マイクロセグメンテーションとは？導入するメリットや課題、ポイントを解説

マイクロセグメンテーションとは、ネットワークをセグメントに分割して、各セグメントの要件に基づきセキュリティ制御を行う手法のことです。従来の社内からのアクセスは安全性が高く、社外からのアクセスに対してセキュリティ対策を行う考え方では対応できなくなったため、近年注目を集めています。

本記事では、マイクロセグメンテーションの概要や導入するメリットと課題、導入時のポイントについて詳しく解説します。マイクロセグメンテーションについて知りたい方、導入を検討している方は、ぜひ参考にしてください。

マイクロセグメンテーションとは

マイクロセグメンテーションとは、ネットワークを複数のセグメント（固まり）もしくはサブセグメントに分割して、小さなネットワークとして機能させることです。サイバーセキュリティにおける考え方の一つで、ワークロードを細かく分けることにより各ワークロードに対して個別のポリシー適用が可能です。

ここからは、以下の事項について解説します。

• ワークロードの概要
• マイクロセグメンテーションが求められる理由
• マイクロセグメンテーションの仕組みと3つのタイプ

ワークロードの概要

コンピューティングにおけるワークロードとは、システムやサービスもしくはアプリケーションが実行するタスク・プロセスなどのことです。具体的には以下が該当します。

• 中央処理装置（CPU）
• メモリ
• ディスク容量
• ホスト
• 仮想マシン
• コンテナ

マイクロセグメンテーションが求められる理由

マイクロセグメンテーションが求められているのは、従来のセキュリティではサイバー攻撃を防げなくなっているためです。

これまでのセキュリティは、社内からのアクセスは安全で社外からのアクセスは危険とする「境界型セキュリティ」が一般的でした。ネットワークの出入り口に、ファイアウォールなどのツールを導入して外部からの侵入を防ぐ対策が多く用いられていました。ファイアウォールとは、外部からの不正アクセスやウイルス感染などの脅威からデバイスを保護するシステムのことです。
ただ、新型コロナウイルス感染症・働き方に対する価値観の変化によるテレワークの普及により、境界があいまいになっています。境界型セキュリティでは、内部に侵入された後の対策が不十分であるため、不正アクセスなどをされると容易に社内ネットワーク内で水平展開されてしまいます。マイクロセグメンテーションを導入すれば、各コンピューターの通信範囲を絞ることができ、水平展開の防止による被害最小化が可能です。

マイクロセグメンテーションの仕組みと3つのタイプ

マイクロセグメンテーションは、ネットワークトラフィックを分割することによりセキュリティを強化する仕組みがとられています。分割方法は以下3つのタイプに分けられます。

• エージェントタイプ
• ネットワークタイプ
• ホストタイプ

順に解説します。

エージェントタイプ

各デバイスに専用のエージェントを導入して、デバイスごとのポリシーを設定するタイプです。細かく分割でき、通信のリアルタイム監視や異常の検知が可能です。

ネットワークタイプ

デバイスやサーバーに導入したソフトウェアを用いて、ネットワークを仮想的に分割するタイプです。仮想的な分割であるため、導入する際にルーターやスイッチなどのネットワーク機器調整・実装を行う必要がありません。

ホストタイプ

デバイスやサーバーなどのホストに対して、境界線を設けるタイプです。境界線で区切られているため、マルウェアなどに感染しても他のデバイスに被害が拡大することを防止できます。

マイクロセグメンテーションにおける2つの種類

マイクロセグメンテーションは、大きく以下の2種類に分かれます。

• コンテナセグメンテーション
• ユーザーセグメンテーション

ここからは、上記それぞれの種類について解説します。

コンテナセグメンテーション

アプリケーションを実行するための環境をパッケージ化した技術であるコンテナを分離して、セキュリティを向上させるものです。ネットワークセグメンテーションを活用して、各コンテナに個別のネットワークを作成することで実現します。適切な設定を行わなければ、コンテナが他のデータやファイルにアクセス可能になり、セキュリティ上の脆弱性が発生するため注意が必要です。

ユーザーセグメンテーション

企業や組織内の役割に基づき、ユーザーのアクセスを分割することでセキュリティを強化するものです。ユーザーは、自分の権限範囲内にあるリソースのみにアクセスできます。アカウントを乗っ取られた際に被害が拡大するリスクを軽減するとともに、内部従業員の不正も防止できる可能性が高まります。人事異動や昇進・降格などにより、ユーザーの権限変更が発生するため、定期的な見直しが欠かせません。

マイクロセグメンテーションを導入するメリット

マイクロセグメンテーションを導入する主なメリットは以下の3つです。

• サイバー攻撃における被害の最小化
• 詳細なアクセスポリシーの設定
• ネットワークのパフォーマンス向上

順に解説します。

サイバー攻撃における被害の最小化

マイクロセグメンテーションを導入する最大のメリットは、サイバー攻撃における被害の最小化です。「マイクロセグメンテーションが求められる理由」の章で解説した通り、セグメント化を行えば不正アクセスやマルウェア感染などの水平展開を防止できます。
例えば、マルウェアの中にはネットワークを通じて感染が拡大する特性を持つものもあり、一つのデバイスが感染すれば他のコンピューターにも被害が拡大します。マイクロセグメンテーションを用いることで、他のセグメントには移動されません。

