BeyondCorpとは？Googleが提唱するゼロトラストの特徴やメリットなどを解説

近年の国内DX(※1)は劇的に進み、第四次産業革命もいよいよ大詰めに差し掛かる勢いでしょうか。企業は、これまでのスタンダードであった境界型セキュリティやVPNに依存したネットワーク構築から、ゼロトラストセキュリティを根本としたZTNA(※2)を組み込む過渡期に直面しています。

今回は、拠点間VPNを張らずに実現するGoogle流のゼロトラストセキュリティ「BeyondCorp」と、ByondCorpのアーキテクチャを実現する「BeyondCorp Enterprise」についてお話したいと思います。

<sup>※1 DXとは...Digital Transformation（デジタルトランスフォーメーション）の略語。企業がデジタル技術を活用し、ビジネスモデルや企業自体を変革していくこと

※2 ZTNA(Zero Trust Network Access)とは...全てのアクセスを信頼しないゼロトラストの考え方を取り入れたセキュリティソリューションのこと</sup>

「BeyondCorp」とは、Googleが提唱するゼロトラストセキュリティの考え方です。

今の世の中に浸透しているニューノーマルな働き方ではリモートアクセスが不可欠となり、ネットワーク外部にあるデバイス（個人のスマホやタブレット、自宅PC等）もビジネスシーンで多く利用されています。
リモートワークする従業員が増える中、「社内LANに入れば安全」という従来の境界型ネットワークを貫くとVPN網で処理しなければいけないデータ量も比例して増加します。
そのトラフィックすべてを処理するとなると、従来のVPN網では負荷がかかります。

従業員が求めるパフォーマンス（高利便性＆高レスポンスであること）を従来のネットワーク構成で実現するには無理が生じてきている...というのが現状です。
ゼロトラストネットワークはVPNの高負荷を解消し、各拠点ひいては各デバイスから業務に必要なアプリケーションに直接アクセスさせる為のセキュリティが考慮されたネットワークの形です。

ゼロトラストネットワークを構築し境界型セキュリティから脱すれば、従業員のセキュリティを確保しながらそれまで以上に生産性を向上させることができます。

そんな中Googleは、「BeyondCorp」と題して独自のやり方でその取り組みを続けてきました。BeyondCorpは全世界10 万人以上のGoogle社員の利用実績が裏付けしたゼロトラストセキュリティ（Google流のゼロトラスト実現方法）といえるでしょう。

ゼロトラストセキュリティとは、2010年にフォレスター・リサーチ社が提唱した新しいセキュリティモデルのことです。
従来の境界型セキュリティでは、社内は安全・社外は危険という考え方に基づき、社内と社外の境界線に対してセキュリティ対策を講じていました。
ゼロトラストセキュリティでは全てのアクセスを信頼しない（zero trust）ことを基軸に、ユーザーやデバイス、フロー毎に通信の検証を行い、接続許可を判断しています。
テレワークの浸透などによるクラウドの利活用が進むにつれ、社内・社外の境界線があいまいになっている現代においては最適なセキュリティ概念と言えます。

ゼロトラストセキュリティを叶えるためにBeyondCorpに備わっている機能について解説します。

シングルサインオン（Single Sign-On：SSO）とは、一度のユーザー認証（ログイン）で複数の異なるシステムやアプリケーションにアクセスできるようにする仕組みのことです。
メールや給与計算、プロジェクト管理ツールなど従業員がアクセスするシステムそれぞれにログインするたびにIDとパスワードを入力することは面倒ですし、覚えておくのも大変です。
シングルサインオンを導入することでそのような手間を省き、効率化を図ることができます。

BeyondCorpでは、社内ネットワークと社外ネットワークを行き来する通信をアクセスプロキシを経由させることにより、ユーザーのアクセス場所やデバイス等（コンテキスト情報という）を参照してリアルタイムでのアクセス制御を行っています。

つまり、一旦社内ネットワークに入った後の通信に対しても、異なるシステムやアプリケーションへアクセスする際にはその都度認証を実施します。
また、会社の管理下にある貸与デバイスのみに接続を許可する、営業時間（平日の9時～18時の間など）のみにアクセスを許可するなど、細かな制御を行うこともできます。

データやアプリへアクセスする際には毎回認証を求めるだけでなく、多要素認証を採用することでより精度の高いユーザー認証を実現します。指紋認証や顔認証といった生体機能を利用すれば、さらにセキュリティレベルを高められます。
毎回認証が必要であっても、前述したSSOを利用することでユーザーの操作性を損なうことはありません。

BeyondCorpを導入するメリットは大きく3つあります。

何と言っても導入のしやすさは大きなメリットです。
1ユーザーあたり月額4ドル～で利用できますし、会社規模（ユーザー数）に応じて最適化できます。
またクラウドサービスであるため、新たな機器購入やシステム構築が不要で、スピーディに導入できる点も大きなメリットです。

BeyondCorpのセキュリティレベルは、従来の境界型セキュリティと比べて高いと言えます。
なぜなら、従来の境界型セキュリティであれば、社内ネットワークに入ってしまえば全ての通信を安全と考えますが、BeyondCorpでは、通信が発生する度に認証を行うためです。
一定時間が経過すると再度認証を求めたり、他要素認証を必要とすることで、さらに高いセキュリティを実現できます。

