VPNの正しい選び方【後編】
自社に最適なVPNプロバイダーを選ぶための3つの質問
各VPNプロバイダーは差別化のために多数の機能やサービスを用意している。だが自社に必要なものであるとは限らない。自社にとって必要なプロバイダーを選ぶにはどうすればいいのか。
前編（有害なVPNの見分け方――こんなVPNプロバイダーには気を付けろ）では、セキュリティに寄与するどころかむしろ有害なVPNに注意する方法を紹介した。
後編では引き続き、VPN選定時に確認すべき事項とVPNプロバイダーに問うべき3つの質問を紹介する。
VPNの購入に当たっては、オンライン調査を実施することが重要だ。こうした調査によってそのプロバイダーの歴史を垣間見ることができる可能性がある。「プロバイダーが過去に事件を起こしているかどうか。近い将来何を目指しているのか。こうした情報は危機に際してプロバイダーがどのように行動するかを物語っている。過去に事件があったこと自体は購入の妨げにはならないとしても、それをどのように処理したかは問題になる」（タガート氏）
もう一つ確認しておきたい疑問は、VPNが提供する出口ノードの数だ。「各ノードはユーザーの使用場所となるVPNサーバを表す。従って、ユーザーが接続する地域にノードを有するプロバイダーを選択したい。ただし、ノードの数が速度と全体的なパフォーマンスに影響することは考慮する必要がある」
特定のプロトコルが禁止されていないかどうかを確認することも重要だ。「これはトラフィックが調査されることを示す可能性がある。こうした調査は望ましくない。また、インフラがP2P（ピア・ツー・ピア）トラフィックを処理できないことも意味する。P2Pトラフィックが許可されないと、高い負荷の下でVPNが機能しない恐れもある」
VPNは多種多様な機能を提供する。特に注意が必要な機能は強制停止スイッチだ。「VPNで保護される場合と保護されない場合を理解する必要がある。最悪のケースは、VPNアプリケーションに問題があり、ユーザーが保護されない状態で、しかもそのことを通知されずにネットサーフィンを続ける場合だ。強制停止スイッチは、全インターネットアクセスを停止してこうした状態を阻止する。強制停止スイッチは、特に技術に詳しくないユーザーには非常に便利な機能になる」
タガート氏が最後に推奨するのは、VPNプロバイダーに決済方法と暗号通貨の使用可否を尋ねることだ。「自社の脅威モデルは堅牢（けんろう）な匿名性を求めるだろうか。暗号通貨での決済を認めるVPNプロバイダーもある。これにより決済の匿名性は高まる。とはいえ、暗号通貨を使っても取引が完全に匿名になる保証はない。暗号通貨を使っても、購入履歴からクレジットカード会社の名前が消えるだけのことだ」
その他の重要な考慮事項
VPNプロバイダーが提供するさまざまな機能を理解すれば、自社に適したサービスを購入できる。UK Cyber Security Associationのリサ・ベンチュラ氏（CEO兼創設者）は次のように話す。「どのような場合でも、製品が持つ機能と最も使う可能性の高い機能をコストに照らして比較検討すべきだ。VPNの多くは他と差別化する機能を多数用意している。どのような機能が必要なのかを認識しなければならない」
「検討すべき主なものには、ユーザーとプロバイダーのサーバ間に存在するサーバの数、各サーバの場所、サービスが許可する接続端末の数、端末を追加する場合に使えるサポート、プライバシーとログに関する考慮事項などがある。当然、価格も検討対象だ」
ベンチュラ氏は、送受信可能なデータ量に上限があるかどうかも確認することを勧める。「無償枠と有償枠を用意しているVPNもある。無償枠では毎月一定量しか許可しない場合が多い」
VPNの購入に当たって最も重要なのは、カーショップに出向いて車のルーフラックを選ぶのとは違うことを忘れないことだ。そう話すのは、Sophosのポール・ダックリン氏（主任リサーチサイエンティスト）だ。「あまりにも多くの企業がVPNを『アドオン』コンポーネントと見なし、ある程度機能すれば問題ないと考えている」
「セキュリティの中で等しく重要な機能の一つとしてVPNを捉え、セキュリティシステムの他の機能で起きていることを認識してそれに基づいて動作するなど、自動的かつ積極的に他の機能と連携するVPNを選ぶようにする」
