ゼロトラストサービス（SASE（Secure Access Service Edge）プラットフォーム）
社員がどこからでも安全に会社のシステムやネット環境にアクセスできるようにするサービスです。
従来使われていた重くて遅く、脆弱性リスクがある「VPN」に代わり、自宅やカフェからでも会社のシステムへ安全にアクセスできるようにします。さらに、危険なウェブサイトへの接続やデータの流出を自動で防ぐ機能もセットになっています。
社員は場所を選ばずに安心してパソコンを使え、企業はセキュリティ対策をひとつにまとめて簡単に管理できるのが大きな特徴です。
主な構成コンポーネント
- Cloudflare Access (ZTNA)
-
社内Webアプリやプライベートネットワーク、SaaS等への認証・アクセス制御
- Cloudflare Gateway (SWG)
-
Webフィルタリングやマルウェア対策を行うセキュアWebゲートウェイ
- Cloudflare WARP
-
端末からCloudflareネットワークへセキュアに接続するクライアントソフト
- Cloudflare CASB / DLP
-
クラウドアプリの設定不備検出およびデータ流出防止（情報漏洩対策）
- Cloudflare Area 1 Email Security
-
クラウドメールセキュリティ・フィッシング対策
サービス紹介
Cloudflare Access（ZTNA）：アクセス管理
社内アプリやツールに安全にログインできるようにする仕組みです。VPNを使わずに、ブラウザから普段のログイン方法(会社のメールアカウントなど)で認証するだけでアクセスできます。
ユーザーの所属部署や使っているデバイス、場所などの条件をもとに「このアプリはこの人だけ使える」といったルールを細かく設定できるのが特徴です。
これにより、パスワードだけに頼らない、より安全な社内システムへのアクセス管理が実現できます。
Cloudflare Gateway（SWG）：情報漏洩防止
社員がインターネットを使う際の通信を監視・制御し、危険なサイトへのアクセスや情報の持ち出しを防ぐサービスです。
情報漏洩防止(DLP)の機能では、社員がアップロードしようとするファイルやメールなどの中身をチェックし、マイナンバーやクレジットカード番号、社外秘のキーワードといった機密情報が含まれていないかを自動で検出します。
もし機密情報が外部に送信されそうな場合は、その通信をブロックしたり、管理者に警告を送ったりすることができます。これにより、社員が「うっかり」機密データを個人のクラウドストレージやSNSにアップロードしてしまうといったミスや、悪意ある情報の持ち出しを未然に防ぐことができます。
Cloudflare CASB：クラウドサービス監視
社員が使っているクラウドサービス(生成AIやGoogle Workspace、Microsoft 365、Salesforceなど)の利用状況を可視化し、セキュリティ上のリスクを見つけて対処する仕組みです。
主な機能
- IT部門が把握していないシャドーIT、シャドーAIの発見
- クラウドサービス側の設定ミスを自動でスキャン
- 危険な共有・権限（退職者アカウント）の検知
- 通常と違う場所からのログインや、大量のファイルダウンロードなど、不審なアクティビティの検知
つまり、CASBは、「会社が契約しているクラウドサービスが、正しく安全に使われているか」を継続的に見張る監視カメラのような役割を果たします。
Cloudflare DLP：データ消失防止
個人情報や機密情報の社外への送信・アップロードを検知・制御し、情報漏洩を防ぐセキュリティサービスです。
例えば次のようなことができます。
- マイナンバーやクレジットカード番号を含むファイルの送信をブロック
- 顧客情報を個人のクラウドストレージへアップロードできないように制御
- 機密資料を生成AIへ貼り付ける操作を制限
- 重要データの持ち出しを検知し、管理者へ通知
Cloudflare Magic WAN：拠点間通信サービス
Cloudflare WANは、本社・支店・データセンター・クラウドなど複数の拠点を、Cloudflareの世界規模の高速・安全なネットワークで接続するサービスです。専用回線や複雑なネットワーク構成を簡素化し、安定した通信とセキュリティを実現します。
Cloudflareのネットワークを利用してWANを構築することで、MPLS（専用線）からの置き換えを実現し、次のようなことができます。
- 本社・支店・工場・店舗を安全に接続
- AWSやAzure、Google Cloudなどのクラウド環境とも接続
