米マサチューセッツ州ケンブリッジに本社を置くAkamai Technologies（以下、Akamai）は、2009年に発生したサイバー攻撃によってデータ侵害を受けた。「オーロラ作戦」と呼ばれるこの攻撃を受けたことを契機に、ゼロトラストの導入検討を開始した。

　「当時は指針となるロードマップがない中で、われわれは企業ネットワークとユーザーをどう守るかを模索していた」と、Akamaiの元CSO（最高セキュリティ責任者）アンディー・エリス氏は振り返る。

　Akamaiは当初、マイクロセグメンテーションを用い、社内ネットワーク内の横断的な感染拡大（ラテラルムーブメント）を抑制しようと試みた。しかし、通信が許可されたアプリケーション間でラテラルムーブメントが頻発し、思うように進まなかった。「バックアップサーバが全システムと通信する環境では、ネットワークを細分化するのは非常に困難だ。そこから侵害が生じる」とエリス氏は指摘する。

　Akamaiのチームはまず、ドメイン管理者アカウントの保護を強化し、アクセスレベルごとに異なるパスワードを設定した。さらに、デバイス単位のハードウェア認証を実装するために標準規格「X.509」証明書の採用も検討した。

　「しかしわれわれは依然としてネットワーク視点にとらわれていた。その後チームは転換点を迎え、問題はネットワークではなくアプリケーション側にある、と気付いた」。エリス氏はそう続ける。

　Akamaiは、従業員が自社CDNのログインポイントから、内部アプリケーションへ安全にアクセスする方法を模索していた。その狙いは、エンドユーザー端末を企業ネットワークから完全に切り離すことにあった。エリス氏率いるチームは、ファイアウォールのポートを開放し、アプリケーションを一つずつ手動で統合し始めた。だが作業は遅く単調で、システム管理者の不満が高まっていた。

　プロジェクトの途中でスタートアップ企業Soha Systemsを知り、その仮想ゲートウェイ技術を試験導入した。仕組みは、ファイアウォールとアプリケーションサーバの間にVMを挟み、アプリ側とCDNベースのシングルサインオン（SSO）サービスを接続するというものだ。

　エリス氏らは、Soha Systemsのコネクターが従業員や外部委託先に対し、ユーザー単位およびアプリケーション単位で細かなロールベースアクセスを提供できることを確認した。しかもVPN（仮想プライベートネットワーク）は不要で、Webブラウザ経由のアクセスが可能だった。仮に攻撃者が認証情報を奪っても、閲覧できるのは当該ユーザーに許可された限定的なアプリとサービスにとどまる。

　AkamaiはSoha Systemsの技術を採用し、最終的に同社を買収して自社サービス「Enterprise Application Access」に統合した。これにより顧客は、自社のゼロトラスト環境を構築する過程でVPNトラフィックを段階的に削減できるようになった。

　「全てを一度にやる必要はない。一歩一歩の積み重ねにより、最終的にはビジネス全体を変革できるはずだ」。エリス氏はそう述べ、Akamaiのゼロトラスト導入が数年にわたる段階的な取り組みであったことを強調した。