SASEとSSEとは？仕組み・違い・導入の考え方

企業のシステムがクラウドへ移行し、在宅勤務やSaaSの利用が広がるなか、従来の「社内ネットワークの内側を信頼する」セキュリティモデルを見直す必要があります。そのための代表的なアーキテクチャが SASE と SSE です。

まず押さえるべき関係は、SASE = SSE（セキュリティ機能）＋ SD-WANなどのネットワーク機能ということです。ただし、これは概念を理解するための簡略化であり、各製品の機能範囲や統合度は異なります。

SASEとは

SASE（Secure Access Service Edge） は、ネットワーク接続機能とセキュリティ機能を統合し、主にクラウドから提供するアーキテクチャです。日本語では一般に「サシー」または「サッシー」と呼ばれます。

従来は、支社やリモートワーカーの通信を本社・データセンターへ集約し、ファイアウォールなどで検査していました。SASEでは、利用者や拠点に近いクラウド上の接続拠点（PoP：Point of Presence）を経由してポリシーを適用し、インターネット、SaaS、社内アプリなどへ適切に接続します。

ネットワークとセキュリティの運用・ポリシーを統合しやすくする
場所に依存しない、一貫したアクセス制御を目指す
本社・データセンターへの不要な通信の迂回（バックホール）を減らす
SD-WANなどで拠点接続や通信経路を最適化する

ただし、すべての通信が必ず同じクラウド経由になるわけではありません。接続方法、障害時の経路、検査可能なプロトコルは製品と設計によります。

SSEとは

SSE（Security Service Edge） は、SASEのうちセキュリティ機能に重点を置いたクラウドサービスの考え方です。通常「エスエスイー」と読みます。

SSEは、インターネット・SaaS・プライベートアプリに対する利用者のアクセスを検査・制御します。SD-WANなどのWAN接続・経路制御そのものは、SSEの必須構成要素ではありません。

SSEを構成する主要機能

機能	正式名称	主な役割
SWG	Secure Web Gateway	Webへの通信を検査し、危険なサイトや不適切な通信を制御する
CASB	Cloud Access Security Broker	SaaSの利用状況・設定・データの扱いを可視化し、アクセスや情報持ち出しを制御する
ZTNA	Zero Trust Network Access	利用者・端末・状況を検証し、必要な社内アプリへの最小権限アクセスを提供する
FWaaS	Firewall as a Service	クラウド上でファイアウォール機能を提供する（製品により提供範囲が異なる）
DLP	Data Loss Prevention	機密情報の外部送信・共有・持ち出しを検出または制御する
RBI	Remote Browser Isolation	危険なWebコンテンツを分離環境で実行して端末への影響を抑える

SSEの代表的な中核機能はSWG・CASB・ZTNAです。実際の製品にはDLP、FWaaS、RBI、DNSセキュリティなどが組み込まれる場合があります。「SSEなら必ず全機能を備える」という意味ではありません。

SWG・CASB・ZTNAの使い分け

SWG：社員がWebサイトを閲覧するとき、フィッシングサイトへの接続をブロックする。
CASB：Microsoft 365などのSaaSに保存されたファイルの公開設定や、外部共有・アップロードを監視・制御する。API連携型とインライン型では可能な制御が異なる。
ZTNA：人事システムなどの社内アプリに、認証済みかつ許可された利用者だけを接続する。従来のVPNのように社内ネットワーク全体を見せる設計を避けやすい。

「ZTNA（ゼットティーエヌエー）」「CASB（キャスビー）」と読むのが一般的です。

SASEとSSEの違い

比較項目	SASE	SSE
主な目的	ネットワーク接続とセキュリティの統合	クラウド型セキュリティ制御の統合
対象	利用者、端末、拠点、WAN、クラウド、アプリ	主に利用者・端末からWeb、SaaS、プライベートアプリへのアクセス
SWG・CASB・ZTNA	含まれる	中核機能
SD-WAN	主要構成要素	原則として対象外
WANの経路制御	扱う	原則として扱わない
主な導入目的	拠点ネットワークも含めた全体最適化	Web・SaaS・リモートアクセスの保護
既存ネットワーク	WANの更改・統合を含むことがある	既存WANを維持して導入しやすい