近年は、プライバシー保護に関する意識が高まっており、個人情報や秘匿データを保存したシステムに侵入されて情報を盗まれれば、企業の信用やブランドイメージが低下するでしょう。最悪の場合、事業の継続が困難になるケースもあります。マイクロセグメンテーションで水平展開を防止すれば、重要な情報が漏洩するリスクも抑えられます。

詳細なアクセスポリシーの設定

マイクロセグメンテーションを用いれば、詳細なアクセスポリシーの設定が可能です。例えば、以下の分類を行うラベルやタグの付与により、各グループごとのポリシーを設定できます。

• 人事
• 経理
• 営業
• システム
• マーケティング

上記の設定を行った場合、人事情報に他の部署の従業員はアクセスできません。
また、オンプレミスやクラウドなど異なるIT環境で、同様のポリシーを設定することも可能です。アクセスポリシーの適用に関する柔軟性も高く、環境に依存しないセキュリティ管理を実現できます。

ネットワークのパフォーマンス向上

ネットワークのパフォーマンス向上も、マイクロセグメンテーションにおけるメリットの一つです。特定のネットワークにアクセスが集中した場合、通信速度の低下やサーバーダウンの原因となります。マイクロセグメンテーションでネットワークを利用するユーザーを減らせば、アクセス集中を防止できるでしょう。

マイクロセグメンテーションの導入における課題

セキュリティの強化に役立つマイクロセグメンテーションですが、設計や運用が煩雑で手間がかかります。導入時には、セグメントをどう区切るかやどのようなポリシーを適用するかの検討が必要です。また、運用には定期的なポリシーの見直しや再設定が求められます。新たなデバイス・アプリケーションの追加や戦略の変更があった際に、セグメントを変更しなければ業務などに支障が出るケースがあるでしょう。

マイクロセグメンテーションの導入・運用には、専門的な知識やスキルを有する人材が必要です。具体的には以下に関する知識・スキルが求められます。

• セキュリティ
• ネットワーク
• ポリシー策定
• ラベル・タグの設計や設定
• サーバー

DXの推進によりIT人材の需要が増している一方で、供給が追いついていません。専門的な知識やスキルを有する人材の確保は容易ではないでしょう。

マイクロセグメンテーションを導入する際のポイント

最後に、マイクロセグメンテーションを導入する際の以下2つのポイントを紹介します。

• 目的を明確にする
• 環境の全体像を明確にする

目的を明確にする

マイクロセグメンテーションの導入前には、目的を明確にしましょう。「マイクロセグメンテーションを導入するメリット」の章で解説した通り、利用すればさまざまな効果が期待できます。
ただ、マイクロセグメンテーションにはタイプや種類が複数あり、特徴が異なります。目的を明確にした上で、どのタイプが合うかやどのようにセグメント化するのが良いかを検討しましょう。必要な要件などを整理すれば、最適な境界も明確になります。

環境の全体像を明確にする

マイクロセグメンテーションの挿入時には、環境の全体像を明確にすることも重要です。ネットワークを分割する際に細かくしすぎると、管理が煩雑になったり業務に支障をきたしたりする可能性があり、大雑把にするとセキュリティ強化に役立ちません。全体像を把握した上で、最適な設定を行いましょう。
まずは、境界線が明確なところから導入して、徐々に拡大することがおすすめです。また、実装前には問題がないかのシミュレーションを行うことで、トラブル発生を抑えられます。

まとめ

マイクロセグメンテーションとは、ネットワークを複数のセグメントもしくはサブセグメントに分割して、小さなネットワークとして機能させることです。従来の社内からのアクセスは安全性が高く、社外からのアクセスに対してセキュリティ対策を行う考え方では対応できなくなったため、近年注目を集めています。導入すれば、サイバー攻撃における被害の最小化や詳細なアクセスポリシーの設定、ネットワークのパフォーマンス向上などのメリットを得られます。

ただ、マイクロセグメンテーションにはさまざまな種類やタイプ、設定の仕方があり、自社に合うかたちにしなければ、期待する成果は得られません。場合によっては、業務の妨げになる恐れもあります。導入時には、目的の明確化と全体像の把握が重要です。

また、マイクロセグメンテーションを用いたとしても、サイバー攻撃を完全に防止できるわけではありません。万が一、情報漏洩が起これば企業の信用やブランドイメージが低下するでしょう。サイバー攻撃を未然に防ぐ手段を講じるとともに、被害に素早く気付き対処する体制の構築が求められます。情報漏洩監視ツール「ダークウェブアイ」は、会社のドメイン情報を入れるだけで「いつ」「どこから」「どんな情報が」漏れてしまったのか、一瞬で分かります。

自社情報が漏洩していないか不安な方は、まずは自社の漏洩状況を確認してみてはいかがでしょうか？
⇒メールアドレスを入れるだけ！自社の漏洩状況をチェック！