SASE（サシー）とは、拠点や社外からの接続と守りの機能を、クラウドのサービスとしてまとめて提供する仕組みです。Secure Access Service Edgeの略で、Zscalerの解説によれば、調査会社のGartnerが2019年に定義しました。
今日やることは、UTMとVPN機器の保守期限を1つの表に書くことです。SASEを検討するかどうかの時期は、製品の比較より先に、この日付でおおよそ決まります。
順番の答えも先に書きます。拠点が少ない会社なら、社外からのVPN接続を先に移し、拠点のUTMは保守期限が来たときに判断します。一度に全部を替える必要はありません。
SASEの中身は何？
複数の機能の集まりです。米CISAなどの2024年6月の共同文書は、SD-WAN、SWG、CASB、次世代ファイアウォール、ZTNAなどを組み合わせたクラウドの仕組みと説明しています。フォーティネットの解説でも、同様の機能の統合として書かれています。
名前が並ぶと難しく見えるので、今ある機器との対応で読み替えます。
| 今あるもの |
SASE側の機能 |
役割 |
置き換えの順番 |
| 社外接続のVPN |
ZTNA |
用途ごとに接続を許可する |
1番目 |
| UTMのURLフィルタ |
SWG |
危険なサイトへの接続を減らす |
2番目 |
| 管理していないクラウド利用 |
CASB |
クラウドの利用を見て制御する |
3番目 |
| 拠点間のVPN |
SD-WAN |
拠点の接続を管理する |
4番目 |
| UTMのファイアウォール |
FWaaS |
境界の制御をクラウドで行う |
最後に判断 |
CISAなどの文書は、守りの機能をクラウドにまとめたものをSSE、そこにネットワーク機能を合わせたものをSASEと書き分けています。Zscalerの解説も、SSEをSASEのうち守りの部分に絞ったものと位置づけています。
拠点が1か所の会社なら、SD-WANが要らないのでSSEで足りる場合があります。見積もりを取るときは、どちらの範囲を頼んでいるのかを確かめてください。
拠点が少ない会社はどの順で置き換える？
説明のため、社員40人、本社と工場の2拠点、それぞれにUTMが1台、営業はVPNで社外から接続する、という会社を例にします。実在の会社の話ではありません。
1番目：社外接続のVPN
最初に動かす理由は、効果と影響のつり合いです。使う人が限られているので試しやすく、社外に面した入口を減らせます。
警察庁の2026年上半期の資料では、ランサムウェア被害組織へのアンケートで、侵入経路の約5割がVPN機器でした。
営業の数人を先に切り替え、社内システムへ問題なくつながるかを見ます。やめるかどうかの判断そのものは、VPNをやめるべき会社と続けてよい会社の違いで整理しました。ZTNAだけを比べるなら、ZTNAの製品比較が使えます。
2番目：社外で使うパソコンのWebの守り
社外のパソコンの通信は、会社のUTMを通りません。UTMの守れる範囲の外にある部分です。SWGを使えば、会社の外でも同じルールでWebの接続を制御できます。
CISAなどの文書は、SWGを利用者とインターネットの間でURLの選別などを行う仕組みと説明しています。機能の違いはSWGの製品比較で確かめられます。
3番目：クラウドサービスの利用
CASBは、クラウドサービスの利用を見えるようにして制御する機能です。使っているサービスの数が少なければ、後回しでかまいません。各サービスの管理画面と、IDの管理で足りる範囲もあります。
4番目：拠点間の接続
本社と工場の間の接続です。ここは止まると業務に響くので、急ぎません。回線の更新やUTMの保守期限に合わせて検討します。候補を見るならSD-WANの製品比較があります。
拠点が2つで、回線の悩みがない会社なら、今あるVPNのまま様子を見る判断もあります。
最後：拠点のUTM
UTMを外せるかは、拠点に残る通信で決まります。社内に公開サーバーがある、社内のサーバーに社外から接続する必要がある、といった場合は、拠点に機器を残す判断も自然です。
