2026.06.09 2026.06.14

【SSEとは】SSEの構成要素

buffoon

SSEを「ユーザーからSSEまでの接続経路」と「SSE内部での機能的な構成要素」の2つのフェーズに分けて、トラフィックの旅を追いかけながら分かりやすく解説します。

SSEの全体像：なぜ「経路」と「機能」に分けて考えるのか？

SSEの本質は「どこからでも安全に、同一のポリシーでクラウド・Webにアクセスさせること」です。
これを理解するには、ユーザーが通信を発してからインターネットへ抜けるまでの「前段（接続経路）」と「中身（クラウド上のセキュリティ機能）」を切り分けるのが一番の近道になります。

構成要素：SSEまでの【接続経路】（どうやって繋ぐか？）

ユーザーや拠点から、トラフィックをどのようにSSE（PoP）へ届け、その先の目的地へ繋ぐかという「経路」のコンポーネントです。宛先が「インターネット（SaaS）」か「社内リソース」かによって、主に以下の経路に分類されます。

A. インターネット・SaaS宛ての経路

① エージェント（Client型）接続 PCに常駐させた専用アプリ（Zscaler Client Connector等）により、端末発のインターネット通信を自動的に暗号化し、最寄りのSSEへトンネリングするリモートワークの主軸経路です。
② 拠点からのトンネル（GRE / IPsec）接続 オフィスのエッジルーター（SD-WAN等）からSSEへ常時トンネルを張る経路です。エージェントを導入できないIoT機器や複合機も含め、拠点内の通信を一括してSSEへ転送できます。
③ PACファイル / プロキシ転送 ブラウザの設定（PACファイル）を利用し、HTTP/HTTPS通信を明示的にSSEのプロキシ宛てに転送する、移行期によく使われるレガシーな経路です。

B. 社内リソース（プライベート環境）宛ての経路

④ ZTNA（Zero Trust Network Access）接続 インターネット経由ではなく、「社内ネットワークやIaaS環境（Private Apps）にある社内リソース」へ安全にアクセスするための経路です。従来のVPNのようにネットワーク全体に参加させるのではなく、認証されたユーザーに対して「特定のアプリケーションだけ」をピンポイントで繋ぐ（暗号化経路を確立する）ことで、攻撃者の横展開（ラテラルムーブメント）を防ぐ重要な経路コンポーネントです。

構成要素：SSE内部の【機能面】（どうやって守り、どう流すか？）

通信がSSEに到達してから、インターネット（SaaS/Web）へ抜けるまでに通過する、エンジンの「内部レイヤー（コンポーネント）」を解説します。なお、FWaaSやDNSセキュリティについては接続経路（WEBトンネルのみの利用等）によっては制御が効かない場合もあるため、ここでは説明を割愛します。

[ユーザー通信] → ①認証・識別 → ②可視化(SSL復号) → ③ポリシー制御(SWG/CASB) → [インターネット/SaaS]

① ユーザー・端末の識別（Authentication）
- IdP（Azure AD / Oktaなど）と連携し、「誰が、どの端末から」アクセスしてきたかを識別する玄関口。
② SSL/TLS復号化（SSL Inspection）
- 現在のWebトラフィックの9割以上は暗号化されているため、そのままでは中身を検閲できません。SSEのコア機能として、通信を一度復号して「中身を裸にする」超重要レイヤー。
③ セキュリティポリシーの適用（主要3コンポーネント）
- SWG（Secure Web Gateway）： URLフィルタリングやアンチウイルス、サンドボックス。主に不特定の「Webサイト」へのアクセスを制御。
- CASB（Cloud Access Security Broker）： Microsoft 365やSalesforceなどの「SaaS」を制御。「会社契約のOneDriveはOKだが、個人契約のものはブロック」といった深い制御を行う。
- ZTNA（Zero Trust Network Access）： インターネットではなく、社内のプライベート環境へのアクセスを「最小特権」で制御。（機能面でのZTNA）
④ データの保護（DLP / 機密情報漏洩防止）
- 通信の「外出し」の最終チェック。クレジットカード番号やソースコードなどの機密データが外部にアップロードされるのを検知・遮断。
⑤ 出口（Internet / 各種SaaSへ）
- すべての検査をクリアした安全なトラフィックだけが、SSEのグローバルIP（あるいは固定IP）をソースとして、インターネットの世界へと流れていく。

【応用編】SSEの重要な構成要素：「送信元グローバルIP固定機能」

SSEの「経路」と「機能」を押さえた上で、企業ネットワーク（特にOA環境）への導入に不可欠なもう一つの構成要素が「送信元グローバルIPの制御機能」です。

なぜグローバルIPの制御機能が必要なのか？

多くの企業では、Microsoft 365（条件付きアクセス）等のSaaS利用時に、「許可した特定のグローバルIP（オフィス回線等）からしかログインさせない」というセキュリティ制限をかけています。

しかし、SSE（エージェント等）を挟むと、SaaS側に届く通信の送信元IPが「SSEベンダーの共有IP」に変わってしまい、アクセスが拒否される問題が発生します。これらを共存させるために、現代のSSEには以下のコンポーネントが組み込まれています。

送信元IPを固定する2つの主要コンポーネント

テナント専用グローバルIP（Dedicated IP） SSEの出口IPを、他社と共有しない「自社専用にストックされた固定IP」として割り当てる構成要素です。この専用IPをSaaS側にホワイトリスト登録することで、SSEを経由しつつ条件付きアクセスをクリアできます。
特定通信のUターン制御（Source IP Anchoring / SIPAなど） IP制限の厳しい特定のSaaS宛てトラフィックだけを識別し、SSEクラウドから社内拠点等に配置したコネクタへ通信を「Uターン」させる機能です。最終的な出口IPを「使い慣れた自社拠点のIP」に制御できるため、既存環境の設定を変えずに導入可能となります。

まとめ：SD-WAN×SSE＝『SASE』が導く次世代ネットワーク

最後に、SSEの全体像を「経路」と「機能」、そしてその先にあるゴールへ繋げて整理します。

「経路」を最適化する：SD-WAN
- 拠点（オフィス）からの通信を、PCやIoT機器も含めて丸ごと効率的に処理。信頼できるSaaSは直接インターネットへ流し（ブレイクアウト）、それ以外を安全なトンネルに集約する「足回りの最適化」を担います。
「機能」で一元防御する：SSE
- ロケーションを問わず、集約されたトラフィックに対してクラウド上で強力なセキュリティ（SWG/CASB/ZTNA）を一括適用します。

ネットワーク（SD-WAN） ✕ セキュリティ（SSE）＝ SASE（Secure Access Service Edge）

これら2つが融合した姿こそが、現在のエンタープライズ企業が目指すべきゴールである「SASE」の本質です。

企業のOA環境やセキュリティの刷新を検討する際は、機能面（SSE）の比較だけでなく、足回りのネットワーク経路（SD-WAN）も含めたトータルな「SASE」の視点でグランドデザインを描くことが、プロジェクトを成功させる最大のカギとなります。