株式会社クラウドネイティブの自社情報システムは、ゼロトラストアーキテクチャの概念に基づき、ID基盤に Okta と Microsoft Entra ID、デバイス管理に Jamf（Mac）と Microsoft Intune（Windows）、ネットワーク・SASE に Netskope、エンドポイントに CrowdStrike Falcon、クラウドセキュリティに Wiz、データ保護に Box と Druva、SIEM / SOC に Microsoft Sentinel を採用しています。業務基盤は Microsoft 365 / Slack / Notion を中心に構成し、情報システム部門の業務には Glean と Claude Code を活用しています。本ページは、当社が自社で運用している構成と運用方針を公開し、ゼロトラスト実装の一例として参照していただくことを目的としています。
上の図はあくまでゼロトラストモデルの概念図であり、その一部を公開しているものです。すべての企業に推奨するものではなく、ひとつの例とお考えください。
企業それぞれのコア事業や情報資産の定義の数だけ形が考えられ、ITの進化とともに様々な要素の中で変化します。ゼロトラストアーキテクチャは「導入」したり「購入」するものではありません。「概念」として取り入れ、現実的に実装していく中でその理想に近づけて（アプローチ）していくものです。
※2021年2月 当社構成図
セキュアなリモートワークを実現するCloud Native Inc.
このページでは、当社での働き方を実現するために利用するITや考え方を公開しています。
情報システム部門は、数多くのソリューションの選択肢の中から、戦略的に必要となるものを常に選定し続け、会社の成長を後押しする存在であるはずです。製品選定の多くはカタログ値であったり、他製品との組み合わせが考慮されないケースも多く、導入へ至るまでに多大なコストと時間を浪費し、導入後に運用しきれない、使われないケースも珍しくありません。
しかしながら現実問題として、突き詰めた使用感や感覚値などを選定に盛り込むことはリソースの観点だけでなく経験値の観点からも難しく、ベンダーに対してのイメージや好みで話が進まないケースもあり、結局なにをどうしたらいいのか分からないという声も絶えません。
新しい技術やソリューションを即購入し即導入 全てを本番環境で実施
当社では、情報システム部門が注目したい新しい技術やソリューションの導入検証を積極的に行っています。ここで表現する検証とは、一般的にイメージされるようなテストではなく、まず購入し即導入、様々な規模や業種の情報システム部門であればどんなリアクションがあるだろうかと想像を膨らませながら、全てを本番環境で実施します。
自社の為にではなく、全ての情報システム部門の為にどのような効果があるのかを意識するため、中には当社の企業規模には見合わない製品も導入しています。「自社のゼロトラストモデル」では、自社のシステムを公開し更新していくことで提案の精度を上げ、新たな気づきやアクションを起こす足がかりとなることを目的としています。
ゼロトラストアーキテクチャへのアプローチ
ゼロトラストアーキテクチャとは、社内ネットワークを信用できる領域として運用設計されていた境界防御への依存を改め、「ネットワーク・デバイス・人」を信用せず繰り返し検証して判断することを前提とした企業内ITシステムのアーキテクチャです。
当社がコンサルティングサービスを提供する上で軸に取り入れている概念であり、当社の社内システムは「ゼロトラストアーキテクチャ」の概念をもとに、今現在できる最もセキュアで利便性の高いシステムを実装しています。
ID基盤
Okta と Microsoft Entra ID による統合認証
当社のID基盤はメインの IdP として Okta、Microsoft 365 と組み合わせる用途で Microsoft Entra ID（旧 Azure AD）を併用しています。SAML / OpenID Connect に対応したクラウドサービスは Okta 経由のシングルサインオン（SSO）に集約し、対応していないシステムはパスワードマネージャー Keeper で資格情報を管理しています。
情報資産へのアクセスには必ず多要素認証（MFA）を要求し、ユーザー / デバイス / ネットワーク / 時間帯などの属性に応じて IdP がアクセス可否を判断します（ABAC ベース）。MFA の手段は IdP のスマホアプリ（プッシュ通知）、生体認証、PIN、SMS などを状況に応じてシステムが自動で選択します。
IdP が分散しても自社内のディレクトリ統制を徹底することで、入退社・組織異動に伴うアカウント発行・権限変更・削除を単一の管理画面から制御できる状態を保ち、ID のライフサイクル管理をゼロトラスト実装の基盤として位置づけています。
使用している製品
Okta（メインの IdP / SSO / MFA） / Microsoft Entra ID（Microsoft 365 統合） / Keeper（パスワードマネージャー）
デバイス管理
Jamf（Mac）と Microsoft Intune（Windows）によるクラウド統制
従業員のデバイス管理は全てクラウド側で完結させています。Mac は Jamf、Windows は Microsoft Intune を利用して、構成プロファイル / アプリ配布 / セキュリティ設定 / コンプライアンス判定をクラウドから一元的に行います。サーバー（オンプレ AD など）は前提としません。
