SASE（サシー）とは？ゼロトラストとの違いや情シスの運用負荷を削減するメリットをわかりやすく解説

「Web会議が途切れる」「クラウドが遅い」といった従業員からのクレーム。増え続けるセキュリティ製品（VPN、プロキシ等）の管理と、それに伴う情報システム部門の運用負荷増大など、クラウド利用とリモートワークが当たり前になった現代、従来の「境界型防御モデル」だけでは十分に対応しにくい状況が生まれています。

こうした複雑化したITインフラの運用課題を解決する新たなアプローチとして注目されているのが「SASE（サシー：Secure Access Service Edge）」です。本記事では、SASEの基本的な概念から、「ゼロトラスト」との違い、SASEを支える代表的な5つのコア機能、そして情シス部門の運用負荷を軽減する具体的なメリットまでを網羅的に解説します。
この記事を読めば、自社のネットワーク課題を見直し、SASEを導入すべきか判断するためのポイントが分かります。

近年、企業におけるリモートワークの常態化やクラウドサービスの利用拡大は、情報システム部門に新たな課題を突きつけています。従来の社内ネットワークと境界型防御モデルだけでは対応しきれない状況が生まれ、多くの企業でセキュリティとネットワーク運用の複雑化、効率低下が課題となっています。

リモートワークが普及し、SaaSをはじめとするクラウドサービスの利用が拡大するにつれて、すべての通信を本社やデータセンターのVPNゲートウェイへ集約する構成では、回線やVPN装置がボトルネックとなるケースがあります。

多くの企業では、従業員がどこからアクセスしても一度データセンター内のVPN機器を経由させてからインターネットやクラウドサービスに接続させる「ヘアピン通信」を採用してきました。この方式はトラフィックが一箇所に集中するため、通信量の増大とともに遅延が発生しやすくなります。
「Web会議が頻繁に途切れる」「クラウドアプリケーションの動作が以前よりも遅い」といった問題が発生し、情報システム部門はパフォーマンス問題の原因究明や利用者からのクレーム対応に追われることがあります。

特に、すべてのインターネット通信を一度データセンターへ戻す構成では、クラウド利用の増加に伴って通信経路が長くなり、回線やVPN装置への負荷が生産性低下の一因となることがあります。

SaaSやIaaSなどのクラウドサービスが増加することで、それぞれが持つ独自のセキュリティ設定や管理画面が情報システム部門の負担となっています。オンプレミスやデータセンターに加え、複数のクラウドごとに個別のセキュリティポリシーを設定・維持する必要があり、セキュリティガバナンスの統一が難しくなる場合があります。

結果として設定ミスやポリシーの抜け漏れが発生しやすくなり、新たなセキュリティリスクにつながる可能性があります。セキュリティポリシーが分散すると、ユーザーの活動状況を総合的に把握することも難しくなり、可視性の低下を招きます。

可視性の低下はインシデント発生時の原因究明を困難にするだけでなく、コンプライアンス対応や監査対応も煩雑にします。本来効率化のために導入したクラウドサービスが、情報システム部門の負担を増やす要因になるケースもあります。

ただし、SASEを導入すれば各SaaS固有のセキュリティ設定まですべて一元化できるわけではありません。SASEでは主に、クラウドサービスへのアクセスやデータ利用に対する共通ポリシーの適用、通信の可視化・制御などを統合します。

企業はファイアウォール、プロキシ、CASB、IDS/IPSなど多様なセキュリティ製品を個別に導入してきましたが、これらは異なるベンダーの製品で管理画面や操作が異なる場合があります。その結果、情報システム部門は多数の管理画面を行き来し、それぞれの専門知識を習得・維持しなければならず、運用が複雑化します。

問題発生時の原因切り分けにも時間と労力がかかり、特定担当者に知識が集中することで属人化が進むこともあります。担当者の異動や退職によって運用品質を維持できなくなることは、事業継続上のリスクにもなり得ます。

セキュリティ機器の増加は導入・保守コストの増大にもつながります。本来であれば戦略的業務に使うべき時間が日々の運用保守に割かれ、情報システム部門のパフォーマンス低下やIT戦略推進の阻害要因となる場合があります。

SASE（Secure Access Service Edge）とは、ネットワーク機能とセキュリティ機能をクラウド上で統合して提供するアーキテクチャ／サービスモデルです。特定の一つの製品を指すものではなく、多様なネットワーク・セキュリティ機能をクラウド基盤上で連携させ、ユーザーがどこにいても適切なアクセス制御を適用できる環境を目指します。

SASEという概念は2019年にGartnerが提唱しました。リモートワークやクラウドサービスの普及に伴い、従来のデータセンター中心のネットワーク構成だけではなく、分散したユーザーや拠点からクラウドへ直接アクセスすることを前提としたネットワーク・セキュリティ設計が求められるようになったことが背景にあります。

