モバイルデバイスかどうかに関係なく、IT部門はネットワークを監視・保護するために、さまざまなネットワークセキュリティツールを導入してきた。モバイルデバイスの業務利用が一般化したことで、従来のネットワークセキュリティツールだけでは対処に限界が見え始めている。

　汎用（はんよう）的なネットワークセキュリティツールには、次のようなものがある。これらはモバイルデバイスが利用するネットワークの保護には一定の効果があるものの、モバイルデバイス固有の脅威には十分に対処できない場合がある。

• IAM（ID・アクセス管理）
• VPN（仮想プライベートネットワーク）
• NAC（ネットワークアクセスコントロール）
• IDS（不正侵入検知システム）／IPS（不正侵入防止システム）
• SWG（セキュアWebゲートウェイ）

　デバイスとLANの間に暗号化通信のトンネルを構築するVPNは、安全なリモートアクセス手段として広く利用されてきた。ところが一部の用途では通信遅延が発生しやすく、モバイルデバイスの普及による接続数の増加に対して拡張性が不十分な場合があるなど、時代にそぐわなくなりつつある。VPNには、攻撃者が侵入した際に、ラテラルムーブメント（別のネットワークセグメントへ不正アクセスしながら横方向に移動する行為）をしやすいというリスクもある。

　NACは、デバイスの状態やコンプライアンス（法令・規定順守）ポリシー、ユーザー情報に基づいて、ネットワークアクセスを制御する仕組みだ。以前から稼働するNACは、設計時の前提が現在の環境と合わなかったり、固定的な設定や後付け機能によって管理が複雑化したりして、OSや利用場所に応じた制御が困難なことがある。最新のセキュリティツールや運用管理ツールと連携する際には、個別設定や手動での調整が必要になることも珍しくない。

　IDS／IPSは、疑わしいネットワーク活動の監視・検知や既知の攻撃のブロックを可能にする。ただしモバイルデバイスでは、外部アプリケーションとの通信がHTTPSなどによって暗号化されていることが一般的であり、こうしたアプリケーション経由の攻撃については可視性が低下し、脅威を検知できない可能性がある。

　SWGは、インターネットのトラフィック（送受信されるデータ）をフィルタリングし、悪意のあるWebサイトを識別・遮断する。モバイルデバイスのユーザーにとって有用ではあるものの、Webブラウザを経由しないクラウドアプリケーションやAPI（アプリケーションプログラミングインタフェース）通信など、Webブラウザ外で発生する接続まではカバーできない。その結果、Webサイト以外の経路を利用した攻撃やデータ流出リスクに対しては、効果が限定的となる。

「ゼロトラストセキュリティ」がモバイルデバイスのセキュリティ確保の基本

　ネットワークとモバイルデバイスの双方に対するセキュリティを同時に高める――。これを実現する上で重視すべきなのが「ゼロトラストセキュリティ」の概念だ。ゼロトラストセキュリティは、全てを信頼せずに検証を前提とするセキュリティモデルを指す。有線LANや無線LANに加え、公衆無線LANサービスといった信頼性の低いネットワークを利用するモバイルデバイスを保護する上で、ゼロトラストセキュリティの具現化が重要になる。

　ゼロトラストセキュリティを具現化する手段として有効なのが「SASE」（Secure Access Service Edge）だ。SASEは、ネットワーク全体およびモバイルデバイスに関する幅広いセキュリティ対策に貢献する。SASEは「SD-WAN」（ソフトウェア定義型WAN）などのネットワーク機能と、SWGや「ZTNA」（ゼロトラストネットワークアクセス）、「CASB」（Cloud Access Security Broker）、「FWaaS」（Firewall as a Service）といったセキュリティ機能を併せ持つ。

　VPNの代替として利用が拡大しているのがZTNAだ。SASEのコンポーネントでもあるZTNAは、ユーザーやデバイス単位でアクセス可能なアプリケーションを限定し、それぞれのアプリケーション専用に個別の接続経路を設定する。

　IAMは、ゼロトラストセキュリティを実現する上で中核を担う機能であり、ユーザー認証にとどまらず、アプリケーションやネットワークへのアクセス権限の一元管理を可能にする。IAMに「MFA」（多要素認証）を組み合わせることで、特にモバイルデバイスを対象としたアクセス制御を一層強化できる。

　後編は、モバイルデバイスの安全なネットワーク利用を支えるセキュリティツールを紹介する。