新規デバイスのキッティングはゼロタッチデプロイで実施します。Mac は Apple Business Manager と Jamf の連携、Windows は Intune の Autopilot を用いることで、購入したデバイスを従業員が初回起動するだけで会社のポリシーが自動適用されます。情報シス担当者が個別にキッティングする工程は発生しません。
セキュリティパッチ未適用 / OS バージョンが古い / 暗号化が無効 / マルウェアに感染しているなどの状態を持つデバイスは、デバイストラスト判定により情報資産へのアクセスを拒否します。BYOD で個人デバイスを接続する場合も、ユーザー領域と業務領域を分離し、会社のポリシーは業務領域にのみ適用します。
使用している製品
Jamf（Mac の MDM / ゼロタッチデプロイ） / Microsoft Intune（Windows の MDM / Autopilot）
ネットワーク・SASE
Netskope による SSE / CASB / SWG / ZTNA の統合
ネットワーク・SASE のレイヤには Netskope を採用しています。CASB（クラウドアプリの可視化と制御）、SWG（Web トラフィックの検査）、ZTNA（社内システムへのゼロトラストアクセス）を単一プラットフォームで提供できるため、従業員がどのネットワークから接続しても同じセキュリティポリシーを適用できます。
当社では VPN による境界防御を前提としません。Wi-Fi が暗号化されていない環境を含めて「信用できないネットワーク」を前提に、アプリケーション層での暗号化通信と、Netskope による検査・制御をすべてのトラフィックに適用します。暗号化されない通信を行うシステムは原則として排除します。
シャドー IT に対しては Netskope の CASB がクラウドアプリの利用状況をリアルタイムに検知し、危険なアップロード経路を遮断して安全な手段（社内で承認されたクラウドストレージ等）に誘導します。DLP（Data Loss Prevention）ルールはネットワーク・エンドポイント・クラウドの各レイヤに重ねて設置しています。
使用している製品
Netskope（SSE / CASB / SWG / ZTNA / DLP）
エンドポイント
CrowdStrike Falcon による EDR / 振る舞い検知
エンドポイント保護には CrowdStrike Falcon を採用しています。NGAV による既知マルウェアの遮断に加え、EDR（Endpoint Detection and Response）としてプロセスの振る舞いをクラウド側に常時送信し、機械学習で攻撃の兆候を検知します。
標的型攻撃やゼロデイ攻撃に対しては、シグネチャベースではなく挙動ベースで検知することを前提に運用しています。CrowdStrike が検知したインシデントは自動的に SIEM（Microsoft Sentinel）へ集約され、緊急度の低いものは自動でクローズ、人間の判断が必要なものだけが Slack に通知される設計です。
盗難 / 紛失に備えて、業務利用するデバイスは全て暗号化を強制し、暗号化鍵はシステムが自動管理します。暗号化が完了していないデバイスは、ID基盤・デバイス管理レイヤと連動して情報資産へのアクセスを拒否します。
使用している製品
CrowdStrike Falcon（NGAV / EDR）
クラウドセキュリティ
Wiz による CNAPP（CSPM / CWPP / CIEM）
当社のクラウドインフラ（AWS / Microsoft Azure 等）に対するセキュリティ可視化と統制には Wiz を採用しています。CSPM（クラウドの設定ミス検知）、CWPP（ワークロード保護）、CIEM（クラウド ID 権限の可視化）を CNAPP として統合的に運用しています。
クラウドリソースの設定ミス・過剰な IAM 権限・公開された S3 バケット・脆弱な Docker イメージといったリスクを、複数の観点から横断的に検知し、攻撃経路（攻撃パス）として優先度付けして可視化します。エージェントレスでスキャンするため、開発者の環境構築を阻害せずにセキュリティが追従します。
検知された設定ミスや脆弱性は Slack に通知され、対応はインフラを管理する担当者と協議のうえ修正します。Wiz の検知ログも Microsoft Sentinel に集約され、他レイヤのログと相関分析されます。
使用している製品
Wiz（CNAPP / CSPM / CWPP / CIEM）
データ保護
Box と Druva によるクラウド前提のデータ保護
業務データの保管とファイル共有は Box に集約しています。従業員はどのデバイス・どのネットワークからでも、Box 上でファイルを編集・共有でき、誰がいつ何のファイルにアクセスしたかは Box の監査ログに記録されます。秘匿性の高いファイルにはリアルタイムで権限制御を適用し、それ以外もログから追跡可能な状態にしています。
エンドポイント側のデータ保護には Druva を採用しています。デバイスがオンラインになった時点で端末データを自動的にクラウドストレージへバックアップし、DLP ルールやリーガルホールド、e-Discovery と連動して、機密情報を含むデータが検出された場合はバックアップ済みデータを含めて自動的にアクセス禁止状態へ変更します。
シャドー IT の抑制は「禁止」ではなく「正規ルートを使いやすくする」ことで実現します。Box を使いやすい場所として整備し、Netskope の CASB がリアルタイムにシャドーアップロードを検知して安全な手段へ誘導することで、自然と正規ルートに集約される設計です。
