Steve Riley氏はNetskopeのVP兼フィールドCTOである。
セキュアアクセスサービスエッジ（SASE）は、業界では十分に知られた頭字語だ。そして私のようにITインフラの深部でキャリアを積んできたギークにとって、SASEについて語るときにインフラ優先のレンズで見がちになる。
「セキュア」の重要性は明白だ。ファイアウォール、ポリシー適用、検査レイヤーを思い浮かべる。そして「エッジ」は、ソフトウェア定義広域ネットワーク（SD-WAN）、パケットルーティング、ユーザーの接続場所と方法の定義をカバーしている。
これらが基盤であることは間違いない—データがネットワークやクラウドアプリに到達する前に脅威を阻止し、ポリシーを適用する能力なしには、現代のセキュリティを構築することはできない。
しかし、私たちが見過ごしがちな部分—アクセス—こそが、SASEを真に変革的なものに変える要素だ。それが頭字語の中心に位置する理由がある。
アクセスが重要な理由
アクセス判断は5つの中核的要素に左右される：
• 誰がアクセスを要求しているか
• どのデバイスを使用しているか
• どのアプリケーションが必要か
• いつリクエストが発生するか
• なぜそのアクセスが必要か
アクセスはアイデンティティと意図を結びつけるレイヤーだ。これがなければ、SASEは門のない城となる：すべて防御で、識別力がない。
動的な要素にわたるリアルタイムの意思決定を伴うため、アクセスは頭字語の他の部分よりもはるかに定義しにくい。そのため、図式化、測定、静的ルールによる制約が難しくなる—ギークが最も好むことだ。
しかし、現代のセキュリティは脅威をブロックするだけではない；コンテキストが進化するにつれて、よりスマートで迅速なアクセス判断を継続的に行うことが重要だ。だからこそ、SASEのAであるアクセスに焦点を当てる時が来た—他のA、つまり認識（awareness）、評価（assessment）、適応（adaptation）も維持しながら。
アクセスはもはやゲートではない
長い間、アクセスは二項対立だった：内か外か、従業員かそうでないか、信頼できるか信頼できないか。
今日の企業のアクセスニーズはそのような見方には複雑すぎる。企業は現在、リモートワーカー、サードパーティベンダー、デバイスポリシー、シャドーIT—そしてそれらに関連するリスクをすべて管理している。
それにもかかわらず、ほとんどのアクセスモデルは変わっていない。なぜなら、その背後にある考え方も変わっていないからだ。正しい認証情報（ユーザー名、パスワード、MFA）を持つ人は誰でも、ネットワーク上にいることが信頼されることと同等であるという時代遅れの前提に基づいて、広範なアクセスが許可される。
現在のリスク状況は、そのような考え方がいかに危険かを明確に示している。攻撃者は認証情報を盗み、VPNの脆弱性を悪用し、内部に侵入すると横方向に移動する。アクセスがアイデンティティ、行動、リスクに結びついていなければ、1つの侵害されたログインがすべてへの扉を開くことになる。コンテキストが重要だ：アクセスはリスク、ユーザー行動、環境を反映すべきである。
コンテキストとしての認識
認識はユーザーが誰であるかを特定するだけでなく、どのように、どこで、どのような状況でアクセスが必要かを包括する。これには、アクセスの許可方法とその定義方法を3つの主要変数にわたって再考する必要がある：
• デバイス：管理対象か非管理対象か
• 宛先：承認済み、非承認、または不明
• 人：内部か外部か
デバイス、宛先、人の組み合わせに対して特定のアクセスタイプを推奨する技術的なチャートを作成することが一般的だ。しかし、これは最良のアプローチだろうか？
アクセスペルソナが機能する理由
ガイダンスは理解しやすい方法で表現される必要がある。ここで技術的なチャートからペルソナマップへの移行が違いを生む。
非管理対象の携帯電話を使用する経営幹部、共有端末を使用するタスクワーカー、サードパーティの請負業者は、それぞれ異なるレベルのアクセスを必要とし、異なるリスクをもたらす。技術的な属性からユーザーの現実へと焦点をシフトすることで、ペルソナはポリシーを人々の働き方にマッピングし、よりスマートで適応性の高い保護のためにコントロールを調整する。
適応型セキュリティのためのジャストインタイムコーチング
ペルソナベースのアプローチはまた、6か月前に受けたトレーニングコースは問題が発生したときに役立たないことを認識している—リアルタイムのフィードバックを使用することが効果的だ。リアルタイムコーチングは、人々の速度を落とすことなくセキュリティポリシーを強化し、高リスク、中リスク、低リスクのシナリオにおけるアクセスをより安全で人間的なものにする。コーチングを伴うポリシーは、なぜアクションがブロックされるのかを説明し、ビジネス上の正当な理由を要求するか、ユーザーを承認された宛先にリダイレクトする。適応はリスクのレベルに合わせて応答を形作り、その瞬間にユーザーを導き、信頼を動的に調整する。
ルールから実世界のリスクへの移行
現在のリスク状況では、従来の二項対立的アプローチから継続的な適応型信頼へのシフトが必要だ：検証してから信頼し—そして検証を続ける。これにより、一度きりの判断が継続的な評価に置き換えられ、アクセスがリアルタイムで更新・調整される。デバイスの状態、アプリのリスク、ユーザーの行動、場所などのシグナルに依存して、アクセスのレベルを適宜調整する。
評価は適切な信頼レベルの決定に役立つ。シグナルはシステムを導くファネルを通過し、許可、制限、リダイレクト、コーチング、拒否という5つの指示のいずれかで応答する。これらの応答はログイン時だけでなく、ユーザーが接続している限り継続的に発生する。
アクセスはほんの始まりに過ぎない
仕事のパターンと脅威が進化するにつれて、アクセスも進化しなければならない。これは単に権限を洗練させたりコントロールを強化したりするだけでなく、企業セキュリティの基盤を再考することだ。
硬直したロールベースのモデルから実世界のペルソナへのシフトにより、アクセスはすべてが収束するポイントになる。アイデンティティ、デバイスの状態、アプリケーションの動作、意図のすべてがリアルタイムのアクセス判断に反映される。
SASEの次のフェーズでは、よりスマートなシグナル、予測的な洞察、ネットワーキングとセキュリティチーム間のより緊密な連携が加わる。組織はリスクに反応するのではなく、それを予測するようになる。
ゼロトラストは購入物ではなく実践だ。それは適切な人が適切なリソースに適切な時間に適切な理由でアクセスすることを可能にする。SASEは組織がこのマインドセットを採用することを可能にする。
