社内システムを外部公開する計画のセキュリティ設計: Azure化 vs ゲートウェイ公開の比較

社内利用限定のシステムに、取引先など社外から入力できる画面を追加したい、という要望は珍しくありません。しかし社内システムをそのまま外部公開するのはリスクが大きく、設計の選択肢を整理してから進める必要があります。

選択肢1: 既存ファイアウォールでの限定公開(VIP公開)

既存のファイアウォール機能(仮想IP公開等)を使って該当のURLパスだけを外部公開する方法です。実装コストは低い一方、社内ネットワークの一部を直接インターネットに晒すことになるため、脆弱性が見つかった場合の影響範囲が広くなりがちです。

選択肢2: クラウド(Azure等)への切り出し

外部公開が必要な機能だけをクラウド上の仮想マシン・マネージドDBに切り出し、社内システムとはVPN経由で必要なデータだけを連携させる設計です。社内ネットワークを直接公開しないため影響範囲を限定でき、外部向けの認証(B2B認証等)もクラウド側の機能で完結できます。反面、クラウド環境のOS運用(パッチ適用、セキュリティ監視)を誰が担うかという新たな役割分担が必要になります。

選択肢3: 汎用フォームサービスでの簡易対応

本番システムとの連携を諦め、汎用のフォームサービスで外部からの入力だけを受け付け、内容の整合性確認は担当者が目視で行う、という割り切った方法もあります。実装コストは最小ですが、リアルタイム連携や自動化は犠牲になります。

選択で押さえるべき判断基準

- 外部入力データにリアルタイム性が必要か、数日程度のラグが許容できるか

- クラウド環境のOS運用を自社で持てるか、放置されるリスクがないか(過去に運用が止まったサーバーがあった場合は特に要注意)

- 開発・改修をベンダーに任せる場合でも、ネットワーク設計だけは自社でコントロールしたいか

まとめ

社内システムの外部公開は「公開するかしないか」の二択ではなく、影響範囲をどこまで限定できるかで設計が変わります。特に過去に運用が放置された経験がある組織では、外部公開する部分のOS運用オーナーシップを最初に明確にしておくことが重要です。