ワークプレイスの保護はモダンからゼロトラストへ、そして Microsoft Agent 365 へ
TL;DR
- モダン ワークプレイスの考え方からゼロトラスト ネットワーク アーキテクチャーが求められるようになった背景
- Microsoft が 2024 年に Global Secure Access (GSA) を発表
- AI agent にもゼロトラスト ネットワーク アーキテクチャーの考え方が適用される
はじめに
世の中が "ゼロトラスト" だの "ゼロトラスト ネットワーク アーキテクチャー" だの言い始めて久しいですが、以前から Microsoft は "モダン ワークプレイス" や "モダン マネジメント" という考え方を提唱してきました。
このモダン ワークプレイスな環境を利用することで、"どこからでも" "安全に" 仕事ができるようになる、環境は実現できていました。
しかし、昨今では Microsoft 製品以外にも様々な SaaS を利用するような環境へ様変わりし、今までの考え方では保護しきれないリソース・シナリオが増えてきました。
そこで、よく一般的に言われるゼロトラスト ネットワーク アーキテクチャーについても、Microsoft が 2024 年に発表した Global Secure Access (GSA) を利用することでそれを実現できるようになりました。
さらにこの考え方は AI agent にも適用でき、Microsoft Agent 365 として発表された概念の中にも取り入れられています。
リモートワークを実現するために必要なものは何か
「みんながゼロトラストいう前から、Microsoft ってリモートワークとか全然できてたよな」という疑問を思い浮かべてふと気づいたのですが、ゼロトラストで実現される・実現したい環境の大きなポイントがリモートワークだったと思うんですよね。
ここら辺をふんわりとした理解で進めていくと、お客様との会話の中でもボタンの掛け違いが発生する可能性があるので、改めて整理しておきます。
- モダン ワークプレイス、モダン マネジメント
- Microsoft Defender for Endpoint による端末の保護、Intune によるデバイス管理、Microsoft Entra の Conditional Access (条件付きアクセス) によるアクセス保護の組み合わせ
- 組織が定義したポリシーにより端末が保護されており、その条件を満たした端末からのみ社内リソースへとアクセス可能とすることで、データを保護できる、という考え方
- 接続元の場所 (IP アドレス) に依存せず、強力な ID 認証とデバイス管理を組み合わせることで、"どこからでも" "安全に" 仕事ができる環境を実現
- ゼロトラストネットワークアーキテクチャー
- (個人的な肌感覚としては) 特に Zero Trust Network Access (ZTNA) は "VPN の廃止" のようなキーワードで語られることが多い
- 上記のとおり、リモートワークを安全・安心に、ということであればモダン ワークプレイスの考え方である程度実現
- 昨今の、SaaS を含むアクセス先に対する保護の粒度をより高めるため、Secure Web Gateway (SWG) や Cloud Access Security Broker (CASB)、Data Loss Prevention (DLP) の組み合わせなどが必要となっているのがより正しい認識
んで、Microsoft 365 E3 や E5 の中では、モダン ワークプレイスといった考え方はすでに実現できていました。
ただ、ゼロトラスト ネットワーク アーキテクチャーの考え方を実現するためには、SWG (CASB とは制御の粒度が異なる) や ZTNA の仕組みが必要となり、GSA が提供されるようになったのだと考えています。
Internet Access と Private Access
次の説明のために、Microsoft Entra Internet Access について簡単に説明しておきます。
GSA では Microsoft Entra Internet Access (MEIA) と Microsoft Entra Private Access (MEPA) という 2 つの主要な機能があります。
MEIA は、いわゆる SWG の機能を提供し、例えば Web フィルタリングやマルウェア対策、DLP などの機能を提供します。
MEPA は、いわゆる ZTNA の機能を提供し、以前から Microsoft Entra Application Proxy として提供されてきた、オンプレミス環境のリソースへのアクセスを保護する機能を拡張したものです。
ライセンス観点での整理
さて、ちょっと見えないかなと思いますが、ライセンスとそれぞれに紐づく製品群ということで整理しておきます。
以下の図は有名な Home | M365 Maps より引用しています。
まずは Microsoft 365 E3 の場合は以下のような製品・機能が含まれています。
んで、ここに Microsoft Entra Suite を追加する形なので、やや不格好ですがこんな感じです。
また、全く見えないと思うので、今回関係している製品を吹き出しで示しています。
AI agent にもゼロトラストは求められる
ちょっと話は飛ぶのですが、AI agent に囲まれた仕事環境、みなさまはどれほど想像できていますでしょうか。
先日の Microsoft Ignite 2025 で発表された内容から妄想していくと、例えば AI agent に対して Teams でチャットしたり、Outlook でメールを送り、それをきっかけに AI agent が自律的に仕事を進めてくれるような未来が見えてきます。
ほかにも、AI agent 自体が他の AI agent と自律的に協調し、仕事を進めてくれるような未来も見えてきます。
そう考えると、まるで AI agent が私たち人間のユーザーと同じように仕事を進めてくれるようで、すなわち前節で述べたような保護が、AI agent に対しても必要になるのではないか、という考えに至ります。
実際、Microsoft Agent 365 に関する動画の中でも "Microsoft Agent 365 ライセンス" という言い方をしているものがあり、人間のユーザーに Microsoft 365 E3 ライセンスを付与するのと同様、AI agent に対しても Microsoft Agent 365 ライセンスを付与する、という考え方があるように思います。
AI agent が Word / Excel / PowerPoint / Outlook / Teams などの Microsoft 365 のアプリケーションを利用する際に、Microsoft Entra の Conditional Access (条件付きアクセス) によるアクセス保護が適用される、ということも想像できます。
また、AI agent が自律的に Web 検索をして情報を集めてくる、となるとやはり GSA の Microsoft Entra Internet Access のような仕組みでインターネットへのトラフィックの保護が必要になるのも理解できます。
ただ、朗報としては、AI agent 自体は物理的なデバイスを持たないため、モダン ワークプレイスの考え方における MDE と Intune の部分は不要となるかなと考えています。
Microsoft 製品群にある程度知識を持っている方向けに、ざっくりとしたイメージですが、Microsoft Agent 365 = Microsoft 365 E3/E5 + Microsoft Entra Suite (Internet Access だけでも) - Intune - MDE (デバイスを持っていないので) のようなイメージがなんとなく腑に落ちます。
ということで、とってもおおざっぱではありますが、以下のように Intune と MDE のところがない、というのが AI agent のための Microsoft 365 というイメージになるのかなと考えています。
まとめ
ということで、モダン ワークプレイスの考え方からゼロトラスト ネットワーク アーキテクチャーの考え方へと進化し、さらに AI agent にもその考え方が適用されるようになってきた、という話を書いてみました。
Microsoft Agent 365 の資料の中でも、Microsoft Entra が連携するサービスとして紹介されていることは多いですが、重要なのは条件付きアクセスと GSA (の中の Microsoft Entra Internet Access) です。
GSA はまだまだ新しいサービスであり、広く伝えていく必要があるかなと思いますが、そのためのきっかけの一つとして Microsoft Agent 365、それに利用されていくんだよ、ということで誤認識いただけると嬉しいです。
参考
- Global Secure Access とは - Global Secure Access | Microsoft Learn
- Microsoft Security Service Edge が一般提供 (GA) されました | Japan Azure Identity Support Blog
- Microsoft Entra Internet Access: Security Service Edge を ID とアクセス管理で統合する
Discussion