守る場所を本社からクラウドへ移す SASE
従来はすべての通信を本社に集めてから外へ出していました。SASEでは、社員や支店がどこにいても最寄りのクラウド拠点（PoP）で検査を受け、そこから目的地へ直行します。たとえると、お城の門番を街中の交番に置き換えるイメージです。
上が従来型、下がSASEです。違いは真ん中の列にあります。1か所の本社に集めるか、各地にあるPoPに分散させるかです。
通信の行き先ごとに担当が決まっている SWG / CASB / ZTNA / FWaaS
4つのセキュリティ機能は、どれも通信を「見る」ことも「止める」こともできます。違いは、どの行き先の通信を担当し、何を基準に判断するかです。
点線の枠の中がSSEです。支店からPoPまでの運び方をSD-WANで管理すると、SASEになります。
SD-WANがあると、拠点の「運び方」が変わる SSE と SASE
セキュリティのレベルは、SSEでもSASEでも同じです。SD-WANが加わると、拠点からPoPまでの回線の使い方が賢くなります。在宅の社員にはほとんど違いがありません。
回線が1本だけの拠点なら切り替えのメリットは小さく、SSEで十分なことが多いです。フレッツ光のIPoEとPPPoEのように、物理的には1本でも出口が2つあるケースもあります。
違いは「誰が接続を始めるか」 VPN と ZTNA
どちらもインターネットにつながっています。VPN装置は、社外のPCからの接続を受けるために、インターネットに向けて常に待ち受けています。ZTNAでは、PCもコネクタも自分から外へ接続しに行くだけです。待ち受けるのはZTNA事業者のクラウドで、ここは事業者が守ります。
VPN装置は「誰からの電話にも出る代表電話」、ZTNAのコネクタは「自分から決まった相手にだけかける、着信拒否の電話」です。接続ができた後のデータは、どちらも双方向に流れます。
コネクタは先につないで待っている ZTNA の流れ
コネクタは、利用者が来る前からクラウドへ接続し、そのままつなぎっぱなしにしています。利用者が来ると、クラウドがその接続を通して知らせます。スマホのプッシュ通知と同じ仕組みです。
色の帯が、コネクタが張ったままにしている接続です。③の知らせはこの接続の中を通るので、コネクタは外からの着信を待ち受ける必要がありません。
ZTNAは仕組み全体の名前で、コネクタはその部品の1つです。部品は、クライアント（PC）、ZTNAのクラウド（判断する頭脳）、コネクタ（社内）、IdP（Entra IDなど）の4つです。
判断するのは1か所、実行するのは各機能 条件による制御
端末やネットワークを条件にした制御は、ZTNAだけの機能ではありません。条件の判断は共通の仕組みが行い、その結果を4つの機能がそれぞれの持ち場で実行します。下の例は、同じ「私物のPC」という判断に対する各機能の動きです。
判断する役（共通）
Entra IDの条件付きアクセス・SASEのポリシーエンジン・PCのエージェント（端末の状態を報告）
判断結果「私物のPC」を各機能へ ↓
出口ごとに見張り役がいる DLP
DLPは、データの中身（マイナンバー、顧客情報、「社外秘」ラベルなど）を見て、機密情報が外へ出るのを止める機能です。データの出口ごとに担当が違うので、1か所だけでは抜け道が残ります。基本の分担は、M365の中とPCはPurview、M365以外への通信はSASEです。
どの経路でも、①中身を見て機密情報を見つけ、②記録・警告・ブロックのどれかを行い、ログに残します。PurviewとSASEで同じルールを二重に作らず、「何を機密とするか」の基準は秘密度ラベルでそろえるのがコツです。
| アクションの強さ | 内容 | 利用者から見ると |
|---|
| 記録だけ | ログに残すだけ。導入の最初はここから | 何も起きない |
| 警告 | 理由を書けば続行できるようにもできる | 「機密情報が含まれています」と表示される |
| ブロック | 送信・アップロード・コピーを止める | 操作できない |
SASEのDLPは、HTTPSの中身を見るためにSSL/TLS検査が前提です。画面の撮影やパスワード付きZIPのように、中身が見えないものはDLPでは止められません。
Veronaに当てはめると 網屋 Verona
Veronaは、網屋が提供している国産のフルマネージドSASEです。構成要素を、ここまでの図に当てはめると次のようになります（公開情報をもとにした整理です）。
| Veronaの構成要素 | 役割 | 図でいうと |
|---|
| Verona Client | PCに入れるソフト | 社員のPCのエージェント |
| Verona SASE | セキュリティとネットワーク機能を提供するクラウド基盤 | PoP・ZTNAのクラウド |
| Verona Edge | 拠点に置く機器 | SD-WAN機器（コネクタの役割も持つかは要確認） |
| Verona Cloud | 管理画面・設定・ログ | 判断する役・一元管理 |
特徴のダイナミックポートコントロールは、認証に成功した端末にだけ入口を開ける仕組みです。「外から入口を見せない」という点で、VPNとZTNAの図の下半分と同じ狙いです。どこまで閉じているかは、網屋への質問リストに入れています。
拠点に置く機器は、基本2台 Verona Edge
支店では、回線事業者のONU（光回線の終端装置）とVerona Edgeの2台が基本です。Verona Edgeは今のルーターの代わりになり、網屋によると配下のPCなどの設定変更は不要です。在宅勤務はPCにVerona Clientを入れるだけで、機器は増えません。
線はケーブルやWi-Fiでつながっている順番です。青緑の矢印は、どの場所もインターネット経由でVerona SASEへ自分から接続しに行くことを表します。本社の点線のVerona Edgeは、公開情報では確認できていない部分です。
NTTのホームゲートウェイのように、ONUとルーターが1台になった機器もあります。見た目は2台でもルーターが二重になるので、設定の確認が必要です。台数を見積もるときは、支店の数、社内システムがある場所の数、冗長化（2台構成）が必要な拠点の数を数えます。