PROJECT ゼロトラスト導入で大和証券のセキュリティを強化

大和証券では、2020年に従来のシンクライアント（※3）からファットクライアント端末に移行しました。これにより、オフィスや外出先等場所にとらわれずにインターネットや社内情報・業務アプリケーションの利用が可能となり、高機能な端末の機動性を活かした業務活動を実現しました。

※3　サーバーに接続するための最小限のネットワーク機能を備え、クライアント側にデータを持たせないという特性から、機密情報や顧客情報の漏えいを防止できるというセキュリティ面のメリットが大きい。ただし、ネットワークに接続できなければ利用できないというデメリットを持つ。

ファットクライアント端末の導入とともに、最新機能の活用や迅速なサービス提供を目的として、業務アプリケーションのパブリッククラウドへの移行が進んでいます。また、今後は事業の多角化により、大和証券グループ内やグループ外提携企業との相互接続等の機会が増える可能性があり、そうした多様な環境においてもより安全に業務利用できる環境の整備が急務となっています。
そこで大和証券・大和総研双方で検討を進めた末に導入を決めたのがゼロトラスト型のセキュリティ環境の整備でした。

「ゼロトラスト」とは、従来の社内アクセスを安全と考え、社内と社外に防御する境界を設ける「境界型防御」という概念を捨て去り、守るべき情報資産へのアクセスに対して安全性を検証して、脅威を排除するというセキュリティ対策の新たな考え方です。

大和証券の業務システムのゼロトラスト環境への移行は二段階に分けて行っています。まずインターネットへのアクセスを監視・保護する仕組みを導入して、Webサイト閲覧およびインターネットを安全なインフラ基盤として利用できる環境を整備しました。
続いてリモートワーク等で社外から業務アプリケーションにアクセスする際の高い信頼性を確保する仕組みを導入する予定です。
これにより社内の情報資産を安全に守りつつ、業務アプリケーションを自宅等の社外からより安全に利用できる環境が整うこととなります。

2020年にファットクライアント端末に移行しましたが、従来のセキュリティシステムは社用スマートフォンに未対応であり、業務アプリケーションへのアクセスはVPN（※4）を経由する必要がありました。新たに導入した製品ではこうした点についても改善を図りつつ、ゼロトラスト環境を実現しています。
導入に際しては、社内のネットワーク機器との接続において課題もありましたが、海外の製品エンジニアに解決策を問い合わせる等、開発チーム総出で対応にあたることで不具合の解消を図り、ゼロトラスト環境を予定通り提供することができています。

※4　「Virtual Private Network」の略式名称で「仮想専用回線」のことを指す。仮想の専用回線を介してインターネットに接続することで、パソコンやスマートフォン通信時のプライバシーや機密情報を守ることができる通信接続方式。

ゼロトラストセキュリティの第一段階としては、社内外からのインターネット利用を監視・保護する環境のもと、不審なURLやIPアドレスへのアクセスを遮断します。その上で、ダウンロードされた実行ファイルや文書ファイルはサーバー上の隔離環境で開き、不審な振る舞いがある場合は入手を禁止します。このようにインターネット利用時の信頼性を高めたことで、従来よりも多くのサイトを閲覧することができるようになる等、利便性の大幅な向上が図られています。

業務上必要なWebサイトの閲覧が、意図せずブロックされてしまうと大和証券の業務に支障が出てしまいますので、Webサイト閲覧に関する大和証券からの要望には、速やかに対応する必要があります。今回、最新のゼロトラスト製品のAPI（※5）機能を活用した設定ツールを開発し、迅速な対応を実現しています。

※5　「Application Programming Interface」の略式名称でソフトウェアの一部機能を共有する仕組みを指す。API機能を活用することで、ゼロからプログラムを組むことなくソフトウェアの機能を容易に拡張することができる。

第一段階として整備したインターネットの保護・監視に続き、第二段階である社外ネットワークから業務アプリケーションへのアクセスを制御する仕組みの導入が完了します。これにより、サイバー攻撃リスクのあるVPN（※6）を使わずに、社外ネットワークから業務アプリケーションを安全に利用できるようになります。
なお、本プロジェクトでは、全ての業務アプリケーションについて、大和総研と大和証券にて何度も動作検証を実施しました。想定外のエラーもありましたが、迅速に対応した結果、大きなトラブルもなく移行を進めることができています。

※6　社外PCと社内LAN間のインターネット回線をトンネルのように他から見られないようにすることで安全性を保つ仕組みであり、セキュリティを担保することができる。
しかし、様々な理由で社内システムへの侵入経路となってしまい、サイバー攻撃が頻発していることが近年問題になっている。

今回のプロジェクトによって、新たなセキュリティ環境のもとで社内外からのインターネットをより安全に利用できるとともに、社内ネットワークに負荷をかけることなく、業務アプリケーションを安全に利用できる環境が整うこととなります。将来的には、ビジネスの機敏性を高めるオールインターネット業務スタイルでのゼロトラストセキュリティの実現を目指します。
お客様のビジネスや企業価値の向上に貢献するためにも最新技術を積極的に取り入れ、先進システムの導入に果敢にチャレンジしたいと思います。

例えばリモートワークで自宅から社内ネットワークにアクセスした際にVPN装置がボトルネックとなり、パフォーマンスが低下するとった問題点が顕在化してきています。脱VPNからゼロトラストセキュリティ構築を果たした事例も増えています。
今回、大和証券というお客様の金融資産を預かるための堅牢なセキュリティを必要とする大手金融機関への導入は、セキュリティ対策の高度化の一例として業界をけん引するような事例になると考えています。今後、このソリューションへの関心はますます高まり、お客様への説明機会も増えることが予想されます。

今回、ゼロトラストを導入した背景には、異業種との提携や協業の推進といった金融業界の大きな変化があります。大和証券においても事業の多角化でグループ企業や提携企業も増えており、今後、提携企業も大和証券のファットクライアント端末を利用して、業務を行うケースも想定されています。
今回導入したソリューションでは、特定の業務のみ利用可能とするような制御も可能となっています。信頼性と柔軟性を高めたゼロトラストセキュリティの提供により、今後も大和証券のビジネスに貢献したいと考えています。