ZTNA 1.0との大きな違い
Prisma SASEの主要コンポーネントを順に見ていこう。まずはセキュリティを担う「Prisma Access」からだ。ZTNA 2.0、Firewall、IDS/IPS、URL、Sandbox、Anti Virus、Anti Spy、DLP、DNS、IoTなど日本市場でおおむね必要とされているセキュリティ機能を内包している。
特に着目すべきはZTNA 2.0であることだ。ZTNA 1.0との大きな違いを挙げるならば、最小権限付与、継続的アセスメント、継続的セキュリティ検査、全データ保護、全App保護がある。
裏を返して、今度はZTNA 1.0の問題点を挙げていこう。まず「リクエスト認可後の放置問題」だ。ZTNA 1.0ではアクセスリクエストを認可すると、その後は常時信頼して通信が行われるようになっている。これはユーザーもアプリも挙動が変化しないことが前提となる。
和田氏は「セキュリティインシデントは、アクセスが許可された状態で発生することが多いです。セッションが開いたところにマルウェアが混入してもZTNA 1.0では止められません」と警鐘を鳴らす。
続いての問題点として挙げられるのが「セキュリティ検査欠如」だ。厳密にゼロトラストを実践するならば、常時通信をチェックし、不正な横移動していないかなどをチェックする必要がある。IPS、Sandbox、ポスチャマネジメントなしのZTNA 1.0だけでは、ゼロトラストには不十分だ。
次なる問題が「全App非対応」な点である。ありがちなのは、ゼロトラストにしたくてZTNA 1.0を導入したものの、一部のアプリケーションの制約でVPNと併用せざるをえないケースがある。これではゼロトラストの実現は不完全となるだろう。
もしZTNA 1.0を含むポイントソリューションの組み合わせだと、注意すべきは先述したようにセキュリティ検査の欠如、端末の継続検査がない、一部のAppでVPNを必要とする点が挙げられる。加えて「外部に出る時はSWG、しかし内部へのアクセスはZTNA」というように複数で併用するとなると、ポリシーが統一されていない危険性もある。
また既存環境にZTNA 1.0を追加するような形だと、コネクタの運用がともなう。これでは運用の重荷になってしまうし、さらに拠点ではファイアウォールやIPSも必要になる。このように、運用がかなり煩雑になってしまうことが予想されるのだ。
「それに対してPrisma SASEであれば全部ガツンとつなぎます」と和田氏は胸を張る。モバイルからSaaS、モバイルからオンプレ、本社と国内外の支社間でも、どのような経路でも同じセキュリティポリシーを適用できるという。エージェントを通じて端末の継続的アセスメントも実施しているため、万が一端末に問題が起きても脅威を排除することが可能だ。あらゆるアプリケーションに対応しているため、レガシーのVPNから脱却できて、コネクタ不要、拠点エッジのファイアウォールやIPSも不要となり、運用負荷を軽減可能だ。
