クラウドとオンプレミス全体にわたる一貫したセキュリティポリシー
- ハイブリッドポリシー管理では、オンプレミスとクラウドの両方における適用を統括する単一のルールセットを策定し、例外は文書化されたものに限られます。
- 環境を個別に管理する場合、ポリシーの逸脱は必然的に生じやすいため、これを防ぐには運用モデルが必要となります。
- 担当者を割り当て、変更のたびにバージョン管理を行い、段階的に展開し、ロールバックの準備を整えておく。
- 1つの例外レジスタと定期的なドリフトチェックにより、ローカルとクラウドでの適用が整合性を保たれます。
- すべての適用ポイントに単一のポリシーエンジンを導入することで、同期作業の大部分と変換エラーを解消できます。
ハイブリッドセキュリティポリシー管理とは、セキュリティポリシーを一度定義し、データセンター内のゲートウェイ、支社のアプライアンス、クラウドのポインツ・オブ・プレゼンスなど、あらゆる適用ポイントに対して一貫して適用する手法です。その目的は、どの適用ポイントがトラフィックを処理するかに関わらず、ユーザー、デバイス、データタイプ、またはアプリケーションがすべて同じように扱われるようにすることです。
この記事は、「ハイブリッドクラウドのセキュリティ」ガイドの一部です。
ハイブリッド環境においてポリシーがずれてしまう理由
ドリフトとは、同じ意図が複数の場所で別々に実装された場合に発生します：
- ルール構文やカテゴリデータベースが異なるオンプレミス型ゲートウェイとクラウドサービス
- ある環境で緊急に追加された例外が、もう一方の環境には反映されなかった
- ネットワーク、クラウド、およびデータセキュリティのポリシーを管理する各チーム
- DLP辞書が、あるチャンネルでは更新されたが、別のチャンネルでは更新されていない
- 通常のプロセス外で、デバイス上で直接行われた緊急の変更
その結果、セキュリティはユーザーがたまたまどこにいるかによって左右されることになります。監査担当者はこの問題を発見し、攻撃者はそれを悪用し、どのポリシーが適用されるのか誰も確信を持てないため、トラブルシューティングの進行が遅れてしまいます。NSAおよびCISAが提唱する「クラウドセキュリティ対策トップ10」は、この問題に直接対処するものであり、インフラストラクチャ・アズ・コード（IaC）による安全な自動デプロイメントや、ハイブリッドおよびマルチクラウド環境の複雑性への対応策が盛り込まれています。
所有権
一貫性のある政策立案には、ツールの選定に先立ち、各政策分野の責任の所在を明確にすることが不可欠です。
| 政策分野 | 典型的な所有者 | 承認者 |
|---|---|---|
| Webへのアクセスとカテゴリ | ネットワークまたはWebセキュリティチーム | セキュリティのリーダーシップ、適正利用に関する人事対策 |
| プライベートアプリケーションへのアクセス | ID・アクセス管理チーム | アプリケーション所有者 |
| データ保護（DLP） | データセキュリティチーム | データ所有者、プライバシー、コンプライアンス |
| 脅威からの保護 | セキュリティ運用 | セキュリティのリーダーシップ |
| TLSの復号とバイパス手法 | Webセキュリティチーム | プライバシーおよび法的情報 |
| 例外 | 事業主への依頼 | 政策分野の責任者 |
すべてのルールには、責任者とビジネス上の理由が明確であるべきです。
バージョン管理
セキュリティポリシーをコードと同様に扱い、あらゆる変更がレビューされ、記録され、元に戻せるようにする：
- ポリシー定義をバージョン管理システムに保存するか、完全なバージョン履歴を保持できるプラットフォームを使用してください。
- すべての変更について、説明、チケット番号、および承認者を指定する必要があります。
- デプロイ前に変更内容を確認し、現在のバージョンとの差分も確認してください。
- タグを付与することで、デプロイされた状態を特定し、復元できるようにします。
NISTSP 800-53 Rev. 5の構成管理統制（ベースライン構成（CM-2）および構成変更管理（CM-3）を含む）は、サーバーと同様にセキュリティポリシーにも適用される。NISTSP 800-128では、これらを支援するセキュリティに重点を置いた構成管理の実践手法について説明している。
展開
ポリシーの変更は段階的に導入し、問題が全員に波及する前に、少人数のグループで問題が顕在化するようにしましょう：
- テスト環境またはポリシーシミュレーションツールを使用して検証してください。
- 少数のユーザーまたは1つのサイト向けにCanaryを展開する。
- ブロック率、エラー、およびヘルプデスクのチケットを、基準値と比較して監視する。
- 各サイトやクラウドリージョンに段階的に展開します。
- すべてのエンフォースメントポイントが新しいバージョンを報告していることを確認してください。
脅威による緊急の変更については、変更内容を記録し、すべての場所に同期させることを確保しつつ、迅速な対応手順を定義してください。
例外
例外があるところこそ、一貫性が最も急速に損なわれる。
すべての環境を網羅する単一の例外レジスタを維持する：
- 適用範囲：ユーザー、グループ、宛先、データクラス、およびチャネル
- 環境：例外が適用される強制実行ポイント
- 根拠および所有者
- 有効期限または見直し日
- 補償制御
例外設定は、中央ポリシーで作成し、そこから適用すべきであり、個々のデバイス上で直接設定してはなりません。
ドリフトチェック
ドリフト検出では、意図されたポリシーと実際に展開されている内容を比較します。
- バージョン確認：すべての適用ポイントから、有効なポリシーバージョンが報告され、不一致がある場合はアラートを発行します。
- 設定の差分比較：デプロイ済みの設定を定期的にエクスポートし、承認済みのベースラインと比較する。
- 動作テスト：ローカルゲートウェイでURLテストおよびアプリケーションテストを実行し、ゲートウェイが転送するクラウド適用パスに対してデータ保護テストを実行した後、その結果を作成したポリシーと比較します。
- 例外監査：デバイスレベルの例外を中央レジスタと比較する。
少なくとも週1回、および変更作業のたびに、スケジュールずれのチェックを実施してください。
