セキュリティ

2025年02月14日

2025年02月25日

SWG（Secure Web Gateway）とは─クラウド時代の包括的セキュリティ対策

企業のクラウドサービス活用が加速する中、サイバー攻撃の手法は日々巧妙化し、従来の境界型セキュリティでは対応が困難になっています。特にゼロトラストセキュリティの考え方が浸透する現在、SWG（Secure Web Gateway）は全てのアクセスを「信頼しない」を前提としたセキュリティ対策の要となっています。本記事では、SWGの基本概念から具体的な機能、導入メリットまで、実践的な観点から解説します。

この記事の目次

SWGとは

SWG（Secure Web Gateway）は、企業の全てのインターネットアクセスを可視化し、包括的に保護するセキュリティソリューションです。従来のWebプロキシ機能を基盤としながら、URLフィルタリング、マルウェア対策、アプリケーション制御、データ漏洩防止（DLP）など、インターネットアクセスにおけるあらゆる脅威に対応する多層的なセキュリティ機能を統合しています。中でも最も重要な機能が、SSL/TLS通信の復号化と検査です。現在、インターネットトラフィックのほとんどがSSL/TLSで暗号化されており、この暗号化された通信内容を可視化・検査できなければ、マルウェアの侵入やデータ漏洩を防ぐことはできません。

ゼロトラストセキュリティは、「信頼できる内部」「信頼できない外部」という従来の境界型セキュリティの考え方を根本から見直すアプローチです。全てのアクセスを信頼せず、ユーザーやデバイスのアイデンティティ、セキュリティ状態、アクセス元の状況など、複数の要素を総合的に評価して適切なアクセス制御を行います。SWGは、このゼロトラストを実現する重要な要素の一つとして、インターネットアクセスにおける「信頼の検証」を担います。社内からのアクセスであっても外部からのアクセスであっても、同様の厳格なセキュリティチェックを適用することで、一貫性のあるセキュリティポリシーを実現します。

SWGの種類と特徴

SWGには、自社でサーバーを構築・運用するオンプレミス型と、クラウドサービスとして利用するクラウド型の2種類があります。特にクラウド型SWGは、現代のビジネス環境に適した優れた特徴を持ちます。

クラウド型SWGの第一の特徴は、無制限に近いスケーラビリティです。企業の成長やM&A、在宅勤務の急増などによるトラフィック増加にも、追加のハードウェア投資なしで即座に対応できます。また、世界中の利用企業から収集された脅威情報をAIで分析・活用することで、新種のマルウェアや高度な攻撃手法に対しても、人手による対応を待たずに自動的に防御を強化できます。

運用面でも大きな利点があります。ハードウェアの導入・保守が不要なだけでなく、セキュリティエンジンの更新やパッチ適用も自動的に行われるため、セキュリティチームは戦略的な業務により多くの時間を割くことができます。さらに、初期投資を最小限に抑え、実際の利用量に応じた従量課金型で利用できるため、ビジネスの変化に合わせた柔軟なコスト管理が可能です。

SWGの主要機能

SWGの中核機能の一つが、SSL/TLS通信の復号化と検査です。現代のインターネットトラフィックの大半は暗号化されているため、この機能なしではセキュリティ対策が成り立ちません。SWGは暗号化された通信を一時的に復号化し、内容を詳細に検査することで、マルウェアの侵入や機密情報の流出を効果的に防止します。

ただし、SSL/TLS復号化には慎重な運用が求められます。多くのSWG製品では、プライバシーとコンプライアンスの観点から、金融取引や医療情報など、機密性の高い通信を復号化の対象から除外する設定が可能です。企業は、セキュリティ要件と従業員のプライバシー保護のバランスを考慮し、明確な復号化ポリシーを策定・運用する必要があります。

SWGのもう一つの重要な機能が、インテリジェントなURLフィルタリングです。AIによる分析とグローバルな脅威インテリジェンスを活用し、Webサイトのカテゴリやリスクスコアをリアルタイムで評価します。これにより、マルウェア配布サイトや不適切なコンテンツへのアクセスを自動的にブロックし、セキュリティリスクの低減と業務効率の向上を同時に実現します。