- インターネット回線を活用して専用回線のコストを削減
- 通信経路を自動で最適化し、安定した通信を実現
- ネットワークとセキュリティを一元管理
セキュリティ10大脅威対策としてのDNSフィルタリング
多様化するセキュリティ脅威に対して、対策が有効です。
概要
- インターネット上のドメイン名（Webサイト名）を基に、アクセス先の安全性を判別する仕組み
- 危険」「不適切」「業務外」などを理由にブラックリストに登録されたWebサイトへの接続を制御
- マルウェア・フィッシング攻撃・不適切なウェブサイトへのアクセスをブロック
※DNS（Domain Name System ）：IPアドレスとドメイン名を対応させる仕組み
出典：DNSフィルタリング | セキュアなDNSサーバー | Cloudflare
Cloudflare DNSフィルタリングでできること
サイバー攻撃対策
⬛︎ マルウェア感染防止
- マルウェア＝悪意のあるソフトウェア。感染したデバイスから攻撃者のサーバー（C&Cサーバー）に接続してデータを送信
- DNSフィルタリングがC&Cサーバーのドメイン名をブロックすることで、マルウェアの活動を阻止
⬛︎ フィッシング詐欺対策
- フィッシング詐欺＝偽のウェブサイトからユーザーの個人情報（ID、パスワード、クレジットカード情報など）を盗み取ろうとする攻撃
- DNSフィルタリングが偽サイトのドメイン名をブロックすることで、ユーザーがアクセスするのを防ぐ
コンプライアンス強化
⬛︎ 業務上不適切なコンテンツのブロック
- ポルノ、暴力、ヘイトスピーチなどや外部SNSなど、不適切または有害なコンテンツを含むウェブサイトへの
アクセスをブロック - 就業規則の遵守、職場環境悪化防止に寄与
社外からのアクセス時は、WARP Clientへの接続によりDNSフィルタリングを実施。社内外・すべてのアクセスに対して統一したセキュリティポリシーを適応。
Cloudflare Email Security（ Cloudflare Area 1）
フィッシングメールやなりすましメール、マルウェア付きメールなどを受信前に検知・遮断するクラウド型メールセキュリティサービスです。メールを開く前に危険を防ぐことで、情報漏洩やランサムウェア感染などのリスクを低減します。
従来のメールセキュリティは、受信後に不審なメールを検知するものが多いですが、Area 1はメールが受信トレイに届く前に危険なメールをブロックできることが大きな特徴です。
次のようなことができます。
- フィッシングメールを受信前にブロック
- 経営者や取引先になりすましたメールを検知
- マルウェアやランサムウェアを含むメールを遮断
- 悪意のあるURLや添付ファイルを検査
- BEC（ビジネスメール詐欺）を防止
99.99%のフィッシング検出精度
他では回避されたり見逃されてしまう巧妙なフィッシング脅威（ビジネスメール詐欺（BEC）、マルチチャネル（メール、メッセージアプリ、コラボレーションツールなど）、リンクで誘導する攻撃）を、AIを活用した業界トップクラスの精度でブロックします。
メールだけにとどまらない保護
メールと他のコラボレーションアプリ（ソーシャルメディア、Slack、Teams、SMSなど）を組み合わせてユーザーを騙し、不正にアクセスしようとする標的型フィッシング攻撃から保護します。
柔軟な導入オプション
インライン方式やAPI経由、またはその両方で導入可能。配信前メール処理、リアルタイムリンク分析、配信後の取消機能を組み合わせて完全な保護を実現します。
導入事例：日本女子体育大学様
「クラウドフレア」のゼロトラスト・セキュリティサービスを2023年に導入し、シャドーITの把握や攻撃リスクの可視化、VPNを使わずにリモートワーク環境の安全性を確保するなど、さまざまな成果を上げた日本女子体育大学様
現在導入しているゼロトラスト・セキュリティサービスの機能名を具体的に挙げると、学内ネットワークに対するサイバー攻撃などの脅威を検出・ブロックする「ゲートウェイ（Gateway）」、VPNを使わずに安全なリモートワーク環境を実現する「アクセス（Access）」、学内からの情報漏えいを防ぐ「DLP（Data Loss Prevention）」、公式ホームページに対するサイバー攻撃をブロックする「WAF」などがあります。
なお、公式ホームページには表示スピード高速化の対策としてCDNも導入しています。
よくある質問
Q 外部からアクセスする際の認証プロバイダーには、どのようなサービスが対応していますか？
