FortiGate 1200G発表：クラウド制御を維持しつつオンプレミスSASEを実現

規制対象データをベンダー運営のクラウドPOP経由でルーティングできないために、クラウドSASEへの移行を先送りしていたエンタープライズのセキュリティ担当者に、具体的な選択肢が提示された。米サイバーセキュリティ企業フォーティネット（Fortinet）7月28日、FortiGate 1200Gシリーズと「FortiSASE Outpost」機能を発表した。これにより、組織は自社で所有・管理するハードウェア上で、クラウド管理のSASEポリシー適用を実行できるようになる。製品は2026年第3四半期に出荷される見込みだが、価格は未定であり、性能数値はベンダーの主張に基づく未検証のものである。

■規制産業向けの新たな選択肢

この発表は、医療、金融サービス、政府請負業者、重要インフラ事業者など、規制産業に属する特定のエンタープライズバイヤーにとって重要な意味を持つ。これらの組織は、SASEが提供するゼロトラストアクセス制御と集中的な可視性を必要としているが、すべてのトラフィックをベンダー運営のクラウドPOP（Point of Presence）に送信することは、法的または実務的に不可能である。

これまで、こうした組織は構造的な二者択一を迫られてきた。クラウドSASEのコンプライアンスリスクを受け入れるか、オンプレミスのファイアウォールスタックを維持してポリシー管理の分断を許容するかである。FortiSASE Outpostは、この二元論に対するFortinetの回答であり、クラウドによる集中管理を手放すことなく、データ主権とハイブリッド展開を提供する。

■FortiGate 1200Gの仕様と性能

Network Worldが報じたように、1200GはFortinetの既存のキャンパスおよびブランチ向けファイアウォール「400G」と、データセンター向けプラットフォーム「3500G」の間に位置する新しいミッドティアアプライアンスである。Fortinetが公開した公式仕様表によると、ファイアウォールスループットは397Gbps、IPSec VPNスループットは102Gbps、IPSやアプリケーション制御、マルウェア対策、ロギングをすべて同時に有効にした場合の脅威保護スループットは40Gbpsに達し、4,000万の同時セッションと毎秒100万の新規接続をサポートするという。ただし、これらの性能仕様は第三者機関による独立した検証をまだ受けていない。

このアプライアンスは10G、25G、100Gインターフェースで接続し、AI駆動のワークロードが生み出す大量の暗号化トラフィックを処理するように設計されている。従来のファイアウォールプラットフォームは、暗号化されていると検査前にすべてのパケットを計算集約型の復号プロセスに通す必要があるため、フルスピードでの検査に苦戦する傾向がある。

なお、Fortinetのプレスリリースでは、競合製品（Palo Alto Networks PA-5410、Cisco Firepower 4115、Check Point Quantum 9800、Juniper SRX 2300の平均）と比較して4.5倍のファイアウォールスループットの優位性があると主張しているが、これは公開されている競合のデータシートからFortinetが独自に計算したものである。同社自身の脚注にも「ベンダーによってテスト手法やパフォーマンス指標に違いが存在する可能性がある」と記されている。1200Gはまだ出荷されておらず、独立した第三者によるテスト結果は存在しない。購入者は、第三者によって確認されるまで、これらの数値をベンダー提供の主張として扱うべきである。

■FortiASICエンジンによるハードウェアオフロード

1200Gのパフォーマンスに関する主張に信憑性を持たせているのは、その基盤となるFortiASICシリコンの存在である。その理由を理解するには、従来のファイアウォール処理の仕組みと、専用シリコンがどのようにその前提を変えるのかについて少し触れる必要がある。

ソフトウェアベースのファイアウォールは、すべてのパケットを汎用CPU経由でルーティングする。セッションが確立されると、CPUは各パケットを順番に処理し、暗号化されていれば復号し、セキュリティポリシーと照合して検査し、再暗号化して転送しなければならない。多数の暗号化セッションが同時に進行するフル検査の負荷下では、このプロセスがボトルネックとなり、スループットの低下、遅延の増加、デバイスが処理できる同時接続数の制限を引き起こす。

Fortinetがプレスリリースで説明しているように、FortiASICアーキテクチャはハードウェアオフロードによってこの問題を解決する。NP7（Network Processor 7）は、最初のパケットがCPUによって評価された後、インターフェースレベルでセッションを傍受する。NP7がそのセッションに必要なセキュリティ機能を処理できる場合、CPUは後続のパケットをNP7に委譲する。これをFortinetは「ファストパス」と呼んでいる。CPUがそのセッションに戻るのは終了時のみである。一方、CP9（Content Processor 9）は、SSL/TLSの復号と再暗号化、ディープパケットインスペクション（DPI）、マルウェアスキャンなど、本来ならセッション処理とCPUサイクルを奪い合うような計算集約型のタスクを処理する。その結果、ASICがデータプレーンの作業を処理する間、CPUはコントロール機能に専念できるようになる。