さらに、SWGは未知の脅威に対する高度な防御機能も提供します。クラウドサンドボックスとの連携により、不審なファイルを安全な環境で実行・分析し、ゼロデイマルウェアも検知できます。また、従業員による未承認クラウドサービス（シャドーIT）の利用も可視化し、適切な制御を行うことが可能です。ただし、シャドーIT対策を完全なものにするためには、CASBなど他のセキュリティツールとの連携や、社内ポリシーの整備、従業員教育など、総合的なアプローチが必要です。

SWGの必要性とメリット

SWGの導入は、企業のセキュリティ体制を可視化、制御、コンプライアンスの3つの側面から強化します。最新のSWGはCASBのデータベースと連携することで数万種類のSaaSアプリケーションを識別しながら、より高度な制御を実施でき、従業員が利用するクラウドサービスの全体像を正確に把握できます。これは、クラウドファースト時代における効果的なセキュリティ管理の第一歩となります。

特に重要なのが、ゼロトラストセキュリティモデルにおけるSWGの役割です。「すべてのトラフィックを信頼しない」というゼロトラストの原則に基づき、SWGはWebアクセスの都度、ユーザー、デバイス、アプリケーション、データの状態を総合的に評価し、アクセスの可否を判断します。さらに、ID管理(IdP)やエンドポイントセキュリティ、CASB（Cloud Access Security Broker）などと連携することで、包括的なゼロトラストアーキテクチャを実現できます。このマルチレイヤーな防御体制により、サイバー攻撃の防御力を大幅に向上させることが可能です。

コンプライアンス面でも、SWGは重要な役割を果たします。GDPR（EU一般データ保護規則）やCCPA（カリフォルニア州消費者プライバシー法）などの厳格なデータ保護規制、さらにPCI DSS（クレジットカード業界のセキュリティ基準）などの業界標準への準拠を支援する機能を標準で備えています。特に、Webトラフィックの詳細な監査ログやカスタマイズ可能なレポート機能により、コンプライアンス監査への対応工数を大幅に削減できます。これは、年々厳格化する各種規制への対応において、大きな価値となります。

SWG導入時のポイント

SWG導入を成功させるためには、以下の5つの重要なポイントを慎重に検討する必要があります。

ゼロトラストセキュリティ戦略との整合性確保
SWGはゼロトラストアーキテクチャの重要な構成要素ですが、単独での導入では十分な効果を発揮できません。ID管理、アクセス制御、エンドポイント保護など、他のセキュリティ対策との連携を含めた包括的な計画が必要です。特に、既存のセキュリティツールとの役割分担を明確にし、重複や抜け漏れがないよう注意が必要です。
プライバシーに配慮したSSL/TLS復号化ポリシーの策定
SSL/TLS復号化の範囲設定は、セキュリティとプライバシーのバランスが重要です。金融取引や医療情報など、高度な機密性が求められる通信の除外設定に加え、各国のプライバシー法制への準拠を考慮したポリシー設計が必要です。また、従業員への明確な通知と同意取得のプロセスも確立しておくべきです。
パフォーマンスとユーザー体験の最適化
SSL/TLS復号化処理は大きな負荷を伴うため、適切なキャパシティプランニングが不可欠です。特にクラウド型SWGを選択する場合、地理的に分散した拠点からのアクセスにおける遅延の影響を考慮し、適切なPoP（Points of Presence）の選択と必要に応じたローカルブレークアウトの検討が重要です。
セキュリティエコシステムとの統合
既存のセキュリティ製品との効果的な連携が、SWGの価値を最大化します。特にSIEM（Security Information and Event Management）との連携による統合的な脅威検知・分析、ID管理システムとの連携によるきめ細かなアクセス制御の実現が重要です。API連携の可否や統合に必要な追加コストも事前に確認しておく必要があります。
段階的な導入計画の策定
一度にすべてのトラフィックをSWGに移行するのではなく、部門やアプリケーション単位での段階的な導入を計画します。特に初期段階では監視モードでの運用を行い、誤検知やパフォーマンスへの影響を慎重に評価することで、本番環境への影響を最小限に抑えることができます。

次世代型ファイアウォール・SASEとの違い

ネットワークセキュリティの進化とともに、NGFWとSWG、そしてSASEの役割と関係性を理解することが重要になっています。

NGFWとSWGは、どちらもネットワークセキュリティのためのソリューションですが、その特徴と役割は大きく異なります。NGFWは主にネットワーク境界での防御を担い、IPアドレスやポート番号に基づくトラフィック制御、基本的な脅威防御を提供します。

