IT用語集 2020/06/03

インターネット分離の方法とメリット・デメリット

サイバー攻撃による企業や組織の機密情報・個人情報の流出被害が後を絶ちません。こうした状況の中で、被害を最小限に抑えるためのセキュリティ対策として注目されているのが「インターネット分離」です。自治体領域では、総務省の「地方公共団体における情報セキュリティポリシーに関するガイドライン」等の考え方とも関係が深い対策の1つとして知られています。ここでは、インターネット分離の概要や方式、導入するメリット・デメリット、設計時の注意点を整理します。

インターネット分離とは

インターネット分離とは、組織内においてインターネットに接続する環境と、機密情報を扱う内部ネットワークを切り離す（分離する）考え方です。

たとえば自治体では、インターネットを利用するインターネット接続系と、行政専用ネットワークであるLGWAN接続系、住民情報などを扱うマイナンバー利用事務系を分離する「三層」構成の考え方が広く知られています。分離により、外部から持ち込まれやすい脅威（マルウェア感染、フィッシング経由の侵入など）が、重要情報のある領域へ到達する経路を断ちやすくなります。

インターネット分離では、万が一インターネット接続系の端末がマルウェアに感染しても、分離された内部ネットワークへ感染が波及しにくい設計にできます。重要システムへのアクセス経路を分断することで、外部脅威の侵入や情報漏えいのリスクを低減するのに有効な手法です。

インターネット分離が注目される背景

サイバー攻撃は年々巧妙化しており、侵入経路も多様です。かつてはファイアウォールとアンチウイルスを中心に対策する発想が一般的でしたが、近年は標的型メールやフィッシング、認証情報の窃取、サプライチェーンなどの要因が重なり、検知・防御が難しいケースが増えています。

また、クラウド活用やリモートワーク、SaaS利用の拡大により、「社内＝安全」「境界で守る」という前提が崩れやすくなりました。インターネット分離は、こうした前提変化の中でも被害の波及範囲を限定しやすいという点で、今も有力な考え方です。

インターネット分離の代表的な方式

インターネット分離は大きく物理分離と論理分離に分けて整理されることが多いです。どちらを選ぶかは、求めるセキュリティレベル、利便性、費用、運用体制（情シス人員や監視体制）などを踏まえて判断します。

物理分離

物理分離は、インターネットに接続する端末やネットワークと、内部ネットワークを物理的に切り離す方式です。ネットワーク経路そのものを分けるため、インターネット経由で持ち込まれる攻撃を内部側へ到達させにくいという強みがあります。

一方で、端末を2台用意して使い分ける運用になりやすく、利便性の低下や端末調達・運用コストが課題になりがちです。また、ファイル受け渡し（メール添付、USB、共有領域の経由など）をどう安全に設計するかが、現場の負担・事故リスクに直結します。

論理分離

論理分離は、VDI（仮想デスクトップ）や仮想ブラウザ、セキュアブラウザなどの踏み台（中継）を用いて、端末は1台のまま、内部領域とインターネット領域を論理的に分ける方式です。画面転送を中心にし、端末にデータを残しにくくする設計が採用されることもあります。

物理分離に比べて利便性を確保しやすく、端末コストも抑えられる一方で、方式や設計次第で運用の複雑化や性能・ユーザー体感の問題が出る場合があります。「どこまで分離できているのか（何が残り得るのか）」を前提に、ログ・制御・例外運用まで含めて設計することが重要です。

インターネット分離のメリット・デメリット

メリット

侵入後の被害波及を抑えやすい：インターネット起点の感染・侵入が、重要領域へ到達する経路を限定できます。
設計思想が明快：分けるべき領域（機密領域）を定義しやすく、関係者の合意形成が進めやすい場合があります。
運用の優先順位がつけやすい：重要領域側はより厳格に、インターネット側は利便性重視、といった整理がしやすくなります。

デメリット・注意点

利便性が損なわれやすい：端末の使い分け、ファイル移送、例外対応が増え、現場負担になりやすいです。
「分離しているから安全」とは限らない：USB等の媒体、持ち込み端末、内部不正、誤操作、設定ミスなど、分離だけでは防げないリスクがあります。
オンライン前提の業務・SaaSとの相性：分離の設計によっては、クラウド利用やWeb会議、更新・配布（パッチ適用）などに影響が出ます。
例外運用が弱点になりやすい：どうしても「一時的な例外」が発生します。例外ルールと監査（ログ、承認、期限）まで作っておかないと形骸化しやすくなります。

設計・運用で押さえるべきポイント

1) 「分ける対象」を先に定義する

分離方式を検討する前に、どの情報・業務が機密領域なのか、何を守りたいのか（個人情報、住民情報、設計図、顧客情報、認証基盤など）を明確にします。分離は手段なので、守る対象が曖昧だと運用が破綻しやすくなります。

2) データ受け渡しの設計が「現場事故」を左右する

メール添付、Webダウンロード、クラウド共有、USBなど、現場で起きがちな「持ち込み」をどう扱うかが重要です。たとえば、受け渡し用の専用領域、ウイルスチェック、承認フロー、持ち出し制御、ログ監査などをセットで設計します。

3) 分離とあわせて「認証」「権限」「ログ」を強化する

分離は強力ですが、それだけに頼ると抜けが出ます。多要素認証、最小権限、アクセスログの監視、端末管理（パッチ、暗号化）などの基本対策と組み合わせることで、実効性が上がります。

まとめ

インターネット分離は、外部脅威の侵入経路を断ち、侵入後の被害波及を抑えやすい有効な考え方です。一方で、利便性低下や例外運用の形骸化が、別の事故・不正の温床になることもあります。自組織の業務特性（クラウド利用、出先作業、データ受け渡しの頻度など）を踏まえ、方式選定だけでなく運用設計まで含めて導入を検討しましょう。