SSEのプライベート展開：アーキテクチャとクラウド依存関係
- プライベートSSEは、顧客が管理するインフラストラクチャ上でWebゲートウェイとプライベートアプリケーションの適用を実行しますが、データ保護などのデータサービスについては、引き続きベンダーのクラウドによって提供される場合があります。それぞれの役割を整理してください。
- データプレーン、コントロールプレーン、およびサポートサービスは、それぞれプライベート環境またはクラウド環境のいずれかである可能性があるため、個別に評価してください。
- ほとんどのセルフホスト型SSEは、依然として何らかの点でベンダーのクラウドに依存しているため、すべての外部依存関係を洗い出してください。
- テレメトリとはデータのことです。どのログ、サンプル、メタデータを環境外に送信するか、またそれらをどこに送信するかを決定してください。
- プライベートSSEとクラウドSSEは併用可能であり、プライベートSSEによる強制適用は、それを必要とするサイトに限定されます。
プライベートSSEは、secure web gateway （SWG）、zero trust network access （ZTNA）、data loss prevention （DLP）といったSecurity Service Edge の機能が、顧客がホストするインフラストラクチャ上で実行される導入モデルです。これは、トラフィックの検査、鍵、またはログを自社の施設内または管轄区域内に保持する必要がある組織、あるいは外部のクラウドに依存せずにセキュリティ機能を継続して運用する必要がある組織によって利用されます。
ガートナーによるSSEの定義では、SSEは主にクラウド経由で提供されるものとされているが、オンプレミス型やエージェントベースのコンポーネントが含まれる場合もあると指摘されている。プライベートSSEでは、こうしたコンポーネントが中核をなす。
この記事は、「ハイブリッドクラウドのセキュリティ」ガイドの一部です。
SSEアーキテクチャの3つの平面
クラウド環境かオンプレミスかを問わず、すべてのSSE導入には3つの論理レイヤーがあります。
NISTのSP 800-207におけるゼロトラストモデルも、ポリシー決定とポリシーの適用を同様に区別している。
データプレーン。トラフィックの経路上に配置され、接続を検査または仲介するコンポーネント：Webプロキシ、ZTNAゲートウェイ、TLS検査、DLPスキャン、マルウェア分析。ここには平文が存在します。
コントロールプレーン。管理者がポリシーを定義し、ID やグループを管理し、設定を適用先に配信する場所です。オンプレミスのコンソール、ベンダーのクラウド上のコンソール、あるいはその両方のいずれかとなる場合があります。
サポートサービス。エンフォースメントポイントが意思決定を行う際に活用する機能：URLの分類、脅威インテリジェンス、ファイルのレピュテーション、サンドボックス、ソフトウェアおよびシグネチャの更新、ライセンス管理、分析。
展開の機密性は、その構成要素の中で最も機密性が低いものと同じレベルに過ぎない。
SSEのプライベート展開モデル
プライベートSSEには、クラウド管理機能を備えたプライベートデータプレーンから、外部への依存を一切伴わない完全なプライベート環境まで、さまざまな形態があります。これらは評価用モデルであり、利用可能性や運用上の制限は、選択した製品によって異なります。
| モデル | データプレーン | コントロールプレーン | 支援サービス | 標準的なサイズ感 |
|---|---|---|---|---|
| Cloud SSE | ベンダークラウド | ベンダークラウド | ベンダークラウド | リモートファーストの組織 |
| ハイブリッドSSE | 顧客およびベンダー向けクラウド | ベンダーのクラウドか、統合コンソールか | ベンダーのクラウド（ローカルキャッシュ付き） | リモートワークを行う従業員を抱える規制対象企業 |
| プライベート・データプレーン | お客様のインフラストラクチャ | ベンダークラウド | ベンダークラウド | 現地での点検が必要、クラウド管理は可 |
| 完全に非公開 | お客様のインフラストラクチャ | お客様のインフラストラクチャ | 顧客側でのホストによる更新、またはオフラインでの更新 | エアギャップ環境、機密環境、または主権環境 |
プライベートデータプレーンモデルが最も一般的です。このモデルでは、復号化と検査をローカルで処理しつつ、ポリシー設定や分析にはクラウドコンソールを利用します。完全にプライベートな展開は比較的まれであり、顧客の運用チームにはより多くの負担が求められます。
