ネットワーク分離の課題

最近、主に標的型攻撃への対策としてネットワーク分離が求められることがあります。自治体や金融機関などの個人情報・機密情報を扱う組織において、この対策を検討・導入することが多いようです。

たしかに重要情報を扱う内部ネットワークと、潜在的に危険なデータが飛び交うインターネットとを物理的に分離することで、マルウェアへの感染など重要情報の流出に直結する危険を大きく軽減することが可能です。しかし、2つのネットワークの境界を越えたデータの持込み・持出しを完全に禁止してしまうと業務に差し支えが生じてしまいます。

そのため、内部ネットワークとインターネットとの間で、データの持込み・持出しを統制する仕組みが必要になります。

ネットワーク分離とは

ネットワーク分離の概要

2つのネットワーク環境を構築し、業務目的に応じてそれぞれのネットワークを使い分けることがネットワーク分離です。2つのネットワークはそれぞれの役割が異なり、ここでは2つのネットワークを簡単に次のように定義します。

外部ネットワーク（外部NW）	不特定多数の端末やインターネットへの接続が日常的に行われるネットワーク
内部ネットワーク（内部NW）	機密データや個人データの取り扱いが日常的に行われるネットワーク

外部NWは、インターネット接続やメール送受信、クラウドサービス利用など組織内ネットワークの外との情報のやりとりに使用されます。内部NWは、インターネット接続はできず、許可なしに内部NWの外に持ち出してはいけない情報の取り扱いに使用されます。

そして、この2つのネットワーク環境は分離された状態で、原則的に相互接続は禁止されています。

ネットワーク分離の目的

ネットワーク分離は、おおよそ次のいずれかの目的のために、ネットワーク間の通信を原則として禁止します。外部から訪れる脅威と内部から発生する脅威を入口・出口で規制するのが目的です。

入口規制	マルウェアに感染した端末やデータの内部NWへの持ち込み・侵入を阻止する。
出口規制	個人情報など重要情報の漏えいを阻止する。組織から発信される対外情報を制御する。

業務に応じてネットワークを使い分けるのがネットワーク分離の考え方ですが、正直にそれを実施しようとすると極めて不便を強いられます。メールで外部と連絡を取る、インターネットで調べ物をするなどは、外部NWの場所に移動して専用端末を使用し、基幹システムに接続する、業務資料を作成するなどのときは内部NWの場所に移動して専用端末を使用する、というような場所の往復と端末の切り替えを1日に幾度も行うことになり不便極まりなく業務効率が下がる一方です。

そこで、2つのネットワーク間の接続に例外を設け、なるべく不便を解消して業務効率を下げないようにする仕組みが必要です。ただし、セキュリティが弱くならないように例外は必要最小限に留めるべきです。

インターネットに接続するためには

インターネット接続するには、外部NWの端末を操作できればよいので、場所を移動せずに内部NWから外部NWの端末を操作できるようにする仕組みがとられます。最近では、画面転送型のVDI方式を採用されるケースが多いようです。

VDI方式は、内部NWにあるPCの画面に外部NWにあるPCの画面が転送されて映し出され、外部NWのPCを操作できる仕組みです。画面転送を通して外部NWのPCを使用することにより、内部NWにいながらインターネット接続ができるようになります。もちらん映し出されている外部NWのPC画面から、内部NWのPCにデータを移動・コピーすることはできず、外部NW側から内部NWのPCを操作することもできないようになっています。

ネットワーク分離の例外の1つ目として、VDI方式などに使用される通信のみを両ネットワーク間の接続に許可します。

ファイルを共有するためには

内部NWの中で業務が完結すればよいのですが、完結しない場合も多々あります。作成した営業資料などの内部NWにあるデータをお客様に渡すために外部に持ち出したり、お客様など組織外からのデータを内部NWに持ち込んだりする必要があります。しかしセキュリティ対策上、PC自体の移動やUSBメモリなどの外部メディアをPCに接続することは禁止されていることが多く、データの持出し・持込みを容易に行うことはできません。

そこでデータの持出し・持込みにファイル転送の仕組みが用いられます。内部NW・外部NWのどちらからでも接続可能で安全な転送システムに、許可されたデータのアップロード・ダウンロードができる仕組みです。

ネットワーク分離の例外の2つ目として、ファイル転送に使用される通信のみを両ネットワーク間の接続に許可します。ファイル転送システムの活用には3つの環境構築方法があります。