A Google、Google Workspace、Microsoft Entra ID（旧Azure AD）、LinkedInなど、普段利用している認証サービスに対応しています。また、SAML 2.0やOpenID Connect（OIDC）に対応した認証プロバイダーも利用できます。複数の認証プロバイダーを同時に利用することも可能です。
※対応する認証プロバイダーの詳細はこちら
Q Cloudflare Access（ZTNA）では、どのようなシステムへのアクセスを制御できますか？
A 社内Webアプリケーション、サーバー、プライベートネットワーク、SaaSなどへのアクセスを、ユーザーやグループ、認証方式などの条件に基づいて制御できます。VPNのようにネットワーク全体へ接続させるのではなく、必要なアプリケーションだけにアクセスを許可できます。
Q Cloudflare Accessでは、多要素認証（MFA）にも対応していますか？
A はい、対応しています。利用している認証プロバイダー側のMFAを利用できるほか、Cloudflare Access側で追加の認証要素を要求することもできます。Microsoft Entra IDやOkta、OIDCなどでは、IdP側のMFA方式を条件としてアクセス制御することも可能です。
Q Cloudflare Gateway（SWG）は、どのようなセキュリティ対策ができますか？
A インターネットアクセスをCloudflare経由にすることで、DNS・Web・ネットワーク通信などに対してセキュリティポリシーを適用できます。危険なWebサイトへのアクセス制御やマルウェア対策、カテゴリによるWebフィルタリングなどを実施できます。
Q Cloudflare WARPとは、どのようなサービスですか？
A WARPは、PCやスマートフォンなどの端末からCloudflareのネットワークへ安全に接続するためのクライアントソフトです。WARPを利用することで、社外にいる従業員のインターネット通信をCloudflare Gatewayなどのセキュリティサービスへ安全に転送し、場所に依存しないセキュリティポリシーを適用できます。リによるWebフィルタリングなどを実施できます。
Q Cloudflare CASBでは、どのようなクラウドサービスを管理できますか？
A Google Drive、Microsoft 365、OneDrive、SharePoint、Box、Dropboxなど、企業で利用されているSaaSやクラウドストレージの利用状況を可視化し、設定不備やセキュリティ上の問題を検出できます。SaaS上に保存されたファイルのセキュリティチェックにも対応しています。
Q Cloudflare DLPでは、どのような情報漏洩対策ができますか？
A クレジットカード番号、個人情報、認証情報など、あらかじめ定義した機密情報を検知し、通信やファイルのアップロード・ダウンロードを制御できます。また、標準の検知パターンだけでなく、正規表現（Regex）などを利用して企業独自のDLPルールを作成することも可能です。
Q Cloudflare CASBとDLPは、どのように使い分けますか？
A CASBは主に「クラウドサービスの利用状況や設定・セキュリティ状態を可視化・管理する」ための機能、DLPは「機密情報が外部へ流出することを防止する」ための機能です。例えば、CASBでSaaSの設定不備を検出し、DLPで機密情報を含むファイルのアップロードや共有を制御するといった組み合わせが可能です。
Q Cloudflare Area 1 Email Securityでは、どのようなメールを保護できますか？
A フィッシング、マルウェア、ビジネスメール詐欺（BEC）、なりすましメール、スパムなど、メールを起点としたさまざまな脅威を検知・防御できます。既存のメール環境（Microsoft 365やGmailなど）と連携して利用できます。現在はCloudflareのダッシュボードからEmail Securityを管理できます。Pで機密情報を含むファイルのアップロードや共有を制御するといった組み合わせが可能です。
Q Cloudflare Zero Trustは、VPNの代わりとして利用できますか？
A はい、VPNに代わるZTNA（Zero Trust Network Access）環境を構築できます。Cloudflare Accessを利用すると、ユーザーや端末、認証情報などに基づいて、必要な社内Webアプリケーションやネットワークへのアクセスだけを許可できます。さらに、Gateway、WARP、CASB、DLP、Email Securityなどを組み合わせることで、社内・社外を問わず統合的なセキュリティ対策を実現できます。