顧客がホストするコンポーネント
プライベートまたはハイブリッド型のSSE導入環境では、顧客がエンフォースメントおよび主要コンポーネントをホストおよび運用します。これには通常、以下のものが含まれます：
- ローカルでのTLS検査およびWebポリシー適用を目的とした、物理、仮想、またはコンテナ化されたWebゲートウェイアプライアンス
- プライベートアプリケーションへのアクセスを仲介するZTNAゲートウェイまたはコネクター
- ベンダーがローカルで提供するDLPスキャン。Skyhighは、ゲートウェイが転送するトラフィックに対して、自社のクラウドを通じてデータ保護を実施します。
- 機密ファイル向けのオンプレミス型サンドボックス
- CAおよび鍵の保管状況の検査。ハードウェアによる保管は、対応しており、かつ検証済みの場合に限り実施する。
- イベントをローカルに保存し、選択したデータを転送するログ収集ツール
これらのコンポーネントの処理能力、可用性、パッチ適用、および物理的なセキュリティについては、お客様が責任を負うものとします。
マッピング対象のクラウド依存関係
プライベートSSE環境の導入事例の多くは、依然として何らかの点でベンダーのクラウドに依存しているため、各依存関係とその障害時の挙動を列挙してください。
プライベートSSEアーキテクチャを評価する前に、ベンダーに対し、顧客がホストするコンポーネントからのすべての外部接続の一覧と、それぞれが利用できない場合にどのような事態が生じるかを提示するよう依頼してください：
| 依存関係 | 尋ねるべき質問 | 注目すべき点 |
|---|---|---|
| ポリシーと設定 | コンソールに接続できない場合、最後に確認されたポリシーに基づいて適用は継続されますか？ | 動作が定義されたキャッシュ済みポリシー |
| URLの分類と評判 | 検索はオンプレミス、クラウド、それともハイブリッドですか？ | クラウドによる更新機能を備えたローカルデータベース |
| 脅威インテリジェンスとシグネチャ | アップデートはどのように配信されるのでしょうか？また、段階的な配信やオフラインでの配信は可能ですか？ | 段階的な更新；接続が切断されたサイト向けのオフラインオプション |
| サンドボックス化 | ファイルはクラウド上のサンドボックスに送信されますか？ | オンプレミス型サンドボックスオプション |
| 認証 | アクセスにはクラウドIDサービスが必要ですか？ | ローカルIDのフォールバックまたはキャッシュされたトークン |
| ライセンス | 免許証の確認で不備があった場合、取り締まりは中止されるのでしょうか？ | 猶予期間 |
| ログ記録と分析 | 何が送信され、どこに保存され、無効にすることはできますか？ | 設定可能なフィールドと領域 |
| サポートへのアクセス | ベンダーのスタッフは、顧客がホストしているコンポーネントにアクセスできますか？ | 顧客による管理・監査済みのアクセス権限 |
各依存関係について、デフォルトの挙動でよいか、それともローカルでの代替措置が必要かを判断してください。
テレメトリ・フロー
プライベートな執行ポイントからのテレメトリデータは、それ自体がデータであり、以下が含まれる場合があります：
- アクセスログ：ユーザー、デバイス、URL、カテゴリ、アクション
- DLPインシデント（コンテンツの一部抜粋や全文が関与する場合もある）
- 脅威分析用のファイルハッシュまたはサンプル
- パフォーマンスおよび健康に関する指標
- ライセンスに関する利用データ
その中には無害なものもあれば、規制対象となるデータもあります。各データフロー、その内容、送信先、および保存期間を記録するテレメトリマップを作成してください。これが、データ主権審査が承認されるか、あるいは停滞するかの分かれ目となることがよくあります。「ハイブリッドクラウドセキュリティにおけるデータ主権」を参照してください。
有用な手法として、顧客環境内で機密データのフィンガープリントを作成し、サービス側にはハッシュ値のみを送信することで、保護対象のコンテンツ自体が外部に流出しないようにする方法があります。各ベンダーに対し、正確なデータ照合や文書照合のためのフィンガープリントがどこで生成され、何が送信されるのかを確認してください。Skyhighは、自社のクラウド内でデータ保護のための照合処理を生成・適用しています。
民間SSEが妥当な場合
