ZTNAの仕組みと課題【後編】

脱VPNからのZTNA移行が「言うほど簡単じゃない」のはなぜか

リモートアクセスのためのVPNの代替手段になり得る「ZTNA」を導入する際、組織は幾つかの問題を乗り越えなければならない。ZTNAの導入を難しくする2つの課題とは。

公開 2024年06月12日 08時15分

[TechTarget]

印刷する連載新着通知を受け取る

　全ての通信を信頼しないゼロトラストの考え方を取り入れた技術の一つとして「ZTNA」（ゼロトラストネットワークアクセス）がある。ZTNAは、リモートアクセスに使われるVPN（仮想プライベートネットワーク）の代替候補になる。ただしVPNからZTNAに切り替えるには幾つかの課題を乗り越える必要があり、移行は簡単ではない。何が問題なのか。

ZTNA移行は簡単じゃない？　2つの問題とは

併せて読みたいお薦め記事

連載：ZTNAの仕組みと課題

前編：VPNの代替候補「ZTNA」を理解するための“3大要素”はこれだ

ZTNAを巡る動きとは

アクセスポリシーの定義

　ZTNAを導入する際に組織が直面する課題の一つが、アクセスポリシーの定義だ。特にシステム全体の構成が複雑であればあるほど、どのシステムがどのシステムと通信する必要があるのかを把握するのは難しくなる。

　一部のZTNAツールは、相互に通信しているシステムを特定するための機能を提供しており、ネットワークエンジニアはその機能を使うことで通信の状況を整理しやすくなる。ZTNAツール選びの際、システム同士の通信状況を適切に整理できるかどうかを検討することが最初のステップになることが少なくない。

考え方を根本から変える必要性

　ZTNAを導入するのであれば、ネットワークエンジニアはセキュリティに関する考え方を変える必要がある。ZTNAはネットワークだけではなく、デバイスやソフトウェア、ユーザーの行動を含めてさまざまな領域に脅威があると捉え、どこからアクセス要求があったとしても必ず認証を求める。

　従来のセキュリティの一般的な考え方では、警戒すべき領域がネットワークの「外部」のみになっていた。ZTNAは「内部」に対する警戒も欠かせないという考え方に基づいている。ZTNAを導入する場合は、従来の考え方から脱却しなければならない。

ZTNAの実装

　ZTNAを実装する際、ネットワークセキュリティの他の技術やツールと組み合わせることが一般的だ。例えば、ZTNAをSD-WAN（ソフトウェア定義WAN）やマイクロセグメンテーション（ネットワークを複数のセグメントに分割する技術）と組み合わせて導入するパターンがある。どのような導入方法を選択したとしても、全ての通信に対してユーザーのIDが正しく認証されていることを確認できればZTNAは実現する。