米グーグルはテレワークでVPNを使わない、なぜなら「あれ」が危険だから

新型コロナウイルス対策として様々な企業で在宅勤務が推奨される中、VPNに関する発言を耳にする機会が増えた。「大勢が使い始めたので速度が落ちた」「社内からの利用申請が急増した」といった恨み言が中心だが、興味深いものもあった。なんでも「グーグルはテレワークにVPNを使っていない」のだという。 米グーグルは従業員が在宅勤務をする際にVPNを一切使っていない。インターネット経由で利用できるSaaS（ソフトウエア・アズ・ア・サービス）の「G Suite」などで業務が完結するから、といった単純な話ではない。開発システムや経理システムといったあらゆる種類の社内アプリケーションが全てインターネット経由で利用できるようになっているため、従業員はそもそもVPNを利用する必要がないのだという。 同社はこうした社内事情を「BeyondCorp」という取り組みとしてWebサイトや論文で公開している。さらに2017年

[delphinus35]

Googleで８年かかってるなら他の企業ではどう考えても無理じゃない……？

[maninthemiddle]

これ重要だよね。社内網なんて作らなくても、アプリレイヤーの認証さえしっかりしていればセキュリティは守れる

[programmablekinoko]

VPNって仮想LAN構築技術の事だと思ってたけどいつからセキュリティソリューションになったんだ?

[el-condor]

とはいえ、全社的に使えるACLの設計は内部統制そのものでもあるので企業の経営力と投資が必要。というわけで本邦企業の多くはこの分野でも当面追いつけなそう。

[operator]

これは設計理論として正しいんだけど、一般的な企業には飽和攻撃に耐えられる認証システムを用意するのが難しい、、、というか専門機関の外部の認証システムを用いないと無理なので、どこまで他社を信じられるか

[eru01]

この中田とかいうやつなんの話してんの？ゼロトラストNWとVPNって別の話やろ

[hihi01]

中小零細G Suiteを社内業務の基準としている。テレワークの全社実施をここのところ検討し、実証実験中。確かにほとんどすべての業務がG Suiteですんでする。すでに八割以上がほぼいつでもテレワーク化可能を確認してる。

[l83DK]

つまりgoogleや他の事業者が作るサービスを適切に評価選択し、組み合わせて使えば良い、その通りやん

[kenchan3]

本物のウィルスと同じで、FWで水際防衛なんて効力が薄いよね。

[NOV1975]

うちは社内業務の大半をo365に移行したのでほとんどVPN不要だが、notesのワークフローが。notesのワークフローが！

[quelo4]

“社内アプリケーションへのアクセスは、社内ネットワークからも社外からでも必ず「アクセスプロキシー（認証サーバー）」を経由させる。このアクセスプロキシーで端末の情報やユーザーの属性をチェックする”

[mkusunok]

Googleがゼロトラストやれるのって、全てを自分たちで構築しているからで、既存イントラのACLを全てIDベースで再構築するのって普通のエンタープライズにとっては一大事だけど

[georgew]

ゼロトラスト・ネットワークの考え方 > これは確かに合理的なアプローチだ。

[chintaro3]

てか、グーグル自体、その気になればいくらでもヤバい事が出来てしまう立場にあるから、その危険性は誰よりも熟知してるよな。

[akulog]

"ネットワークは全て危険だと認識し、ネットワークの種類に基づいてアプリケーションへのアクセスを許可しない"

[Cru]

三菱電機に中国支社からマルウェア仕掛けられて政府防衛機密情報抜き取られたと推測される事件も社内インフラ過信してたせいなのかも。ゼロトラストかー。社内ITセキュリティ担当者はうざがられてるが理解が進むと良

[htatsuno1003]

そして付箋にパスワードを書くおじさんと、謎にベンダーを分けてパスワードを20個近くに増やすシステム部門の戦いがはじまる。

[Kmusiclife]

あれ。

[oakbow]

思想的にはまったく正しくて、中だからと簡易的な認証だったり認証省くのは危険。そうした方が運用上楽なんだけど、膨大な人数のいる大企業で内部の安全地帯なんて設けられないのが現実なんだよね。

[Cald]

多層防御の考えないの？

[EngineerYtr]

アクセスプロキシー。また新しい用語を作りよってからに(　ﾟдﾟ)

[slash_01]

なるほど。。 ゼロトラスト、そういうことなのか。

[marmot1123]

i

[n_y_a_n_t_a]

VPNだから安全というドグマにハマるのが危険というのは分かりました

[mikage014]

社内にサーバー類は置いてないのでゼロトラストに舵を切るつもり

[tohima]

VPNなんて保険みたいなもんだけど、認証をガッツリやるのは大変なのです

[umai_bow]

HTTPSに頼り切りじゃんアゼルバイジャン

[ks2091tk]

id:maninthemiddle 「アプリ認証レイヤさえ」というのはミスリーディングかと。VPN/Firewallだけで守っていた時代は終わったが、今は多層防御でどこかの層が破られる前提で設計が必要。

[rankato]

Googleはテレワークなんて言わない。

[Shin-JPN]

「ゼロトラストネットワーク」を読めば妥当な方向なのは判る。ただ現実問題BeyondCorp同様の実装をしようと思ったらGoogle提供のCAA機能だけでは全く足りない。ワークロード全体を変えてGCPとWebだけで済ます大手術が要る。

[y-kawaz]

とても正しい。正しい固定IPだとかVPNを至上のセキュリティ対策の一つとして認識してる人への説明コストがとてもダルい…。ダルさに負けて雑にIP特権許可しちゃうと後で社内環境と本番環境で動作が異なるバグが出たり

[Shinwiki]

利便性は

[rasterson]

無料部分しか読んでないが、多分Googleはsmbの共有フォルダを使ってないんだろな、Google DriveとWebDAVかな？共有フォルダ使うなって言ったらカナリ反発来そう。

[koubyint]

うちの会社もこーいうのやって欲しいが、無理だろうなぁ〜。

[tym1101]

無料部分しか読めんけど、インターネットをどういう概念で使ってるかが重要そう

[debtengineer]

そのうちゼロトラストデバイスとか言い出すんじゃね？果てはゼロトラストエブリシングか？

[karkwind]

行き着く先は、そうだよな…

[mohno]

そもそも会社勤めしてないが、たしかに必要な情報をやり取りできればいいし、必要ならリモートデスクトップとか画面操作すらできるわけで、わざわざVPNを使う理由は思いつかないな。

[youichirou]

理想なのは分かるけど、じゃあ自分とこでやるには…と考えると暗澹とするやつ。 / 美味しんぼで究極と至高を見せられる気分よね。うまいのは分かるけどそんなカネもヒトもねぇよ、的な。

[kazuau]

居室のセキュリティゾーンを設定して例えば顧客個人情報を扱える物理的な場所を限定するためには、ネットワーク上の位置を認証する必要が生じないだろうか。十分条件ではなく必要条件として。