SASEは、従来のネットワーク上の場所だけを基準にアクセスを信頼する考え方から、ユーザーやデバイス、アプリケーションなどの情報を基にアクセスを判断する方向へ移行します。ゼロトラストの考え方を取り入れ、アクセスの都度、ユーザーやデバイスの状態などを確認し、必要な範囲にアクセスを限定します。また、ユーザーや拠点から近いクラウド上の処理拠点を利用することで、データセンターへの不要な通信集中を減らし、通信経路やユーザー体験の改善も期待できます。

ゼロトラストは、ネットワーク上の場所だけを理由にアクセスを信頼せず、ユーザーやデバイスなどを継続的に確認してアクセスを判断するセキュリティの考え方です。一方、SASEはネットワークとセキュリティをクラウド上で統合し、このようなゼロトラストの考え方をネットワークやクラウドアクセスに適用するための有力なアーキテクチャの一つです。両者は対立するものではなく、ゼロトラストがセキュリティの考え方、SASEがその実現手段の一つという関係にあります。

現代のビジネス環境では、従業員がオフィスだけでなく、自宅や外出先などさまざまな場所からクラウドサービスへアクセスすることが一般的になりました。そのため、社内ネットワークに接続しているかどうかだけで安全性を判断する従来型の考え方ではなく、ユーザーやデバイスの状態などを基にアクセスを制御する仕組みが求められています。SASEは、安全なクラウド利用やハイブリッドワークを実現するための有力な選択肢の一つとなっています。

SASEは単一の製品ではなく、ネットワーク機能とセキュリティ機能をクラウド上で統合する考え方です。

一般的に、次の5つが代表的なコア機能として挙げられます。

・SD-WAN（Software-Defined WAN）
複数のWAN回線をソフトウェアで制御し、通信状況やアプリケーションに応じて適切な通信経路を選択するネットワーク機能です。

・SWG（Secure Web Gateway）
悪意のあるWebサイトへのアクセスブロックやURLフィルタリング、マルウェア対策などを行うセキュリティ機能です。

・CASB（Cloud Access Security Broker）
従業員によるクラウドサービスの利用状況を可視化し、シャドーITの把握や情報漏えい対策、利用ポリシーの適用などを行います。

・ZTNA（Zero Trust Network Access）
従来型VPNの一部用途を代替し、ユーザーやデバイスなどの状態に基づいて、許可された特定アプリケーションへのアクセスを提供する機能です。

・FWaaS（Firewall as a Service）
ファイアウォール機能をクラウドサービスとして提供し、拠点ごとの物理ファイアウォールへの依存を軽減する仕組みです。

なお、実際のSASE製品には、DLP、DNSセキュリティ、IPS、マルウェア対策、RBIなど、これら以外の機能が組み込まれている場合もあります。

SASEは、情報システム部門が抱えるネットワークとセキュリティ運用の複雑化を改善するための選択肢になります。

SASE導入のメリットの一つは、企業全体でセキュリティポリシーを統一しやすくなることです。クラウド上で提供されるセキュリティ機能を利用することで、オフィスだけでなく、自宅や外出先などからアクセスするユーザーにも共通のポリシーを適用しやすくなります。

また、通信ログやセキュリティイベントをまとめて確認できる製品であれば、脅威の把握やインシデント調査、監査対応を効率化できる可能性があります。ただし、実際に統合できるログや管理範囲は製品によって異なるため、導入前に確認が必要です。

シングルベンダー型など統合度の高いSASEでは、これまで個別に管理していたネットワークやセキュリティ機能を共通の管理基盤から運用できるため、管理画面やポリシーの分散を減らすことができます。ポリシー変更や障害時の原因切り分けなど、日常的な運用を共通化できることで、管理工数の削減が期待できます。

また、クラウド型のセキュリティ機能へ移行することで、自社で保守するアプライアンスや個別製品を減らせる場合があります。既存製品の統廃合やライセンス構成を適切に見直すことで、中長期的なTCOの最適化につながる可能性があります。運用負荷を軽減できれば、情報システム部門がDX推進やIT戦略立案など、より付加価値の高い業務へ時間を振り向けやすくなります。

SASEでは、従来のようにすべてのインターネット通信を本社データセンターへ戻すのではなく、拠点やユーザーからインターネットへ接続し、最寄りのSASE事業者のPoP（接続拠点）でセキュリティ検査を行った上でクラウドサービスへアクセスする構成を取ることができます。

これにより、本社データセンターへの不要な通信集中や遠回りを減らせるため、Web会議やクラウドアプリなどの通信品質改善が期待できます。ただし、実際の通信品質は利用回線、端末、無線LAN、SASE事業者のPoP、クラウドサービス側の状況などにも左右されます。