一方、SWGはWebトラフィックに特化し、SSL/TLS通信の復号化、URLフィルタリング、クラウドアプリケーションの可視化と制御など、より高度で専門的な機能を提供します。多くの組織では、NGFWによる包括的なネットワーク保護とSWGによる精緻なWeb制御を組み合わせることで、多層的な防御を実現しています。

SASE（Secure Access Service Edge）は、SD-WAN、CASB、ZTNA（Zero Trust Network Access）などのネットワーク機能とセキュリティ機能を、単一のクラウドプラットフォームとして提供する新しいアプローチです。SWGはSASEの中核コンポーネントとして位置づけられており、特にリモートワーク環境におけるセキュアなインターネットアクセスを実現する重要な役割を果たしています。

しかし、すべてのトラフィックをSASEに集中させることで、いくつかの課題が生じる可能性があります。クラウドインフラへの負荷集中によるパフォーマンスの低下、グローバル展開における地域ごとの遅延差、統合サービスとしての導入・運用コストの増加などが主な課題として挙げられます。

これらの課題に対して、「スマートルーティング」というアプローチが注目されています。社内システムへのアクセスやビジネスクリティカルな通信はSWGで厳密に制御し、一般的なWebブラウジングなどは適切なセキュリティチェックを経た上で直接インターネットに接続する方式です。このハイブリッドなアプローチにより、セキュリティとパフォーマンスの最適なバランスを実現できます。

ただし、このようなアーキテクチャを採用する場合は、トラフィックの分類基準の明確化、セキュリティポリシーの一貫性確保、監視・ログ管理の統合などの点について、慎重な検討と設計が必要となります。特に、セキュリティポリシーの一貫性は、組織全体のセキュリティレベルを維持する上で極めて重要な要素となります。

このように、NGFWとSWG、そしてSASEは、それぞれの特徴を活かしながら、現代の複雑化するネットワーク環境において、相互に補完し合う形で企業のセキュリティを支えています。組織の規模やニーズに応じて、これらのソリューションを適切に組み合わせることで、より効果的なセキュリティ対策を実現することが可能となります。

CASBとの連携

CASBは、クラウドサービスの利用が拡大する中で特に重要性を増しているセキュリティソリューションです。SWGがWebトラフィック全般に対する包括的な制御を行うのに対し、CASBはSalesforce、Microsoft 365、Box、Dropboxといった特定のSaaSアプリケーションに特化し、より深い可視化と精緻な制御を実現します。具体的には、機密データの検出と保護、ユーザーの行動分析、コンプライアンス監査、マルウェア対策など、SaaSアプリケーション特有のセキュリティ要件に対応する機能を提供します。

SWGとCASBの連携により、多層的なクラウドセキュリティを構築することが可能です。例えば、SWGでクラウドアプリケーションへのアクセスを包括的に制御しながら、CASBで個々のアプリケーション内での詳細な操作を監視・制御することができます。具体的なユースケースとしては、SWGで承認済みのBox環境へのアクセスを許可しつつ、CASBで社外とのファイル共有や機密情報を含むファイルのアップロードを制限するといった運用が可能です。これにより、クラウドサービスの利便性を損なうことなく、高度なセキュリティ要件に対応できます。

さらに、この連携はコンプライアンス対応においても大きな価値を発揮します。SWGによる通信ログとCASBによる詳細な操作ログを組み合わせることで、クラウドサービスの利用に関する包括的な監査証跡を得ることができ、各種規制への対応を効率的に進めることが可能となります。