ここまで移行してUTMの役割が減ったなら、更新の時期に、機能を絞った機器へ替えるか、外すかを選びます。機器を残す場合の比較はUTM・ファイアウォール機器の比較で確かめられます。導入の多い機種の更新の注意はFortiGateの解説にまとめました。
SASEに替わらないものは？
SASEは接続と、その途中の守りをまとめる仕組みです。次のものは別に残ります。
- 工場の中のネットワークの分離と、設備の管理
- パソコン本体の更新やEDR
- バックアップと復旧の訓練
- IDの棚卸しと退職者の処理
特に工場は注意が必要です。たとえば、加工機や検査装置に専用の端末があり、ソフトを入れられない場合、クラウド接続用のソフトを前提とした方式はそのまま使えません。こうした設備は、拠点側で分離して守る設計が残ります。
IPAの中小企業向けガイドライン第4.0版も、工場など用途の異なるネットワークの分離を求めています。
今はSASEを検討しなくてよい会社は？
次の条件がそろう会社は、急いで動く理由が薄いです。
- 社員のほとんどが出社して働いている
- 業務のデータは社内のサーバーが中心で、クラウドの利用が少ない
- UTMとVPN機器の保守期限まで数年ある
- 更新と警告の確認を担当する人がいる
この場合に優先するのは、新しい仕組みより今の機器の更新と、多要素認証の設定です。SASEは入口の悩みを減らす手段の1つで、導入そのものが目的ではありません。
逆に、VPN機器の保守期限が1年以内に来る、社外で働く人が増えた、クラウドの利用が増えてUTMを通らない通信が多くなった、といった変化があれば比較を始める時期です。
移行の間は何が起きる？
切り替えの途中は、古い仕組みと新しい仕組みが並びます。先ほどの2拠点の会社なら、次のような動きになります。
| 時期 |
動かすもの |
確かめること |
| 検討の開始 |
保守期限の表、接続先の一覧 |
残す用途と移す用途 |
| 試行 |
営業数人の社外接続 |
社内システムにつながるか |
| 拡大 |
社外で使う全端末 |
問い合わせの量、遅さ |
| VPN停止 |
使わなくなった入口 |
機器の設定と外部公開の停止 |
| UTM更新の前 |
拠点に残る通信の洗い出し |
残す、絞る、外すの判断 |
費用の面では、VPN機器やUTMの保守契約と新しいサービスの料金を同時に払う期間ができます。保守の更新日の半年ほど前に試行を始めると、更新するかどうかを判断する材料がそろいやすくなります。
全社で一斉に切り替える計画は避けてください。社外接続が止まっても、営業の数人なら元のVPNに戻して業務を続けられます。
Zscalerの解説は、SSEのほうがSASEより早く導入できるとしています。拠点間の接続を今は変えない会社なら、守りの部分だけを先に入れて、ネットワークの部分はあとで判断する進め方も選べます。
契約の前に何を確かめる？
製品の比較表に出にくい項目を挙げます。営業担当に書面で答えてもらってください。
| 確かめること |
聞く理由 |
| 料金は人数か、拠点か、通信量か |
工場の共用端末の数え方で費用が変わる |
| ソフトを入れられない機器の扱い |
設備や複合機が使えなくなると困る |
| サービス障害時の接続の扱い |
全社の接続が同じ1社に頼る形になる |
| 国内の接続拠点と遅延 |
CADなど大きなファイルの業務に響く |
| 設定と監視の担当範囲 |
社内で誰が動くかが決まる |
3つ目はUTMと同じ構造です。1台に集める代わりに、1つのサービスに集めます。止まったときの手順を、切り替えの前に決めておいてください。
CISAなどの文書も、組織ごとに事情が違うので、自社の必要と現状を分析してから選ぶよう注記しています。比較の前に、接続先と利用者の一覧を作ることが、最初の準備になります。
社外とのつなぎ方の全体はネットワークの守り方のまとめで確かめられます。
