【株式会社JERA】
「Prisma Access」導入で
全社的な セキュリティ強化と
ユーザビリティ向上を実現

株式会社JERAは、日本の発電電力量の約3割を供給する国内最大の発電会社であ る。2015年4月に東京電力と中部電力の合弁会社として設立され、段階的な事業統合 を経て2019年4月に既存火力発電事業等の統合をもって完全統合を果たした。現在は 連結で約5000名の従業員を擁し、燃料上流・調達から発電、電力・ガスの卸販売に至る 一連のバリューチェーン全体を通じた電力の安定供給に取り組んでいる。

また、JERAは脱炭素社会の実現に向けて、2020年10月に「JERAゼロエミッショ ン2050」を発表。水素やアンモニアなど二酸化炭素を排出しない燃料を用いた発電ソ リューションをはじめ、環境負荷を抑えた革新的なエネルギーソリューションの提供によ り、世界のエネルギー問題解決への貢献を目指している。

JERAがセキュリティ対策の見直しに着手したきっかけは、2021年に開催された東 京オリンピックだった。藤冨氏は「重要インフラ事業者である我々に課せられたセキュリ ティへの期待値とプレッシャーは非常に高く、オリンピック開催期間中は厳戒態勢だっ た」と当時を振り返る。

さらに、近年ではサイバー攻撃の手法や対象が多様化し、特にランサムウェアの脅威が 増大するなかで、より強固なセキュリティ体制の構築が急務となっていた。山川氏は「ゼロト ラストの考え方に基づき、セキュリティレベルを引き上げていく必要があった」と説明する。 リモートアクセスVPNやSSEといった既存のセキュリティソリューションにも課題が あった。斉藤氏は「当時利用していたセキュリティソリューションはインターネットアクセ ス時の送信元IPが他社と共有されていたため、アクセス元IPを制限しているサイトへ の変更・追加依頼による運用コストが増大していた。」と指摘する。また、ユーザーにとっ てはVPN接続の煩わしさやパフォーマンスの問題も存在していた。

そこで2022年、JERAは当時のセキュリティ業界のキーワードであった「ゼロトラス ト」の考え方に則って、海外拠点を含めたグループ全体のセキュリティ強化に取り組む方 針を定めた。

セキュリティ対策を見直すうえでは、ゼロトラストセキュリティ製品を中心に複数のソリュー ションを検討したという。既存のセキュリティソリューションを拡張する方針なども候補に 挙がったが、最終的にパロアルトネットワークスの「Prisma Access」を選定した。 斉藤氏はPrisma Access選定の決め手について、「専有のグローバルIPアドレスが提 供されること、グローバルの各拠点に展開しようとするなかで管理コンソールも含めて 完全にクラウドネイティブで1つのサービスとして完結すること、そしてクライアントツー ルのユーザビリティや管理者側からの制御のしやすさ」を挙げている。既存のセキュリティ ソリューションの機能を包括していることに加え、各ユーザーやデバイスからの通信、セ キュリティリスクの可視化ができる点もポイントとなった。

導入は2023年に着手し、当年度中に海外拠点を含むグループ企業32社への展開を 目指すという短期間でのプロジェクトとなった。藤冨氏は「セキュリティリスクを早期に低 減したいという思いから、スピード感を持って取り組んだ」と説明する。

導入にあたっては、グループ企業も含めた社内の理解促進が重要な課題であった。 藤冨氏は「技術的なメリットだけでなく、コスト面でのメリットも訴求した」と語る。特筆 すべきは、運用コストを大幅に増加させることなく、セキュリティレベルを大きく向上さ せられる点だった。「既存のセキュリティ対策に要していたコストとほぼ同等で、より高 度なセキュリティ対策環境と体制を構築できることを経営陣に対して論理的に説明し ていった」と藤冨氏は当時を振り返る。この費用対効果の高さが、全社的な合意形成を 促進し、スムーズな導入の一因となった。

また、立野氏によると、ユーザビリティの懸念を払拭するため、詳細なマニュアル作 成やQ&A整備による標準化に努めたという。さらに、ユーザーのあらゆる利用環境や 接続パターンを想定した徹底的な検証を行った。立野氏は「約8000名(関連会社含 め)のユーザーのPCやiPhoneに短期間で展開することは大きな挑戦だった」と振り 返る。また、「短期間での展開中にも製品側のアップデートがあったが、パロアルトネッ トワークスの協力を得ながら進めることができた」と付け加えた。