	SWG型	CASB型
主な特徴	機密情報のアップロード制御や個人テナント利用へのアクセス制御シャドーITへの対策	企業が認可しているSaaSに対しイベントログやデータを監視し外部脅威や内部不正への対策
監視対象の範囲	全てのWeb通信　・通信は全て復号化される　・個人テナント利用の制御	特定のSaaSアプリ・Box、Microsoft 365、Salesforce等 APIが対応している約40種類
制御方法	端末へエージェント導入	APIによる制御
可視化できること	Web通信を可視化・いつ、誰が、どこから、どのカテゴリのSaaSへアクセスしたか　・アクセスしたSaaSのリスク評価　・通信量(アップロード、ダウンロード)の可視化	SaaS上の操作を可視化・いつ、誰が、どこから、何をしたか　　・ログイン成功、失敗　・データの作成、閲覧、編集、削除、共有、ダウンロード、アップロード
脅威検知の種類	不審なサイトへのアクセス制御・Webフィルタリングによる通信制御不審なファイルの制御・ウイルスやマルウェア検出およびブロック	外部からの不正アクセス・ログイン連続失敗　・地理的にありえないアクセス(例：日本でログインし5分後にアメリカからアクセス) 内部不正　・大量のデータダウンロード、アップロードや削除
データ保護の対象	SWGを通過するデータ　・リアルタイムによる制御　・特定条件(キーワードや機密データ)のデータを含む通信を制御	全てのデータ(保存済みデータを含む) ・ほぼリアルタイムによる制御（API処理のため数分のタイムラグあり）　・共有されてはいけないデータの共有停止や共有削除　・マルウェアファイルの隔離や削除　・暗号化されていないデータの暗号化

まとめ

デジタルトランスフォーメーションとクラウドサービスの普及により、企業のセキュリティ環境は大きく変化しています。この変化の中で、SWGはゼロトラストセキュリティを実現する中核的なソリューションとして確固たる地位を確立しています。特にクラウド型SWGは、グローバルな脅威インテリジェンスの活用と迅速なセキュリティアップデート、そして無制限に近いスケーラビリティにより、急速に進化するサイバー脅威に対して効果的な防御を提供します。

SSL/TLS通信の復号化による暗号化トラフィックの可視化、40,000種類以上のSaaSアプリケーションの識別と制御、AIを活用した高度な脅威検知など、現代のビジネスに必要とされる包括的なセキュリティ機能を備えています。これらの機能は、「信頼しない」を前提としたゼロトラストセキュリティの実践において、不可欠な要素となっています。

JBCCは、長年にわたるセキュリティソリューション構築の経験と、最新技術への深い理解を活かし、お客様のビジネスとセキュリティ要件に最適なSWGソリューションをご提案いたします。導入計画の策定から運用設計、さらには既存セキュリティ製品との効果的な連携まで、包括的なサポートを提供させていただきます。

マネージドサービス for CASB Plus

生成AIを含む様々なSaaSへのアクセスを監視・制御し、安全なクラウド利用を促進します。

詳細を見る

見逃し配信

ゼロトラスト原則から再考する CASBの有効性と検討ポイントとは？

最近発行されたCloud Security Allianceの「ゼロトラスト指針となる原則」を引用し、考えるべきポイントとSSEソリューション、特にCASBの有効性と検討ポイントについて解説および利便性を享受しながら安心・安全に利用するために必要なＪＢＣＣの運用サービスについてご紹介します。

視聴申し込み

コラム

SaaSセキュリティ運用の壁を乗り越える！ＪＢＣＣのマネージドサービス

デジタルトランスフォーメーション（DX）の進展に伴ってSaaSの活用が広がり、シャドーITの存在や機密情報の制御不足、不正行為の見逃しなど、セキュリティ上の課題が顕在化しています。ゼロトラストネットワークを構築してもセキュリティインシデントが引き起こされるケースもあり、専門的な運用支援が求められているのです。本稿では、SaaSのセキュリティリスクとその対策を紹介するとともに、運用支援サービスの具体的な内容を解説します。

詳細を見る

監修者

山口貴央

ＪＢＣＣ株式会社
セキュリティサービス事業部サービス開発本部

クラウドセキュリティ推進資格：Certified Cloud Security Proffsional（CCSP）セキュリティエンジニアとしてクラウドセキュリティの領域、主にCNAPP、CASB、SWGを担当お客様への提案活動だけでなく、実装や運用保守の支援も実施

企業のIT活用をトータルサービスで全国各地よりサポートします。

ＪＢＣＣ株式会社は、クラウド・セキュリティ・超高速開発を中心に、システムの設計から構築・運用までを一貫して手掛けるITサービス企業です。DXを最速で実現させ、変革を支援するために、技術と熱い想いで、お客様と共に挑みます。