Network Security Policy Management (NSPM): 今も重要である理由と選定のポイント

ネットワークセキュリティポリシー管理（NSPM） とは、ファイアウォール、クラウドのセキュリティグループ、セグメンテーション基盤にまたがるネットワークアクセス制御のルールを、デバイス単位ではなく単一のレイヤーから統制する取り組みです。FireMon は 2004 年、ファイアウォールのルール肥大化と手作業によるコンプライアンス対応という課題を解決するために NSPM というカテゴリーを創出しました。それから 20 年、課題はさらに大きくなっています。ベンダーは増え、クラウドは広がり、変更は頻繁になり、監査も増加しています。

重要なポイント

• ファイアウォールはポリシーを適用し、NSPM はポリシーを統制します。ポリシーの定義が不十分であれば、ファイアウォールがどれほど高機能でもセキュリティの適用は不十分になります。
• エンタープライズネットワークは現在、数千台のファイアウォール、クラウドのセキュリティグループ、セグメンテーションツールに及んでおり、手作業によるポリシー管理では信頼性を確保できません。
• PCI DSS、NIST 800-53、DORA、NIS2 などのフレームワークには、変更管理、監査、ルールレビューに関する要件が含まれており、NSPM は継続的なエビデンスによってこれらの要件を支えます。
• 自動化は、申請からルールの廃止までワークフロー全体をカバーすることで、ポリシー変更にかかるコストと時間を削減します。
• NSPM プラットフォームを評価する際は、マルチベンダー環境の正規化、変更前の検証、継続的なコンプライアンスエビデンス、統制された変更ワークフローを重視してください。

NSPM は今も必要か

必要です。ファイアウォールとクラウドの制御がアクセスを適用し続ける限り、何を適用するのかを統制する役割が欠かせません。この問いは、たとえばベンダーが製品の提供を終了した後など、ツールを見直す局面で持ち上がることが多いものです。答えは変わっていません。運用するデバイス、ベンダー、環境が増えるほど、ポリシーが意図どおりに機能しているかを単一のコンソールで把握することは難しくなります。

ファイアウォールはセキュリティポリシーを適用する

ファイアウォールポリシーの誤りは、境界ネットワークの黎明期から重大な障害を引き起こしてきました。不要な悪意あるトラフィックを許可してしまう場合もあれば、必要なトラフィックを遮断して業務停止を招く場合もあります。これが NSPM が存在する根本的な理由です。ファイアウォールは適用されたセキュリティポリシーをそのまま実行するため、ポリシーの定義が不十分であればセキュリティの適用も不十分になります。FireMon は 2004 年、この課題に対処するために NSPM というカテゴリーを創出しました。

それ以来、ネットワークの複雑性が増すにつれて NSPM の必要性も高まってきました。内部、外部、DMZ のセグメントを分けるだけの単純なファイアウォール環境は、内部ネットワークをより細かくセグメント化する形へと進化しています。パブリッククラウドの採用により「外部」の範囲は拡大し、アプリケーションの複雑性は急増し、脅威は量と巧妙さの両面で増大し、ファイアウォール技術も高機能化すると同時に複雑になりました。

今日では、数千台のファイアウォールを管理し、その 1 台ごとに数千のルールと数万のネットワークオブジェクトが存在し、複雑なルールとオブジェクトグループが全体としてネットワークを通る数千万通りのアクセス経路を形成している、という企業は珍しくありません。この複雑性のもとでは、効果的なポリシー管理なしに効果的なセキュリティを実現することはできません。

だからこそ FireMon は、ポリシーをネットワークセキュリティの Control Plane と位置づけています。ポリシーはネットワークセキュリティが何をすべきかを定義し、ファイアウォール、クラウドのセキュリティグループ、セグメンテーション基盤はそれを実行するインフラです。ポリシーを単一のレイヤーから統制することで、環境が意図どおりに動作していることを確認し、制御し、証明するための単一の拠点が得られます。

大手銀行のように複雑で規制が厳しく、攻撃の標的になりやすい企業にとって、NSPM ソリューションはセキュリティ管理の基盤要素です。ポリシーのわずかな誤りが、最新のファイアウォール技術を無力にすることもあります。たとえば、オブジェクトグループへの小さな変更は一見無害に見えても、そのオブジェクトグループが数百のルールで使われていれば、意図しないセキュリティ上の影響が生じます。NSPM ソリューションは、こうした表面化しにくい誤りを検出し、組織が攻撃にさらされる事態を未然に防ぎます。