使用している製品
Box（コンテンツクラウド / ファイル共有 / DLP） / Druva（エンドポイントバックアップ / リーガルホールド）
SIEM / SOC
Microsoft Sentinel によるログ集約と機械的処理
各レイヤで発生したログ（Okta / Microsoft Entra ID の認証ログ、Jamf / Intune のデバイスログ、Netskope のネットワーク・CASB ログ、CrowdStrike の EDR ログ、Wiz のクラウドセキュリティログ、Box の監査ログなど）はすべて Microsoft Sentinel に集約しています。
ログは「事後のもの」と捉え、ログが発生する前の振る舞いをそれぞれのレイヤで制御する設計を基本にしています。Sentinel ではログを機械学習による相関分析にかけ、緊急度の低いインシデントは自動でクローズ、人間の判断が必要なものだけを Slack に通知して状況判断を AWS Lambda 経由でシステムにフィードバックする運用です。鮮度の落ちたログは Amazon S3 にアーカイブし、監査対応用のレポートも自動生成されます。
特権操作については、実行された内容を Slack に自動的に投稿し、全従業員が確認できる状態にすることで、不必要な特権操作そのものを抑制しています。
使用している製品
Microsoft Sentinel（SIEM / SOAR） / Slack（インシデント通知 / 特権操作の可視化） / Amazon S3（ログアーカイブ）
AI 活用
Glean と Claude Code による情報シス業務の高速化
情報システム部門の業務には生成 AI / エンタープライズ検索を積極的に取り入れています。社内ナレッジの横断検索には Glean を利用し、Microsoft 365 / Slack / Notion / Box などに分散した情報を権限を保ったまま検索・要約できる状態にしています。
運用スクリプト / IaC / Lambda コード / 各種ドキュメントの作成には Claude Code を利用しています。情報シス部門の少人数体制でも、コードレビュー・ドキュメント整備・運用自動化を高速に回せる体制を構築しています。
生成 AI ツールの利用にあたっては、業務データの取り扱いポリシーを定めたうえで、Netskope の CASB / DLP によって入力内容をネットワーク側でも監視し、機密情報の意図しない学習利用が起こらないよう制御しています。AI の利用と情報統制を両立させることもゼロトラスト実装の一部として位置づけています。
使用している製品
Glean（エンタープライズ検索 / 社内ナレッジ AI） / Claude Code（コード・ドキュメント生成）
セキュリティ指針
国際監査基準に適合した設計と運用
上記 8 レイヤの構成は、SOC2 や PCI DSS を含む国際監査基準、加えてプライバシーに関わる独自の監査基準に適合させて設計・運用しています。すでに公開されている監査基準だけでなく、現在策定中の内容や海外の動向も踏まえて、より実践的かつ現実的な IT を前提とします。
セキュリティ指針は組織・事業の変化に応じて見直し、レガシー環境との融合や、運用価値のない情報への投資抑制など、メリハリを意識しています。ゼロトラストアーキテクチャを目指す過渡期では、レガシーで非効率な領域が残ることもありますが、方針や概念、目的を崩すことなく環境の変化を進めることが重要です。
業務基盤としては Microsoft 365 をメインのオフィススイートとし、Slack（社内コミュニケーション）、Notion（ナレッジ / ドキュメント）、Zoom（ビデオ会議）、DialPad（クラウド PBX）を採用しています。これらの SaaS にも上記 8 レイヤ（特に ID基盤 / ネットワーク・SASE / SIEM）の統制が一貫して適用される設計です。
まとめ
情報システム部門は、会社が本来の事業を成長させるために、全ての従業員がITを意識せずとも安全に正しく使える環境を提供したいはずです。
情報システム部門は、自社のデータ全てを掌握している強力な組織です。
現在、情報システムにあたる部門は「ビジネスシステム」または「ビジネステクノロジー」と呼ばれる組織名に変わってきています。担当組織は、ITに高く依存した会社のITの重要性を理解し、美しくITに依存し、自社ビジネスにおける自動化と効率化を遂行する重要な部門です。
企業ごとに重視する戦略や、重要と考えるデータの価値が違う為、他社と全く同じ情報インフラが存在しません。自社の考えやこれまで積み上げ、いま働く人たちが自ら設計し、製品を組み合わせ、運用するのです。そして、事業やITは目まぐるしく変化します。綺麗に描いた1年ロードマップの通りに、世界が動いてくれることはありません。多くのITが使われず、多くの新技術が生まれます。変化への追従や適合は、自社のITにも必要です。
クラウドの利点は必要な時に必要なだけのIT調達ができることです。正しいロックインを選択して、守り続けるものと変化せざるを得ない物を理解し、強固かつ捨てやすい柔軟なITインフラを目指しましょう。
コンサルティング業務を行う上では、ここでは触れていない製品や技術が多数あり、上記範囲に限らないことをご承知おき下さい。
まずはお気軽にご相談ください
ご相談は無料です。インシデント対応から本格的なゼロトラスト導入まで、技術的な質問から具体的な導入計画まで、エンジニアが直接お答えします。