規制、接続性、運用技術、トラフィック量、あるいはレガシーシステムの置き換えといった要因により、現地での実施が必要となる場合、プライベートSSEの導入は理にかなっています。
- 規制や契約により、復号化されたトラフィック、鍵、またはログは、国内またはオンプレミスに保管することが義務付けられている
- ネットワークは、エアギャップが設けられているか、機密扱いであるか、あるいは断続的に接続されている
- 外部要因による停電時でも、運用技術や重要インフラは稼働し続けなければならない
- 内部トラフィック量が多いため、クラウド上の検査にはコストがかかったり、処理が遅くなったりする
- 同組織はオンプレミスのプロキシを置き換える予定であり、強制的なクラウド移行を伴わずにシステムを近代化したいと考えている
これらのいずれにも該当しない場合、クラウド型SSEの方が通常、運用負担が軽くなります。
運用上のトレードオフ
プライベートSSEでは、サイジング、冗長化、パッチ適用、アップデートのステージング、トラブルシューティングといった責任は顧客に委ねられます。
そのメリットは、平文、鍵、ログの管理が可能になること、およびベンダーのクラウドに接続できない場合でも業務を継続できることです。ハイブリッド設計を採用することで、組織はプライベートな適用範囲を、それを必要とするサイトやトラフィックに限定することができます。
SkyhighがプライベートおよびハイブリッドSSEをどのようにサポートしているか
Skyhighは、クラウドサービスと同じコンソールで管理されるオンプレミスのデータプレーンを活用し、プライベートおよびハイブリッド型のSSEをサポートしています。
Skyhigh Hybrid SSE Meshは、2026年3月に導入されたローカルTLS検査機能とコンテナ化されたアプライアンスアーキテクチャを活用し、顧客自身のオンプレミスゲートウェイ上でsecure web gateway およびゼロトラストアクセスポリシーを適用します。また、ゲートウェイが転送するトラフィックに対して、Skyhighクラウド上のデータ保護、CASB、その他のデータサービスを適用します。これらすべては、単一のコンソールで作成された1つのポリシーのもとで実行されます。 コントロールプレーンはクラウド経由で提供されるため、ポリシーの作成、レポート作成、およびログの配信はクラウドへの接続状況に依存しますが、その経路が遮断された場合でも、Webおよびプライベートアプリケーションのポリシーのローカルでの適用はサイト内で継続されます。SkyhighはFedRAMP Highの認定を取得しています。
出典
- ガートナー。Security Service Edge （SSE）、情報技術用語集。https://www.gartner.com/en/information-technology/glossary/security-service-edge-sse
- NIST.SP 800-207: ゼロトラスト・アーキテクチャ（2020年8月）。https://csrc.nist.gov/pubs/sp/800/207/final
- Skyhigh Security. 「Skyhigh Security 、革新的なユニバーサルSSEプラットフォームを強化する新ソリューションを発表」（2026年3月24日）。https://www.skyhighsecurity.com/about/newsroom/newswire/skyhigh-security-announces-new-solutions-to-strengthen-disruptive-universal-sse-platform.html
- Skyhigh Security. 「Skyhigh Hybrid SSE Mesh による Symantec EdgeSecure Web Gateway の近代化」（2026年7月15日）。https://www.skyhighsecurity.com/industry-perspectives/modernizing-your-symantec-edge-secure-web-gateway-with-skyhigh-hybrid-sse-mesh.html
- Skyhigh Security. 「Skyhigh SSEプラットフォームにより、ハイブリッド環境の導入がさらに容易に」（2024年10月3日）。https://www.skyhighsecurity.com/cloud-security/adopting-hybrid-just-got-easier-with-skyhigh-sse-platform.html