ロールバック
ロールバックにより、1回の操作で、すべての適用対象ポイントに対して以前のポリシーバージョンが復元されるはずです。
- すべての適用先へ再展開できるよう、以前のポリシーバージョンを用意しておいてください。
- ロールバックを承認できるユーザーと、その条件を定義してください。
- ロールバックが、同一の操作内でクラウドおよびオンプレミスの適用ポイントに確実に反映されることを確認してください。
- ロールバックの理由を記録し、その後、確認作業を行う。
同期モデル
4つの同期モデルが存在し、ポリシー管理の一元化が進むにつれて、ドリフトのリスクは低減する。
| モデル | 仕組み | ドリフトリスク |
|---|---|---|
| 独立した管理 | 各環境には、それぞれ独自のコンソールとルールがあります | 高い |
| スクリプトによる同期 | プラットフォーム間のツールのエクスポートおよびインポートルール | 中程度；翻訳の不備や同期の不具合 |
| 共有リスト | ルールは別々ですが、共通の許可リストとブロックリストが同期されています | 中 |
| 単一のポリシーエンジン | すべての執行拠点に一元的に展開される方針 | 低 |
単一のポリシーエンジンでも、デバイスが更新に失敗する可能性があるため、ドリフトチェックは依然として必要ですが、ルール言語間の変換は不要になります。
セキュリティポリシーの集中管理に関するチェックリスト
このチェックリストを使用して、ハイブリッド環境のポリシー管理が適切に行われていることを確認してください。
- すべての政策分野には、責任者と承認者がいる
- すべてのポリシー変更には、チケット参照番号が付与され、バージョン管理が行われます。
- 変更は段階的に導入され、その過程でモニタリングが行われます
- 1つの例外レジスタがすべての環境を網羅しています
- 適用ポイントレポート：有効なポリシーバージョンを表示
- ドリフトチェックは、スケジュールに従って、および変更後に実行されます。
- ロールバックについては、ドキュメント化およびテストが完了しています
- 合成テストにより、作成されたポリシー1つが、各セッションにおいて、それを処理する適用ポイントで期待される結果をもたらすことが確認された。
Skyhighが一貫性のあるハイブリッドポリシーをどのようにサポートするか
Skyhighは、1つのポリシーセットをコードとしてすべての適用ポイントに配信することで、ハイブリッドポリシーの整合性を保っています。
Skyhighは、「ポリシー・アズ・コード」アーキテクチャを採用しており、環境間の手動による調整を必要とせずに、物理アプライアンス、仮想システム、クラウドノード全体にポリシーを自動的に展開します（Skyhigh Security）。同社のハイブリッドSWGは、オンプレミスのポリシーをワンクリックでクラウドへ移行できる機能や、統合されたポリシーのリアルタイム同期をサポートしており、ルールトレース機能により、特定のユーザーのトラフィックに影響を与えたポリシーを特定できます（Skyhigh Security）。 2026年3月のプラットフォームアップデートでは、ロケーションに依存しない統一ポリシー管理機能と、プログラム可能で拡張性のあるポリシーフレームワークが追加されました。Skyhigh Hybrid SSE Meshを通じて、ポリシーはクラウドコンソールで一度作成するだけで、すべてのセッションに適用されます。Secure Web Gateway 、Zero Trust Access、およびSecure Browser Controlsは、オンプレミスのSecure Service Gateway上でネイティブに適用される一方、DLP、CASB、DSPM、RBI、およびAIセキュリティ制御は、Skyhighクラウドを通じて適用されます。
出典
- NSAおよびCISA。「クラウドセキュリティ対策トップ10」（2024年3月7日）。https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/3699169/nsa-releases-top-ten-cloud-security-mitigation-strategies/
- NIST.SP 800-53 Rev. 5: 情報システムおよび組織のためのセキュリティおよびプライバシー管理措置。 https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final
- NIST.SP 800-128：情報システムのセキュリティ重視の構成管理に関するガイドライン。 https://csrc.nist.gov/pubs/sp/800/128/upd1/final
- Skyhigh Security. 「Skyhigh Hybrid SSE Mesh による Symantec EdgeSecure Web Gateway の近代化」（2026年7月15日）。https://www.skyhighsecurity.com/industry-perspectives/modernizing-your-symantec-edge-secure-web-gateway-with-skyhigh-hybrid-sse-mesh.html
- Skyhigh Security. 「Skyhigh SSEプラットフォームにより、ハイブリッド環境の導入がさらに容易に」（2024年10月3日）。https://www.skyhighsecurity.com/cloud-security/adopting-hybrid-just-got-easier-with-skyhigh-sse-platform.html
- Skyhigh Security. 「Skyhigh Security 、革新的なユニバーサルSSEプラットフォームを強化する新ソリューションを発表」（2026年3月24日）。https://www.skyhighsecurity.com/about/newsroom/newswire/skyhigh-security-announces-new-solutions-to-strengthen-disruptive-universal-sse-platform.html