ニュースの概要
Ciscoは、クラウドで提供するSSE（安全な通信経路をまとめて守る仕組み）であるCisco Secure Accessと、業務利用に特化したIsland Enterprise Browserを組み合わせる方針を示しました。狙いは、社内外のネットワークを区切るだけでなく、従業員がブラウザでSaaSや社内アプリを使う瞬間から安全性を確認することです。利用者、端末、アプリ、操作内容の状態に応じて許可を見直せるため、在宅勤務や個人端末の利用が広がった環境でも、アクセス経路を一貫して管理しやすくなります。
引用元: Cisco Secure Access と Island Enterprise Browser を統合し、ゼロトラストを強化（Cisco）
分析・見解
ブラウザが新しい業務境界になった理由
企業の業務は、社内ネットワークからSaaSへ急速に移りました。メール、顧客管理、経費精算、開発環境までブラウザで使うため、端末に専用ソフトを入れるだけでは利用状況を把握しにくくなっています。特に、同じ端末から業務用のクラウドと私用のサービスへアクセスできる点は、情報持ち出しの見落としにつながります。
この変化は、従来の「社内に入れれば比較的安全」という考え方を崩しました。ブラウザは単なる表示画面ではなく、認証情報、ファイル、コピー操作、印刷、拡張機能が集まる実務の接点です。ここを管理対象にできるかどうかが、ゼロトラストの実効性を左右します。
Secure Accessと企業ブラウザの役割分担
Cisco Secure Accessは、利用者とアプリの間に置くクラウド型の保護基盤です。通信先や認証状態を確認し、必要な条件を満たす場合だけ接続させます。一方、Island Enterprise Browserは、ブラウザ内での操作やデータの扱いを企業の規則に合わせて制御する役割を担います。前者が「どこへ接続させるか」を見て、後者が「接続後に何をさせるか」を細かく管理する構図です。
この組み合わせの価値は、ネットワークの監視と操作の制御を別々の製品で終わらせない点にあります。例えば、通常の端末からは閲覧を許可し、危険度が上がった端末ではダウンロードを止める、といった段階的な対応が可能になります。全員の作業を一律に制限するより、業務を止めずにリスクを下げやすい設計です。
導入効果を左右するのは認証後の継続判定
ゼロトラストで重要なのは、最初のログインに成功した後も判断を続けることです。端末の更新が止まった、認証情報が不自然な場所で使われた、短時間に大量のファイルへアクセスした。こうした変化を検知した時点で、再認証や閲覧専用への変更を行えるかが実務上の分かれ目になります。
ただし、判定項目を増やせば安全になるとは限りません。条件が複雑すぎると、正当な利用者が頻繁に遮断され、現場が抜け道を探します。部署、職種、扱う情報の重要度ごとに基準を分け、まずは高リスクの操作だけを制限する方が定着しやすいでしょう。成功指標も、導入製品の数ではなく、危険なダウンロードの削減や異常発見までの時間で測るべきです。
次の競争軸は製品連携より運用データの質
今後は、企業ブラウザと通信保護をつなぐだけでなく、端末管理、本人確認、データ分類、監査記録を一つの判断材料にできるかが問われます。異なる製品の警告を並べるだけでは、担当者の確認作業が増えるからです。誰が、どの端末で、どの情報を、どんな操作で扱ったかを時系列で追えることが重要になります。
また、生成AIの利用が広がるほど、ブラウザ上での入力内容をどう扱うかも焦点になります。社外AIへの貼り付けを禁止するだけでなく、機密情報を検出した場合に警告を出す、承認済みのサービスだけへ送るなど、仕事を止めない段階的な制御が求められます。CiscoとIslandの統合は、ゼロトラストをネットワーク製品の導入から、日々のブラウザ操作を設計する取り組みへ広げる一歩と見るべきです。
ビジネスへの影響
先に洗い出すべきは利用者ではなく業務の流れ
導入を検討する企業は、全社員を一度に新しいブラウザへ移す前に、重要業務の経路を整理する必要があります。顧客情報を扱う部門、外部委託先、在宅勤務者、私有端末の利用者を分け、どのSaaSで閲覧、コピー、保存、共有が発生しているかを確認します。特に、ファイルのダウンロードと個人向けクラウドへのアップロードは、最初の制御対象にしやすい領域です。
評価では、通信を通せるかだけでなく、端末の状態が悪化した時に権限を下げられるかを確認します。認証、端末確認、操作制限、記録、管理者への通知が一つの流れで動くかが重要です。実際の業務を使った試験を行い、遮断による生産性低下も測定してください。
費用対効果は事故防止と現場負担で判断する
企業ブラウザの導入費用だけを比べると、既存の端末管理や通信監視との重複が見えにくくなります。逆に、情報漏えい時の調査、取引先への説明、アカウント停止、復旧にかかる時間まで含めれば、アクセス経路を統一する効果を評価できます。重要なのは、すべての操作を監視することではなく、高価値の情報に対する危険な操作を減らすことです。
現場には、制限の理由と例外申請の手順を明確に伝える必要があります。厳しい規則だけを先に配ると、利用者は別のブラウザや私用サービスへ移り、管理の外へ出てしまいます。業務別の初期設定を用意し、数週間の試行で誤検知と問い合わせを減らしてから対象を広げる進め方が現実的です。
管理部門をまたぐ責任分担を決めておく
この仕組みは、情報システム部門だけで完結しません。人事や法務は利用者区分と監査要件を定め、現場部門は業務上必要な例外を説明し、情報セキュリティ部門は危険度の基準を管理します。誰が遮断を解除できるのか、ログを何年間保管するのか、外部委託先へどう適用するのかを導入前に決めておくべきです。
将来的には、働く場所や端末の種類ではなく、業務上の必要性と情報の重要度でアクセスを判断する企業が優位になります。CiscoとIslandの連携を単なる製品追加として扱わず、ブラウザを通じた仕事の流れを安全に作り直す機会と捉えることが、投資効果を高めます。