SSEがSASEのセキュリティ部分を担うという整理ですが、SSEを導入しただけで拠点WANまで統合されたSASEになるわけではありません。一方、既存SD-WANと別ベンダーのSSEを連携させる構成も可能です。

従来のネットワークセキュリティとの違い

従来の構成例

支店／リモート利用者
       ↓ VPN・専用線
本社・データセンター
       ↓ ファイアウォール／プロキシ
インターネット・SaaS・社内システム

本社に通信が集中しやすく、クラウド利用が増えると遅延や帯域負荷、設備運用の負担が課題になり得ます。

SSE・SASEの構成例

利用者・端末 ───────┐
                    ├→ 近くのクラウドPoP → セキュリティ検査 → Web／SaaS／社内アプリ
支店 ─ SD-WAN等 ───┘
       （SASEではWAN接続・経路制御も統合）

PoPで検査した後に適切な宛先へ接続します。SASEでも、要件によってはプライベート回線やオンプレミスのセキュリティ機器を併用します。

ゼロトラストとの関係

ゼロトラストはセキュリティの原則・設計思想で、SASEやSSEはそれを実践するための技術的な構成要素になり得ます。両者は同義ではありません。

SSEやSASEを導入しても、ID管理、MFA、端末健全性確認、権限設計、ログ監視、データ分類などが不十分なら、ゼロトラストが完成したとはいえません。

導入時にどちらを選ぶか

主な課題	検討の出発点
SaaS利用を可視化したい、Webフィルタリングを統一したい	SSE（SWG・CASB）
リモートアクセスVPNを見直したい	SSE（ZTNA）
既存WANは当面維持したい	SSE先行
多拠点のWAN更新とセキュリティ統合を同時に進めたい	SASE
SD-WANをすでに導入している	既存SD-WANとSSEの連携を検証

段階的な導入例

現状調査：通信経路、SaaS、認証、端末管理、既存VPN、業務アプリを把握する。
SWGの導入：Webアクセスの可視化・URL制御・脅威対策から始める。
CASB・DLPの適用：SaaSの可視化、共有設定、機密データ保護を強化する。
ZTNAの導入：対象アプリから段階的にVPNアクセスを置き換える。
必要に応じてSASEへ拡張：拠点ネットワークのSD-WAN統合やFWaaSを検討する。

この順番は一例であり、導入期間の固定的な目安ではありません。また、既存UTMやVPNの撤去は必須ではありません。必要な通信が保護されること、障害時の代替手段、ログ取得、監査要件を確認してから廃止可否を判断します。

製品選定のチェックポイント

利用者・拠点・クラウドの所在地から見たPoPの接続品質と可用性
SWG/CASB/ZTNAの適用範囲、SaaS API連携、非管理端末への対応
TLS復号・検査対象、例外設定、プライバシー・法令上の配慮
IDプロバイダー、MFA、MDM/EDRとの連携
アプリ単位の認可とネットワーク単位のアクセス許可の違い
ログ保管地域、保存期間、SIEM連携、監査可能性
管理コンソール・ポリシー統合度、運用負荷、障害時の通信経路
契約ライセンス、帯域課金、オプション機能、運用を含めた総費用

まとめ

SSEはWeb・SaaS・社内アプリへのアクセスを安全にすることが中心、SASEはそこにWANを含むネットワーク機能を統合する考え方です。まず解決したい課題がセキュリティ制御なのか、拠点ネットワークも含めた再設計なのかを明確にすることが重要です。

代表的なベンダーと製品は、別記事「SASE・SSEの主要ベンダーと製品比較」で紹介します。