多くの企業はファイアウォール・ソリューションを「導入したら終わり」と考えています。ファイアウォールの導入が完了すると、そのソリューションが実際にシステムを適切に保護しているかどうかを確認することなく、「もう大丈夫」と思い込んでしまうのです。
ファイアウォールが常にサイバーリスクからビジネスを守ってくれると思い込むのではなく、ファイアウォールについてより深い質問をし始める必要があります。ビジネスのほとんどの分野と同様に、組織がセキュリティのために依存している各ソリューションを批判的に検討することが重要です。そこで、ファイアウォール・セキュリティについて、尋ねるべき質問をいくつか取り上げ、ネットワーク防御態勢についてより正確な見解を示してみましょう。
1 - 導入する側はファイアウォールの基礎知識を持っているか？
ファイアウォールを適切に利活用するためには、ファイアウォールがどのように動作するかについて、少なくとも基本的な知識を持つ必要があります。特に、ファイアウォールにできること、できないことを理解することが重要です。例えば、次世代ファイアウォール・ソリューションは、パケットを深く検査するように作られています。つまり、システムに出入りする個々の情報を調べる、いわばシステムの「門番」のようなものです。この機能は優れていますが、ペイロードのデータを実際に見ることができる場合にのみ有効です。これは、「すべてを暗号化する」時代において、ますます困難になってきています。
2 - セキュリティチームは、「相手側」を理解することに時間を割いているか？
悪意のある攻撃の相手は誰なのか？ネットワークを被害から守る方法を理解するためには、何を、誰から守るのかを理解する必要があります。サイバー攻撃を取り巻く環境はここ数年で劇的に変化し、悪意ある攻撃者のスキルも加速しています。テクノロジーの進化に伴い、より効率的で危険なサイバー犯罪者が出現しています。
2020年代のハッカーは、これまで以上に強力なツールを、文字通り指先ひとつで使えるようになっています。彼らは知的な人々であり、入手にほとんどコストのかからないツールを駆使しています。例えば、クレデンシャル・スタッフィング攻撃（あるサイトからユーザー名とパスワードを取得し、他のサイトでそれを試して追加のクレデンシャルにアクセスする）は、
OpenBulletという無料のオープンソースツールを活用します。
セキュリティ・チームは、既存のファイアウォール・ソリューションを検討する際に、これらのことをすべて考慮する必要があります。また、ほとんどの次世代ファイアウォール・ソリューションは、これらの強力なハッキング・ツールの多くよりも10〜20年前に開発され、過去20年間はほとんど進化していないという事実も考慮する必要があります。
3 - 次世代ファイアウォール・ソリューションは、本当にすべてのデータを暗号化および複合できるのか？
ファイアウォールが登場した20年前とは異なり、システムを出入りするほとんどすべてのデータ・パケットは暗号化されています。つまり、ディープ・パケット・インスペクションを機能させるためには、ファイアウォールがデータを複合し、悪意のある活動の兆候を示す内容を調べ、多くの場合、現代のコンプライアンス基準に準拠するように再暗号化する必要があるのです。
この作業には膨大な処理能力と時間がかかるため、ファイアウォール・ソリューションには暗号化および複合の機能だけでなく、これらの作業をサポートするための帯域幅も必要です。さらに悪いことに、世界的なプライバシー保護への要求から、最新の暗号化技術により、データの復号がますます困難になってきています。
4 - ブロック可能なIPアドレスの上限は？
これまで説明してきたように、暗号化されたデータの世界では、ディープパケットインスペクションに時間がかかるため、今日の速いネットワーク環境では障害となる可能性があります。このため、ファイアウォールでは、複合が間に合わず、悪意のあるペイロードを含むパケットが隙間から入り込んでしまった場合に備えて、ディープパケットインスペクションを補完する方法を備えておく必要があります。
ファイアウォールに気づかれずに通過するものがないことを保証する最善の方法は？それは、IPアドレス・フィルタリングを導入することです。すべてのトラフィックは一意のIPアドレスで識別されるため、悪意のある既知の場所から来る（またはそこへ向かう）パケットをキャッチし、その内容をチェックせずにブロックします。
しかし、IPアドレスフィルタリングにはザンネンな現実があります。有名なファイアウォールセキュリティベンダーの多くは、自社のソリューションが認識・ブロックできるIPアドレスはせいぜい10万～100万程度であることを挙げています。現在、世界には数百万（あるいは数十億）もの既知の悪質なIPが流通しており、全く足りません(笑)。
5 - ファイアウォール以外のセキュリティ対策の重要性も認識できているか？
ファイアウォール・ソリューションは強力ですが、組織内の人間の力によってのみ、その強度が決まります。セキュリティ・チームがどんなに警戒を怠らず、高度な取り組みを行っていても、一人の従業員がフィッシング・メールのリンクをクリックしてしまえば、その努力は無駄になりかねません。
ファイアウォールなどのセキュリティ・ソリューションと同時に、サイバーセキュリティの意識向上トレーニングも検討することが重要です。従業員がフィッシング詐欺を回避し、安全なパスワードを作成（およびローテーション）できるようになれば、セキュリティ・プログラム全体に積極的に貢献し、購入したソリューションの効果をより一層高めることができます。ITチームが、ビジネス・ソフトウェアのエコシステム全体に最新のセキュリティ・パッチを適時にインストールすることを徹底すれば、セキュリティ態勢は大幅に改善されます。
