在宅勤務の常態化に伴う境界型防御の見直し

何が起きているか

• VPN同時接続は上限1,000に対し1,400の要求があり、超過分が最大15分待たされている。終端装置が本社の1か所に集中していることが構造的な原因である。
• 通信量の7割がSaaS向けであるにもかかわらず、すべて本社を経由している。データが本社まで往復する分だけ遅延が積み上がり、SaaS応答200msのうち相当部分がこの迂回で説明できる。
• その結果、拠点回線は常時80%使用率となり、CADファイルの転送など本来必要な通信を圧迫している。

方針：インターネットブレークアウトとVPNの役割縮小

1. SaaS向け通信は最寄り拠点またはクラウド型セキュリティゲートウェイ（SWG/CASB）から直接出す。本社経由をやめるだけで遅延と帯域の両方が改善する。
2. VPNは社内システム向けのみの分割トンネルとし、対象を絞る。これにより同時接続数は社内系利用者程度まで減り、上限超過が解消する。
3. VPN終端をクラウド型に分散し、拠点単位で接続を受けられる構成にする。
4. 目標値は、SaaS応答100ms以下、拠点回線使用率60%以下、VPN待ち時間ゼロとし、移行前後で実測比較する。

前提：社内ネットワークに繋がれば信頼する、というモデルを捨てる。 協力会社は自社管理外の端末と回線を使うため、ネットワーク位置ではなく、誰が・どの端末で・何にアクセスするかを都度評価する。

1. 認証：IdPに集約し、SAML/OIDC連携、多要素認証を必須化する。協力会社のアカウントは契約期間と連動させ、契約終了時に自動無効化する。退職者アカウントが3か月残った事案の再発防止であり、四半期ごとの棚卸しも併せて行う。
2. 端末の信頼性評価：端末証明書の有無、EDRの稼働、OSの更新状況を条件付きアクセスの条件にする。管理外端末にはVDIやリモートブラウザ経由でアクセスさせ、ローカルへの保存をさせない。
3. 認可の最小化：ロールではなく属性（担当プロジェクト、契約種別）に基づき、プロジェクト単位で参照範囲を限定する。設計データはダウンロード禁止、画面閲覧と透かし付与を基本とする。
4. セグメンテーション：設計データ共有システムを取引系システムから分離し、共有システムが侵害されても他へ横展開できないようにする。
5. ログと検知：誰がどの図面をいつ取得したかを記録し、通常と異なる大量取得を検知する。

1. 既存ファイアウォールポリシーの棚卸し不足：長年の運用で「とりあえず許可」が積み上がっており、そのまま新構成へ移すと不要な経路が残る。移行前に全ルールを利用実績と突き合わせ、実績ゼロのものは削除候補として業務部門に確認する。
2. 認証に対応できない機器の取り残し：プリンタ、図面プロッタ、古いCADライセンスサーバ、産業系機器は証明書もエージェントも入れられない。拠点内に閉じたセグメントに置き、そこへの経路だけ例外的に許可する設計を先に用意する。
3. 利用者体験の急変によるシャドーIT：ブレークアウト後もプロキシ設定やDNSが旧来のままだと「つながらない」という苦情が噴出し、私的なクラウドストレージへ逃げる。パイロット拠点2か所で2週間検証し、設定配布の自動化と問い合わせ窓口の増強を行ってから全社展開する。

加えて、CADのように大容量かつ低遅延が要る通信と、SaaSの一般通信とで経路を分けるポリシー設計を最初に決めておくと、移行後の調整が減る。