そのため、導入前のPoCではセキュリティ機能だけでなく、実際の業務アプリケーションを利用した通信品質も確認することが重要です。

SASEの効果を高めるには、いきなり全社へ展開するのではなく、自社の課題や既存環境を確認しながら段階的に導入することが重要です。

最初のステップは現状の可視化と課題整理です。ネットワーク構成、利用中のセキュリティ製品、クラウド利用状況、通信フロー、利用者から寄せられている課題などを洗い出します。

その上で、

• ・Web会議の品質を改善したい

  ・VPN装置への負荷を軽減したい

  ・セキュリティ製品を統合したい

  ・リモートアクセスをZTNAへ移行したい

  ・SaaS利用を可視化したい

など、SASE導入によって解決したい課題を明確にします。

次は、一部の部門や拠点、ユーザーを対象としたPoCです。

PoCでは、業務アプリやWeb会議の品質、セキュリティポリシーの適用、ZTNAの利用可否、既存システムとの互換性、管理画面の使いやすさ、障害時の切り分け、ログの確認方法などを評価します。製品資料上の機能だけでなく、実際の業務環境で運用できるかを確認することが重要です。

PoCの結果を基に、SASEの適用範囲を徐々に広げます。

例えば、一部ユーザー → 特定部門 → 国内拠点 → 海外拠点 → 全社 と段階的に拡大することで、問題が発生した場合の影響範囲を抑えやすくなります。また、既存のVPNやプロキシをすぐに廃止するのではなく、SASEへの移行状況を確認しながら役割を段階的に変更する方法もあります。

SASEの名称を掲げていても、各ベンダーによって提供される機能や統合度は異なります。

例えば、SD-WANまで同一製品で提供しているかやSSE部分だけを提供しているか、ZTNAが対応できるアプリケーション、CASBの制御範囲、PoPの所在地、海外拠点での性能、ログ保持期間、IdPやEDRとの連携、サポート体制などには違いがあります。そのため、「SASE対応」という名称だけで判断せず、自社が解決したい課題を基準に比較する必要があります。

SASEを選定する際は、単一ベンダーで多くの機能をまとめる「シングルベンダー型」と、既存製品を活用しながら複数ベンダーを組み合わせる構成のどちらが自社に適しているかを検討します。

統合管理や運用のシンプルさを重視する場合は、シングルベンダー型が候補になります。一方で、すでに高機能なSD-WANやCASB、セキュリティ製品などへ投資している企業では、既存資産を残しながら段階的にSASEへ近づける方法も考えられます。

製品選定では、機能数だけではなく、既存環境との親和性や管理のしやすさ、PoPの配置、可用性、サポート、ログや監視機能、ライセンス体系、将来的な拡張性まで含めて評価することが重要です。

SASEとSSEの違いは何ですか？

SSE（Security Service Edge）は、SASEを構成するうち、主にセキュリティ機能に焦点を当てた考え方です。一般的には、SWG、CASB、ZTNA、FWaaSなどのセキュリティサービスをクラウド上で提供し、製品によってはDLPやDNS Securityなどの機能も含まれます。一方、SASEはSSEに加えて、SD-WANなどのネットワーク機能まで含めて統合する、より広いアーキテクチャです。

既存のVPNは不要になりますか？

必ずしも不要になるわけではありません。

ZTNAを利用することで、従業員が社内の業務アプリケーションへリモートアクセスする用途などでは、従来のVPNを置き換えられる場合があります。一方、拠点間接続や管理者によるネットワークアクセス、レガシーシステムなど、ネットワークレベルでの接続が必要な用途ではVPNが残ることもあります。そのため、既存VPNを一括して廃止するのではなく、現在のVPNがどのような用途で使われているかを整理し、ZTNAへ移行できる範囲を段階的に判断することが重要です。

クラウドシフトやハイブリッドワークによって、企業ネットワークは従来よりも複雑になっています。
SASEは、ネットワークとセキュリティをクラウド上で統合することで、こうした環境をよりシンプルかつ安全に運用するための選択肢です。

セキュリティ強化に加えて、ネットワークとセキュリティ運用を統合・共通化することで、複数製品やインフラの管理負荷を軽減できる可能性があります。運用を効率化できれば、情報システム部門がDX推進やIT戦略など、より付加価値の高い業務へ時間を振り向けやすくなります。

一方で、SASEを導入すれば必ず通信速度が向上したり、すべての既存製品を廃止できたりするわけではありません。クラウド利用やハイブリッドワークによってネットワークとセキュリティの運用が複雑化している企業にとって、SASEはその構成や運用方法を見直す有力な選択肢となります。

まずは自社のネットワーク構成や既存のセキュリティ製品、VPNの利用目的、クラウド利用状況を整理し、PoCを通じて段階的に導入を検討することが重要です。