ファイアウォールが必要とされる限り、効果的なポリシー管理は不可欠であり続けます。この点は、次の IDC InfoBrief でも裏付けられています: ファイアウォールポリシー管理: 無視できない基盤。

コンプライアンスは選択肢ではない

長年にわたり、ネットワークセキュリティのコンプライアンス要件はファイアウォールの設置を義務づけてきました。金融サービス、ヘルスケア、小売など規制の厳しい業界の組織は、効果的なセキュリティプログラムには効果的なポリシー管理が欠かせないと認識し、適用されているポリシーの有効性そのものを評価する方向へ要件を広げてきました。

これらの要件には、変更管理 の統制（新たな変更を実装前に評価する）、すべての変更を文書化する監査統制、アクセスの業務上の必要性とリスク受容を定期的に見直す継続的なルールライフサイクル管理が含まれます。これらは NIST 800-53、NIST CSF、PCI DSS 4.0、GDPR、DORA、NIS2 をはじめとするフレームワークに定められています。

ファイアウォールが存在するだけでは、安全でコンプライアンスを満たした企業環境を構築し維持することはできません。ファイアウォールがネットワークセキュリティのベストプラクティスを適切に適用し、監視していることを担保するには、効果的なポリシー管理が必要です。これらのフレームワークへの準拠を維持し文書化する作業は、複雑な構成を継続的に評価してレポートする自動化ツールがなければ、きわめて多くの時間を要します。

継続的なコンプライアンス とは、展開前に変更案にコンプライアンス違反がないかを検証し、監査のたびにエビデンスを作り直すのではなく、レビューの合間も監査エビデンスを最新に保つことを意味します。詳しくは事例紹介 をご覧ください。ある組織がコンプライアンス監査の準備時間を 83% 削減した方法を紹介しています。

ネットワークセキュリティの運用コストは高い

ネットワークとセキュリティの複雑性が増すとともに、こうした複雑な環境を管理するコストも増大してきました。同時に、仮想化、パブリッククラウド、Infrastructure as Code といった技術の採用により、ビジネスと IT のスピードは加速しています。この加速は、セキュリティに対してより速い対応を求める圧力となっています。

運用コストとスピードという 2 つの課題は、いずれも自動化によって解決できます。ネットワークセキュリティ運用の自動化は、デバイスへの変更適用（プッシュ）の自動化にとどまりません。効果的なネットワークセキュリティの自動化には、次の要素が含まれます。

• 変更申請プロセスを合理化し、申請件数を削減するとともに要件定義の精度を高める。
• 設計プロセスを自動化し、目的の成果を得るために必要な変更を特定する。
• 変更前の評価フェーズを自動化し、適切で安全かつコンプライアンスに準拠した変更のみを許可する。
• 承認プロセスを合理化し、変更申請を迅速に承認または却下する。
• 定められた変更ウィンドウ内で、入力ミスを招きやすい手作業を伴わずに変更の実装を自動化する。
• 継続的なコンプライアンスレポートを自動化する。
• ルールレビューのプロセスを簡素化し、自動化する。
• 不要になったルールの廃止を自動化する。

多くのチームは段階的に自動化を進めます。変更前の評価やコンプライアンスレポートなど、信頼を得やすい領域から着手し、そこから適用範囲を広げていきます。

NSPM プラットフォーム選定のポイント

NSPM ベンダーを評価する企業は、6 つの機能を検証すべきです。いずれも、手作業のプロセスでは大規模環境で対応しきれない課題に対応するものです。

もう一つの判断基準があります。優れた NSPM プラットフォームは、既に運用している firewall や cloud のコントロールを統制します。enforcement の技術そのものを置き換える必要はありません。

FireMon Security Manager は、FireMon の NSPM プラットフォームの基盤です。120 を超える firewall、cloud、マイクロセグメンテーションの各プラットフォームのポリシーを単一のデータレイヤーに正規化し、リアルタイムの可視化、変更前の検証、継続的な compliance 証跡を一元的に提供します。アドオンモジュールにより、workflow の自動化、ルールの最適化、リスク分析を追加できます。

NSPM とベンダー純正の firewall 管理コンソールの比較

Panorama や FortiManager といった純正コンソールは、自社プラットフォームの管理に優れています。NSPM はその上位に位置し、純正コンソールが扱わない領域全体にわたって一貫性を統制します。

まとめ

FireMon が 2004 年に NSPM を生み出す契機となったネットワークセキュリティ管理の課題は、firewall、cloud アカウント、監査が増えるたびに拡大してきました。NSPM の重要性は、これまでのどの時点よりも高まっています。中核となる概念の簡潔な定義については、以下をご覧ください。Network Security Policy Management とは