Independent Electricity System Operator、運用効率化に向けてシフトレフトを推進

IESOのインフラストラクチャチームのスーパーバイザーであるArmando Valdrezは、ネットワーキング、セキュリティ、NERCサイバーセキュリティ、電力網の現場データであるテレメトリなど、さまざまなテクノロジーソリューションの管理を担っています。10年前、既存のクライアントベースVPNには、ベンダーや請負業者に同社ネットワークへのアクセスを許可する機能がありませんでした。また、そのソリューションはインターネットに面したDMZファイアウォール境界を利用していたため、複数の運用を担う単一アプライアンスの管理により、管理作業のリスクが高まっていました。

同社には、ポータルベースで、リモートの二要素認証を実現し、部門ごとのアクセス権限と責任を効果的に分離できるシンプルなソリューションが必要でした。そこで、純粋なリモートVPNを採用することにしました。従来のVPN機能とファイアウォール機能を分離することで、より優れた役割ベースの運用と成果に向けて職務を分離できるようになりました。Armandoは次のように説明します。

「Tier 1の制御室運用とTier 2のネットワークエンジニア機能に基づいて職務を分離したいと考えていましたが、きめ細かなアクセス制御機能を備えていない統合デバイスでは実現できません。そのため、リモートVPN専用のソリューションと、ファイアウォール機能専用のソリューションを探す必要がありました。リモートVPN機能とファイアウォール機能を切り離すことで、これを実現しました。私たちはシフトレフトを進めたのです。現在は、OPSチームがリモートユーザーを管理し、Tier 2エンジニアは運用タスクの管理ではなく、プロジェクトなど他の業務に注力しています。この取り組みにより、ビジネス面と技術面の両方から課題を解決できました。」

ゼロトラストアプローチの検討

Armandoと彼のチームにとって、ゼロトラストの原則の一部を取り入れることは、脅威環境全体における露出と不正アクセスの低減に役立ちます。多要素認証（MFA）、マイクロセグメンテーション、「最小権限の原則」を組み込むことで、セキュリティ体制を強化し、ゼロトラストのベストプラクティスに沿った運用が可能になります。

Armandoは、ゼロトラストの導入について次のように述べています。「現在、ゼロトラストについては大枠で議論しています。ネットワーク更新戦略にどのように適合させられるかを検討しているところです。活用できる機能は数多くあります。」

ゼロトラストのプラクティスを採用することで、運用チームと情報セキュリティチームの双方が、インサイトと分析を通じて可視性を高め、接続しているユーザー数、接続元、アクセスしているアプリケーションを把握できるようになります。運用面では、Ivanti Security Applianceにより、管理者は管理と分析を一元的に行えるシングルペインオブグラスを利用できます。また、PCSの機能には次のようなものがあります。

• ユーザーを検証：シングルサインオン（SSO）と多要素認証（MFA）により、Ivanti Security Applianceは、すべてのユーザーが接続前に認可されていることを確認します。
• デバイスを検証：デバイスの観点では、Ivanti Security Applianceにより、ホストチェックとロケーション認識を有効化し、接続前にデバイスを検証できます。
• データを保護：常時接続VPNやオンデマンドVPN、アプリごとのVPNトンネリングなどのテクノロジーにより、すべてのトランザクションを確実に暗号化し、データ漏洩を低減するとともにセキュリティコンプライアンスを向上させます。
• アクセスを制御：Ivanti Security Applianceは、一元的なポリシー管理によってデータセンター、クラウド、SaaSへのアクセスを制御し、ユーザーが権限を持つ適切なリソースのみにアクセスできるようにします。

災害復旧のサポート

重要な公益インフラを担うIESOは、壊滅的なネットワーク障害が発生した場合にも事業継続性を確保するため、定期的に災害復旧訓練を実施しています。ダウンタイムとデータ損失を最小限に抑えることは、あらゆる災害復旧計画（DRP）において最重要事項であり、運用やサービスが停止するような事態から組織を保護することが主な目的です。IESOの場合、Ivanti Security Applianceクラスターのフェイルオーバーを実行できました。Armandoは次のように説明します。

「当社のクライアントがネットワークにアクセスするには、アプリケーションにパッチが適用され、許可されている必要があります。これは、高可用性機能を備えているという意味で、当社の災害復旧の取り組みにも合致しています。つい数週間前に事業災害復旧訓練を完了し、PSAクラスターのフェイルオーバーを実行できました。ある時点で1,000人のユーザーが接続していましたが、ユーザーにはすべて透過的でした。現在はCOVIDパンデミックによりユーザーの大半がリモートで勤務しているため、その重要性はさらに高まっています。」

柔軟性を高める高度な機能

Ivanti Connect Secureの「常時接続」VPNにより、IESOはエンドポイントがオンプレミスにない場合でも、エンドポイントからのすべてのトラフィックにセキュリティとコンプライアンスを適用できます。スプリットトンネリングなどの機能を活用することで、セキュアアクセスプラットフォームの利用を重要なエンタープライズ／データセンターアプリケーションのみに限定できます。スプリットトンネリングの利点の1つは、インターネットトラフィックがVPNサーバーを経由する必要がないため、ボトルネックを緩和し、帯域幅を節約できることです。もう1つの利点は、ユーザーがサードパーティの拠点で勤務し、一日を通じて両方のネットワーク上のネットワークリソースにアクセスする必要がある場合に発揮されます。スプリットトンネリングを有効にすると、企業ネットワーク上のトラフィックが減少し、特定のタスクではレイテンシの低減によって速度が向上し、エンドユーザーのプライバシーも確保されます。ネットワークパフォーマンスの向上に向けて、Armandoはスプリットトンネリングのテストを積極的に実施しています。

「現在、QAチームにスプリットトンネリングのテストを依頼しています。パンデミック発生以降、Microsoft Teams、Skype、Webexなどのコラボレーショントラフィックが、多くのサイバーセキュリティツールでスキャンされていることに気づいたためです。たとえば、トラフィックはVPNゲートウェイを通過し、その後ファイアウォール、Webフィルタリングプロキシ、IPS、高度なマルウェア対策など、さまざまなツールを経由します。経由するツールが多く、パフォーマンスが低下していました。現在、Microsoft O365、Outlook、Teams、Skype、Webexなどをバイパスするために、スプリットトンネリング機能をテストしています。テスト開始から2週間が経過し、結果は有望です。そのため、この機能を有効化する予定です。以前は、コラボレーションビデオなどがボトルネックに達し、ストリーミングが途切れがちになることがありました。しかし今は、QAシステムでこれを試しており、非常に良い結果が得られています。」

IESOのような組織は、セキュリティ実装に伴うアーキテクチャ上の判断を理解し、その結果がもたらす影響も明確に把握しています。すべてに当てはまる万能な方法はありません。そのため、より広範な展開の前にソリューションをテストし、適切な規模に調整できることは、IT部門がより強固なセキュリティベストプラクティスを実装するうえで役立ちます。

_{注：お客様の成果は、Ivantiがその一部を構成するお客様の環境全体および経験に固有のものです。個々の成果は、お客様固有の環境によって異なる場合があります。}