東レ株式会社 様

東レ 水谷洋平氏

グループの情報システムの共通サービス化を進める中で、ネットワークの統合を2018年頃から進めていました。国内では1つのグループネットワークに統合し、海外のグループ会社や拠点からはグループネットワーク経由で国内の基幹システムにアクセスする構成です。

東レシステムセンター 岡康史氏

海外では、各社のセキュリティ対策のレベルがまちまちという問題がありました。そうした中で、実際に海外グループ会社のリモートアクセス環境からグループネットワーク経由で日本のサーバに侵入されるインシデントが起きました。幸い実害はありませんでしたが、グループネットワークのアクセス方法を見直すことになりました。サーバはメンテナンスのためにSSHやRDPといった管理系のプロトコルを使ってもアクセスできます。SSHやRDPでアクセスされるとサーバを自在にコントロールできてしまうため、これらをグループネットワーク経由で実行できなくする仕組みが必要になったのです。

水谷氏

私が所属する基盤システム推進部は、グループのヘッドクオーターとして国内外の関係会社のセキュリティを統括しています。グループネットワークは、サービスやコミュニケーションの基盤として利用していますが、セキュリティ機能を含むインフラサービスを関係会社へ提供し、セキュリティレベルを向上する必要があると考えていました。個社で独自にリモートアクセスの制御の対応をするのではなく、東レシステムセンターで統一したセキュリティ対策機能を提供する方針で検討を進めました。

岡氏

SSHやRDPのような書き換えが発生するアクセスからサーバを防御するには、どうしたらいいか。そこで考えたのが、各サーバに対してSSHやRDPのアクセスを許可する特権アカウントを提供する特権ID管理の仕組みを導入する方法でした。ただし、防御対象のサーバは国内外に数多くあります。多くのサーバに特権ID管理のソリューションを導入するとなると、コストや実現期間の課題がありました。
そこで、ネットワークで物理的に通信を制御するゲートウェイ方式も並行して検討しました。踏み台サーバを1台置いて、踏み台へのアクセス時に多要素認証などをかけてアクセス制御する方式です。一方で、アクセス制御をオンプレミスで運用することは、運用の負荷から考えていませんでした。

水谷氏

サービスを探し、適切なサービスがなければ、認証や管理も含めた要件でサービス構成をベンダーに作って提供してもらう必要があるのではないかと考えていました。

岡氏

複数のベンダーに特権ID管理方式と合わせてゲートウェイ方式のアクセス制御のソリューションの提案を依頼したところ、IIJからゲートウェイ方式に適したクラウドサービスの提案がありました。IIJ Safous ZTAというサービスで、リモートアクセスの制御ができるというのです。そんなソリューションがあるとは思っていなかったので、かなり新鮮な印象を持ちました。要件として掲げた、リモートアクセス時の多要素認証やゼロトラストネットワークアクセス（ZTNA）などの既存環境との併存もできるとの説明がありました。機能的に当社のイメージに適合することを確認した上で、コスト面、実現期間も含めて総合的に検討し、Safous ZTAを使う以外の選択肢がないと感じました。そのぐらい私たちの要求に「ハマった」サービスでした。

シスコ 片岡篤志氏

シスコは東レシステムセンターの子会社で、私は実務担当として設定などの対応を進めました。当初は物理的なサーバを立てる方式を想定していましたが、Safous ZTAならばクラウドサービスのため、ライセンスを買えばすぐに検証もできます。まず試してみようということになりました。

岡氏

2022年5月ごろに各ベンダーへヒアリングを始め、夏ごろにIIJからSafous ZTAの話をもらいました。検証環境として実稼働を始めたのが11月で、うまく稼働していたことから2023年の3月末までに環境整備を終え、2023年度にSSHとRDPのアクセスをSafous ZTA経由に切り替えました。

岡氏

IaaS基盤や物理サーバ、クラウドサービスの管理のために必要なSSHとRDPの通信を、Safous ZTA経由でアクセス制御しています。利用者はシステム管理者です。2023年度から、ファイアウォールでグループネットワークへのSSH、RDPの通信を遮断し、Safous ZTA経由だけでアクセスを許可するようにしました。攻撃者がSSH、RDPの通信でアクセスしようとしても、弾かれる仕組みが整いました。

片岡氏

Microsoft Entra ID（旧Azure Active Directory）とSafous ZTAの連携の事例がなかったこともあり、実際に連携できるまでには問題も発生しました。そこではIIJのエンジニアが寄り添ってくれて、踏み込んだ対策を検討・提示をしてくれたことで、問題を解決できました。うまく導入できたのはIIJのおかげだと思っています。

岡氏

セキュリティソリューションは定量的な効果を示すのが難しいのですが、1年以上使ってきてサーバに対する管理系通信を使った不正攻撃が1件もないことがSafous ZTAの導入効果だと考えています。海外のグループ会社ではサイバー攻撃を受けているログや侵入されたログもゼロではありませんが、サーバに不正アクセスが発生していないのは、Safous ZTAが想定通りにきちんと動いていることの証でしょう。

水谷氏

現在はシステム管理者の通信をSafous ZTAでアクセス制御するところがうまく立ち上がったところです。一方で、デジタルデータの活用やクラウドサービスの利用が増え、OT（Operational Technology）も含めたアクセス制御にSafous ZTAを利用することを検討しています。こうした構想に対しても、Safous ZTAを利用して感じている展開のしやすさを生かして、良い形で展開していけると考えています。