One Identityのダン・コンラッド氏（フィールドストラテジスト）は、VPNの有効性は実装前に問うべき3つの質問の答えによって決まると言う。「最初の質問は、実装をゼロトラストのベストプラクティスに準拠させるかどうかだ。ゼロトラストの原則に確実に準拠させる最善の方法は、VPNをデータセンター内で終わらせないことを検証することだ。データセンターでは接続元を過度に信頼するためだ。次の質問は、認証を強力にするかどうかだ。セッションを強化する目的でVPNを選ぶ場合は、必ず強力な認証を適用すべきだ。最後の質問は、VPNのセッションを自社で監視できるかどうかだ」
資格情報が誤って使われたり内部関係者による脅威が発生していたりする場合は、強力な認証でも警告されないとコンラッド氏は指摘する。「そのためには動作を監視して不審な行動を検出し、被害を最小限に食い止めるように先を見越して対策することだ」
サイバーセキュリティを改善し、テレワーカーを保護するにはVPNが役に立つ。だが、VPNの選択と設定を慌てて行ってはいけない。多くの調査を行い、選択する必要がある。
Copyright © ITmedia, Inc. All Rights Reserved.
Computer Weekly日本語版
この記事の著者
関連記事
新着ホワイトペーパー PR
-
技術文書・技術解説
[Jamf Japan 合同会社] MDMだけでモバイルセキュリティは十分？ 不足する対策を16項目でチェック -
事例
[Wrike Japan 株式会社] 世界的な家電メーカーが実践する「クリエイティブプロセス効率化」の方法とは？ -
事例
[Wrike Japan 株式会社] 世界的テクノロジー企業に学ぶ、プロセス標準化とプロジェクト納品自動化の秘訣 -
事例
[Wrike Japan 株式会社] ソニー・ピクチャーズ テレビジョンに学ぶ、次世代サービスデリバリーのヒント -
事例
[Wrike Japan 株式会社] ソミック石川に学ぶ、ICT浸透後に直面した「工数管理」の課題と解決策
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
「Copilot」はなぜ放置される？ “議事録要約止まり”を脱する処方箋
-
2
脱VMwareの前提が崩れる BroadcomのVDDK公開停止で確認すべき点
-
3
「Microsoft一択」で本当にいいのか 知らぬ間にライセンス費用が膨らむ真相
-
4
Oracle巨大ITプロジェクトはなぜつまずいたのか 8年で導入1割、追加で170億ドル
-
5
ANAが専用回線から移行した「NaaS」の全貌 ネットワーク準備が数カ月から数週間に
-
6
「プログラマー不要論」にThe Linux Foundationが示した答え
-
7
VBAマクロ“原則ブロック”後に「Office」でマクロを実行する方法
-
8
「VMware離れ」は本当か 3000社がVCF 9にかじを切った現実的な理由
-
9
「データストレージの活用方法」に関するアンケート
-
10
Qlik Senseを使った教育機関の予測分析は現場に何をもたらしたか
ホワイトペーパーランキング PR
-
1
マンガで解説：「ゼロトラスト」「SASE」の必要性とメリット
-
2
5回聞くだけじゃ足りない？ トヨタ式「なぜなぜ分析」の正しい実践方法
-
3
インシデント対応工数を約3割削減、東京ガスの事例に学ぶ監視体制刷新のコツ
-
4
AIエージェントで多様な日常業務を効率化するための入門ガイド
-
5
JR西日本ITソリューションズが「監視業務の属人化」を解消した方法とは？
-
6
国税庁の次世代基幹システム「KSK2」稼働開始に向けて、対応すべき変更点とは？
-
7
5分で分かる「セキュア大容量ファイル転送サービス」の機能とメリット
-
8
ドラマで分かる、標的型攻撃メールの被害を受ける企業と回避できる企業の分岐点
-
9
「脱Excel」か「Excel快適化」か？ 現場にやさしい業務改善の進め方
-
10
少額減価償却資産が40万円未満へ拡大、令和8年度税制改正で押さえるべき変更点
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー