あるグローバル企業は、クラウドファースト設計への移行を進めながら、クラウドベースの移行中に重要なアプリケーションのセキュリティを確保する作業を進めており、現在、CRMや製品の知的財産／設計システムといった最も重要なアプリケーションをAzureクラウドへ移行する既存システム移行（ブラウンフィールド移行）を実施しています。同社は既に、複数のゾーンを持つアクティブ／パッシブ型の高可用性（HA）次世代ファイアウォール（NGFW）をデータセンターに導入しており、その設計を既存のAzure HA環境にも再現しています。
組織は、重要なワークロードがデータセンターから移行し、ユーザーがどこからでも接続するようになるにつれて、セキュリティ体制を近代化する必要性を認識しています。そのセキュリティモデルは、従来型の「ハードシェル、ソフトセンター」アプローチによって定義されています。
信頼のギャップをゼロに
現在のネットワークセグメンテーションは境界型である。組織は、クラウド環境とオンプレミス環境の両方にゼロトラストの原則を拡大したいと考えている。
- このネットワークは、主にオフィス所在地と大まかな部門グループごとに区分された、VLANとIPアドレスベースのアクセス制御リスト（ACL）に大きく依存しています。
従業員が社内ネットワーク（つまり「境界内」）に入ると、比較的広い範囲にアクセスできるようになります。
攻撃者が単一のエンドポイントを侵害した場合（例えば、フィッシングメールを介して）、容易に横方向に移動して、価値の高いターゲットをスキャンすることができます。
雲の死角
・当該組織は、本番環境にAzureを使用しており、機密性の高い顧客データを含むアプリケーションをホストしている。
クラウドにおけるセキュリティ制御は、オンプレミスネットワークとは独立して管理されることが多い。
アクセス権限は、ユーザーのリアルタイムの状況やアプリケーションの状態ではなく、リソースに基づいて、過度に寛容なIDおよびアクセス管理（IAM）の役割とキーによって付与されることが多い。
リモートユーザーアクセス
- 多くのリモートユーザーは、インターネットやSaaSリソースにアクセスするためだけに、依然として企業のデータセンターを経由する接続経路を使用しており、遅延や非効率性を引き起こしている。
・従来型のVPNは、リモートワークを行う従業員に利用されています。
VPNは内部ネットワークセグメント全体へのアクセスを許可するため、リモートエンドポイントが新たな、より脆弱な境界となります。最初の接続後、ユーザーデバイスの状態を継続的に監視する機能はありません。
可視性とログ記録
ログは主にオンプレミス環境に保存され、その後ローカルのセキュリティ情報およびイベント管理（SIEM）ソリューションに転送されます。アプリケーションがAzureに移行すると、クラウドトラフィックとユーザー行動の可視性が断片化されます。
データセキュリティに関する懸念
製品設計ファイルを含む機密データは、今後SaaSおよびクラウド環境に保存されることになります。組織は、情報漏洩を防ぎ、コンプライアンスを徹底するために、データセキュリティ対策を講じる必要があります。
侵入セキュリティ
・第三者パートナーやサプライヤーはデータセンターやクラウドアプリケーションへのアクセスを必要とするため、アクセスポイントでリスクが生じる。
このシナリオにおいて、回復力を向上させ、運用コストを削減できるソリューションはどれでしょうか？