Prisma Accessには、アプリやユーザーごとに通信状況を可視化できるメリットが ある一方で、これまで可能だった通信が制限されるケースも発生したという。斉藤氏 は「この課題に対しては、その都度本当に必要な通信なのか確認したうえで、許可/不 許可を判断していった。どうしても許可できない場合には、ユーザーと相談して業務フ ロー自体を変更してもらう必要もあった。セキュリティが守られる反面、ユーザーに不 便が生じてしまうことへの説明には苦労した」と話す。

Prisma Access導入後、JERAではセキュリティの強化に加え、ユーザビリティの 向上、運用負荷の軽減、そしてコスト最適化という多面的な効果が得られた。

セキュリティ面では、JERA専用の固定グローバルIPを取得したことでアクセス管理 のしやすさが向上し、各SaaSをはじめブラウザ以外の通信も含めた包括的なセキュリ ティチェックが可能になった。斉藤氏は「HTTP/HTTPS以外のインターネット向け通 信がすべて見えるようになり、これまでチェックできていなかった通信も把握できるよう になった」と導入効果について説明する。

さらに、Prisma Accessの導入は、改めてセキュリティポリシーを考え直すきっか けにもなった。立野氏は「現在は、グローバルのネットワークポリシーも整備していると ころ。Prisma AccessはJERAがグローバルでいつでもどこでもだれとでも安心安 全につながるネットワーク(Achieve a global network to connect safely and securely, anytime and anywhere, with high performance.)の基盤となる」 と各拠点のICTハブとなる組織としての立場からもPrisma Accessを評価する。

ユーザビリティの面では、VPN関連の申請や煩雑な操作が不要になり、VPN接続を 意識せずに安全なネットワークにアクセスできるようになった。山川氏は「PCを立ち上げ るだけで安全な環境が使えるようになり、フリーWi-Fiでも安全に通信できるようになっ た。実際にユーザーへのアンケートで『利便性が上がった』などという声ももらっている」 と説明する。

「2023年はさまざまなVPN製品の脆弱性が公表され、重篤な問題も生じていた。そう した機器に接続することなくセキュアな通信を実現できるようになり、安全性が高まった といえる」(山川氏)

運用面では、クラウドネイティブ環境による管理・運用の簡素化が実現した。さらに、複 数の既存セキュリティ製品を統合したことで、全体的なコスト削減にもつながった。総括と して、藤冨氏は次のようにコメントしている。

「システム開発プロジェクトにおいて重要なQCD(Quality:品質、Cost:コスト、 Delivery:納期)の観点でも一通りの効果を感じている。品質に関しては、通信の見える 化とコントロールが両立できる環境を手に入れ、セキュリティ活動を構造化させることが できた。コスト面では、運用コストはそのままにセキュリティを強化できるというメリット があった。納期については、今回のプロジェクトはとにかく一気に進めようという方針だっ た。セキュリティ施策は短時間に進めないと『あのときにやっておけば......』という話にな りがち。Prisma Accessには、プロジェクトをスムーズに進めるための間接的な効果が あったと考えている」(藤冨氏)

JERAでは、Prisma Accessを活用したさらなるセキュリティ強化と業務効率化を 目指している。斉藤氏は「SOARの導入によるセキュリティオペレーションの自動化と 高度化を検討している」と述べる。また、AWSやAzureなどのパブリッククラウドとの シームレスな連携強化も視野に入れているという。藤冨氏は「通信の見える化とコント ロールが両立できる環境を手に入れた。これを活用し、事業運営を含めてより賢く使っ ていくための取り組みを進めていきたい」と今後の展望を語る。

JERAでは、パロアルトネットワークスに対して、継続的な製品アップデートとサポー ト強化、AIを活用した高度化する攻撃への対応、グループ企業ごとの通信の可視化を はじめより詳細な分析機能の提供などを期待している。特に山川氏は「脆弱性やリス クは絶えず発生するため、安心して使えるよう継続的なサポートをお願いしたい」と述 べる。藤冨氏は最後に「セキュリティは時間をかけるほどリスクが高まる分野である。 常に最新の脅威に対応できる製品開発と、我々ユーザー企業の意識向上につながる 迅速な情報提供を期待し ている」と締めくくった。

JERA の P r i s m a Access導入事例は、大 規模な組織がゼロトラス トセキュリティを実現しつ つ、ユーザビリティとコス ト最適化を両立させた好 例といえる。今後、同様の 課題を抱える企業にとっ て、貴重な参考事例となる だろう。