ネットワークの境界でセキュリティ対策を講じるのではなく、ユーザー毎やアプリ毎にセキュリティ対策を講じる為、従業員の働く場所や時間を問わずセキュリティレベルを保つことが可能です。
そしてVPNを経由しないという選択は、通信遅延も回避できたり管理しきれなかったシャドーITの抑制にも高い効果を発揮することでしょう。

財務のデータは経理部門、採用データは人事部門など、データへのアクセス権限を適切な範囲に限ることは、セキュリティ上重要な要素と言えます。
BeyondCorpでは、ユーザーや部署などの情報をもとにデータ閲覧の制限を細かく行うことが可能です。
情報漏えいのリスクを軽減させることができる他、流出時の原因特定も迅速に行うことができます。

BeyondCorpは「Google流ゼロトラスト」であり、これは概念でしかありません。この考え方に則って作られたソリューションが「BeyondCorp Enterprise」です。
BeyondCorp Enterpriseのアーキテクチャを見てみると、エンドポイント領域、ネットワーク領域、クラウド領域において、ゼロトラストネットワークを構成するにあたって重要となるセキュリティ要素を駆使していることが分かりました。

GoogleのID管理1つで、予め指定されたルールと条件を満たさない限り該当のリソース（アプリケーション）にアクセスできないという制御を実行します。ネットワークレベルでリソースを保護するのではなく、個々のデバイスやユーザーに対してアクセス制御が行われる為、既存のVPNが不要（または負荷が軽減）になり、よりセキュアな環境で業務を遂行することができるのです。

ユーザーは「Google Chrome」というWebブラウザを使用し、アカウントは「Identify and Access Management（IAM）」というGoogle CloudのID管理と認証サービスで管理します。認証に値するアカウントであるかの評価などを細かく設定する事が出来ます。
また、デバイスは「Endpoint Verification」で管理します。従業員がGoogle Chromeの拡張機能であるEndpoint Verificationをインストールすることで、その従業員がGoogle Cloudリソースへのアクセスに使用したデバイスに関する情報（OSバージョン、ストレージの暗号化の有無、パスワードが設定されているか等の詳細な情報）が集積されるサービスです。管理者は、Google Chrome拡張機能から収集された詳細情報を使用して、組織のデータにアクセスするChrome OSとChromeブラウザ搭載デバイスの台帳を作成できます。

ユーザーのアクセスは全てGoogleネットワークを経由します。200を超える国や地域で利用でき、エッジロケーションが144ヵ所に及ぶGoogleのネットワーク基盤であれば大容量トラフィックにも耐えられます。また、ユーザーのトラフィックはプロキシなどで保護され、DDoS攻撃にも対応することが出来ます。

アクセス先であるアプリケーションは「Access Context Manager」にて管理します。アクセスレベルやアクセスポリシー等のルールを設定し、きめ細かなアクセス制御を確立する事が出来ます。IDや端末はもちろんのこと、位置情報やアクセス時刻、セッション経過時間などをみてアクセス可否を選択できます。
また、「Identify-Aware Proxy（IAP）」でアクセス経路が管理される事によって、従業員がVPNを利用せずに信頼できないネットワーク（自宅やコワーキングスペース、カフェ等）から会社のアプリやリソースにアクセスできるようになります。
Access Context Managerで制御した条件を基にIdentify-Aware Proxy（IAP）を用いてアプリケーションへのアクセスをしているということです。

BeyondCorpには2つのプランがあります

• BeyondCorp Enterprise：月額6ドル/ユーザー
• BeyondCorp Enterprise Essential：月額4ドル/ユーザー

それぞれのプランで最小契約金額が決まっており、以下のとおりです。

• BeyondCorp Enterprise：合計14,000ドル
• BeyondCorp Enterprise Essentials：合計10,000ドル

上記月額費用以外にも以下で課金される場合があります。

• BeyondCorp Enterprise使用時にデプロイされたCloud Load Balancing
• Google Workspace（ID管理のために必要）
• Cloud Identity Premium（Premium を利用する必要がある場合）

「BeyondCorp Enterprise Essential」はBeyondCorp Enterpriseの機能を必要最低限にしたプランです。
BeyondCorp Enterprise Essentialは主に以下の機能が利用できます。

• アプリケーションの可視化や制御
• ユーザー認証・アクセス制御
• ランサムウェア等の外部脅威からの保護
• フィッシングからの保護

BeyondCorp Enterpriseほど細やかなポリシー・ルール設定はできないものの、導入が容易です。Google WorkspaceやGoogle Cloudを利用している企業がセキュリティ強化をしたいときに簡易的に導入できるものとしておすすめです。

従来の境界型セキュリティとBeyondCorpの違いについては、前述したとおりです。
BeyondCorpの考えに則ったセキュリティシステムをゼロから構築しようと思うと非常に大変ですが、Googleが提供しているクラウドサービスである「BeyondCorp Enterprise」を利用することで、簡単かつスピーディに実現することができます。