2つの理由から、機能の選択では慎重なアプローチが必要だ。1つ目は、ネットワークセキュリティに責任を持つ管理者が、新しい機能の運用や監視の準備をしなければならないこと。2つ目は、機能の多くは別々にライセンスを取得する必要があり、初期投資と継続的なメンテナンス投資が求められることだ。

　最もシンプルなアプローチは、長期的に導入する予定の機能を全て用意するNGFW製品を選び、すぐに利用する機能のライセンスだけを取得することだ。現在利用している特定機能特化型製品の機能と厳密に一致する機能群を導入し、時間をかけて、担当チームをNGFWへ適切に移行することが重要だ。移行が完了し、管理が行き届くようになったら、目指す完成形に向けて新しい機能を1つずつ導入していく。

　NGFWは、ネットワークチームとセキュリティチーム双方の効率と効果を向上する大きな可能性がある。企業はNGFW戦略を綿密に練り、最大の価値を実現する場所にNGFWを設置し、セキュリティニーズと業務要件が両立する機能群を慎重に導入しなければならない。

本稿筆者のマイク・チャップル氏（博士号、CISA、CISSP取得）は、米ノートルダム大学のITセキュリティマネジャー。以前は米国家安全保障局や米空軍で情報セキュリティ調査員として従事。また、情報セキュリティ関連のテクニカルエディターであり、同分野の書籍も多数執筆している。