エクシオグループ株式会社様 導入事例

こうした背景からエクシオグループは新たなセキュリティ対策のあり方を検討し、ゼロトラストセキュリティの構成要素でもあるクラウドプロキシとCASBを導入し、通信状況を可視化する方針を決めた。同時にMobile ThreatDefenseおよびEDRソリューションも取り入れ、持ち出しPCやスマートデバイスの脅威対策を強化することとした。

決定の背景には、単に締め付けを厳しくするのではなく、安心・安全にスマートデバイスを活用できる環境を整えることで業務を活性化、効率化したいという思いがあったという。

「社内環境か、在宅環境かにかかわらず、どこでもスムーズに業務ができるようにし、PCだけでなくスマートデバイスの業務利用も促進したいと考えていました。それらの利用状況を可視化することによって、Webアクセスに関するさまざまな制限自体も緩和できるのではないかという期待がありました」（高馬氏）

各事業部門でどのようなスマートデバイスを利用しているかを把握し、SSL通信も含めどんなサービスがどのように使われているかを把握するためのソリューションとして選んだのが、Skyhigh Securityの「Skyhigh Security Service Edge」（SSE）だった。旧マカフィー時代からの信頼感に加え、「CASB機能が充実し、きめ細かく制御できることと、今後、どのようなスマートデバイスOSに対応していくかのロードマップが明確だったことが決め手でした」（高馬氏）

同時に、各端末やスマートデバイスを保護するため、同じく旧マカフィーのソリューションを引き継いだ「Trellix EDR」の導入も決定した。双方を組み合わせることで、コストも低く抑えられるという利点も得られた。

Skyhigh SSEの導入によってエクシオグループでは、以前からの懸念だった通信の可視化が実現でき、誰がどんなクラウドサービスをどのように利用しているかをより高い解像度で把握できるようになった。インシデントにつながりそうな事象があっても早期に捉え、トレーサビリティを確保するとともに、クラウドサービス利用時のルールの整理が進んでいる。

「以前は、部署や担当者ごとにお客様が指定されたクラウドストレージサービスを使うケースが多く、一元管理できていませんでした。さらに、端末側でのアカウント管理も徹底しているとはいえない状況で、情報漏洩のリスクがないとはいえませんでしたが、Skyhigh SSEで見える化することで状況がわかるようになりました」（高馬氏）

一例としてエクシオグループでは社内共通情報共有サービスとして「Box」を正式に採用し、特段の事情がない限り、社内や顧客とのやりとりに活用している。それも無償で利用できる個人アカウントではなく、社内のアカウント基盤と連携させることで、誰がどのように利用しているかを把握し、ポリシーに沿って統制の効いた形で運用できている。同時に、新たなクラウドサービスの利用を希望する場合はDX委員会に申請し、許可されたテナントについてのみアクセスを許すルールを定めた。

一方、許可外のクラウドサービスへのアクセスが発生している、いわゆるシャドーITが存在することも把握でき、これもCASBならではの効果だと評価している。

この事実をふまえ、今後どのように効果的に制御していくべきかを検討している段階だ。Skyhigh SSEが提供するリスク値も参考として示すことで、「なぜこのサービスは使っていけないのか」ということに根拠をもって説明できるようになったのも大きなアドバンテージだという。

「在宅勤務環境では、従業員がそれぞれどういったサイトにアクセスしているかがわからない状況でした。しかしSkyhigh SSEのクラウドプロキシを経由し、CASBでクラウドサービスの利用状況を可視化することによって、利用者がどういったところにアクセスしているかが把握でき、危険な通信に関しては即応できるようになったことが最も大きな効果です」（高馬氏）。Skyhigh SSEから得られる情報はGUI上で確認するほか、レポートとしてまとめ、経営層も含めた週次の定例会で共有し、どのようにDXとセキュリティを両立させていくかを検討している。

内と外を分ける境界型セキュリティモデルは直感的に理解しやすいが、Skyhigh SSEが実現するゼロトラストセキュリティというコンセプトはしばしば「わかりにくい」と言われがちだ。だが今回の導入では、「ベンダーさんとも、定期的なミーティングを開催することにより、『どのようなタスクをこなさなければならないか』についての理解を深めながら導入を進めることができ、助かりました」（高馬氏）という。