ZTNA

解説（テキスト版）

はじめに

情シスには、こんな相談が届きます。在宅や出張先から、庁内のシステムを使いたい。VPNでつなげばいいんじゃないですか、と言われる。

あるいは、VPNの機器に弱点が見つかったので、すぐに更新してください、と委託先から連絡が来る。

どちらも、庁舎の外から中に入る、入口の話です。今日は、ZTNAという、新しい入口の考え方をお話しします。

一言で言うと

先に、一言でまとめておきます。VPNは、庁内のネットワークそのものに入る入口です。ZTNAは、許可されたシステムだけにつなぐ入口です。

ZTNAは、ゼロトラストネットワークアクセス。直訳すれば、ゼロトラストの考え方でつなぐ、通信の仕組みです。

地図のどこか

5つの問いでいうと、今日は、三つ目の、どこを通るのか、の話です。

ネットワーク編の第2回では、本庁と支所を、回線でつなぐ話をしました。今日は、庁舎の外にいる職員や、委託先の担当者を、どうつなぐのか、という話です。

守る場所の図でいうと、ZTNAは、端末のすぐ近くの通り道で、入口を確かめます。人の確認は、第3回のIDaaSに任せます。

VPNの仕組み

まず、VPNです。インターネットの上に、暗号化された専用の通り道を作って、庁内のネットワークに、入れてもらう仕組みです。

入ってしまえば、庁内にいるのと、ほぼ同じ状態になります。便利な反面、一度入られると、庁内の他のシステムにも、手が届いてしまいます。

また、入口になる機器は、インターネットから見える場所に置きます。その機器に弱点があれば、攻撃の入口にされます。

ZTNAの仕組み

ZTNAは、考え方が違います。庁内のネットワークには入れず、使いたいシステムごとに、通り道を作ります。

流れは、こうです。まず、利用者を確かめる。次に、端末を確かめる。そのうえで、許可されたシステムにだけ、つなぐ。

つなぐ前に確かめる、という順番が大事です。デジタル庁の資料にある、アクセスの境界をソフトウェアで作り、動的に制御する、SDPと呼ばれる考え方が、これに近いものです。

たとえで言うと

たとえで言うと、VPNは、建物の入館証を渡す形です。入館証があれば、廊下を歩いて、どの部屋の前まででも行けます。

ZTNAは、部屋ごとに、その場で入室を確かめる形です。入館証を見せても、入れるのは、許可された部屋だけ。

ゼロトラストの、場所では信用せず、そのつど確かめる、という考え方が、通信の入口に表れた形です。

つなぎ方の種類

つなぎ方には、いくつか種類があります。端末に専用のソフトを入れる形。ブラウザだけで使う形。そして、庁内側に中継役を置く形です。

どれが使えるかは、製品と、つなぐシステムによって決まります。古いシステムは、ブラウザだけでは動かないことがあります。

この辺りは、導入を検討するときに、まず確かめたいところです。

自治体では

自治体で気をつけたいのは、どの層のシステムにつなぐのか、です。

ネットワーク編の第3回でお話しした、三層の考え方があります。マイナンバー利用事務系は、専用の端末を別に置くのが基本です。ZTNAでつなぐ対象を決めるときは、ガイドラインと、団体の方針を、必ず確認してください。

ゼロトラスト基盤は、総務省の検討会で、これから検討されていく項目です。いまの形が、そのまま続くとは限りません。

委託先の保守との関係

ZTNAや、VPNは、委託先の保守担当者が、庁内のシステムに入る場面でも使われます。

このとき、誰が、いつ、どのシステムに入ったのかを、記録できるかどうかが、重要です。

入れる範囲は、必要なシステムだけに絞る。作業が終われば、通り道を閉じる。この運用を、契約のときに決めておきます。

現場でよくある誤解

現場でよくある誤解を、3つ挙げます。

一つ目。ZTNAは、VPNの名前を変えただけ、という誤解です。つなぐ範囲が、ネットワーク全体か、システムごとかで、考え方が違います。

二つ目。ZTNAを入れれば安全、という誤解です。入口で、人と端末を確かめるのが前提なので、第3回のIDと証明書がなければ、意味が薄くなります。

三つ目。ZTNAで、全部のシステムにつなげる、という誤解です。つなげるシステムの種類には、限りがあります。

異動してきたら最初に確かめること

では、異動してきたら、まず何を確かめればいいでしょうか。

一つ目。庁舎の外から庁内に入る入口の一覧です。VPN、保守用の回線、委託先の入口。誰が、どの経路で入れるのかを、書き出します。

二つ目。それぞれの入口で、入れる範囲です。庁内全体に届くのか、特定のシステムだけなのか。

三つ目。入口の機器の更新の担当者と、保守の期限です。弱点が見つかったとき、誰が、いつまでに更新するのかを、決めておきます。