これが、FortiSASE OutpostをオンプレミスのSASE POPとしてアーキテクチャ上実行可能にするメカニズムである。クラウドベースのSASEは、ベンダーが運営するクラウドインフラ上の仮想化ソフトウェアでセキュリティ検査を実行する。顧客がFortiGate 1200GをFortiSASE Outpostとして構成すると、ゼロトラストポリシーの適用、アクセス制御、脅威検出といった同じセキュリティ検査が、クラウドの仮想マシン（VM）ではなく、顧客施設内のFortiASICハードウェア上で実行される。Fortinetは、これにより、顧客のオンプレミス環境でソフトウェアによる完全なSASE検査を実行した場合に生じるパフォーマンスのボトルネックを解消できると主張している。

■FortiSASE Outpostがもたらす変化とユースケース

WikipediaのSASEエントリによれば、2019年にSASEという用語を作ったGartnerのアナリスト、Neil MacDonald氏とJoe Skorupa氏は、SASEをWANとセキュリティ制御を「クラウドコンピューティングサービスとして」提供する技術と定義しており、オンプレミスの機能ではないとしている。その本来の定義に従えば、SASEは設計上クラウドアーキテクチャである。顧客のハードウェア上でセキュリティ適用を実行することはSASEではなく、次世代ファイアウォールである。

FortiSASE Outpostは、これら2つのカテゴリーの間に位置する、純粋に新しいアーキテクチャ空間を占めている。ポリシーの適用（エンフォースメント）はオンプレミスで行われるが、ポリシー、構成、監視、ライフサイクル管理、アップグレードはFortiSASEのクラウド管理プレーンで行われる。Fortinetのプレスリリースが確認しているように、ゼロトラストポリシー、可視性、アクセス制御の設定はFortiSASEのインターフェースで一度定義され、Fortinetが運営するクラウドPOPと顧客のオンプレミスOutpostの両方にプッシュされる。管理者の視点からは、Outpostは別のシステムではなく、同じSASEファブリック内の別のノードとなる。

このアーキテクチャが維持するものは、統合されたポリシー管理、一貫したゼロトラストの適用、およびすべての展開場所にわたる集中的な可視性である。一方で手放すものは、クラウドSASEの最大の経済的メリットである「ハードウェアを一切所有・管理しないこと」である。FortiSASE Outpostでは、組織はFortiGate 1200Gアプライアンス（価格未公開）を購入し、ラックに設置して電源を供給し、ファームウェアの更新を管理し、物理ハードウェアを保守する必要がある。これらは、クラウド専用SASEであればユーザーごとのサブスクリプションに置き換えられるコストである。公式仕様表によれば、エネルギー効率の主張（ファイアウォールスループット1Gbpsあたり1.9ワット、Fortinetが計算した競合平均は10.5 W/Gbps）により、オンプレミスアプライアンスとクラウドインフラの消費電力の差は縮まるものの、なくなるわけではない。

FortiSASE Outpostを導入する最大の理由は、以下の3つの特定の条件のいずれか（または複数）に該当する組織である。1つ目は、定義された管轄外のクラウドPOPへのトラフィック送信を禁じるデータレジデンシー規制がある場合。2つ目は、近くにFortinetのクラウドPOPがない地理的地域にユーザーが集中しており、クラウドルーティングが意味のある遅延をもたらす場合。3つ目は、同一施設内のサーバー間で東西トラフィックを生成する大量のAIエージェントワークロードがあり、クラウドPOPを経由して戻すルーティングが無駄で遅延を引き起こす場合である。Fortinetのプレスリリースは、これら3つすべてを明示的なユースケースとして特定している。

■FortiOS 8.0によるプラットフォーム統合

ファイアウォールとSASE Outpostの機能はどちらも、Fortinetが1200Gの発表と同時にリリースしたFortiOS 8.0上で動作する。Network Worldが確認したところによると、FortiOS 8.0はAI支援によるセキュリティ運用、Security Fabric統合の強化、およびOutpost機能を含むFortiSASE関連機能を導入している。

この共有オペレーティングシステムは、ファイアウォールとSASEを別々の製品として提供し、統合によってつなぎ合わせている競合他社に対してFortinetが展開するアーキテクチャ上の主張である。FortiGateとFortiSASEが同じOSを実行する場合、別々のシステム間でAPI変換を行うことなく、ポリシーエンジン、脅威インテリジェンス、セキュリティコンテキスト、ゼロトラストの決定を共有できる。Fortinetの脅威インテリジェンスサブスクリプションであるFortiGuard AI-Powered Security Servicesは、クラウド提供型とオンプレミス型の両方のエンフォースメントに同時にアップデートを提供する。

今回の発表に関与したアナリストたちは、ポイントソリューションによって断片化しつつある市場において、この共有プラットフォームアプローチが重要な差別化要因になると位置づけた。

IDCのリサーチマネージャーであるPete Finalle氏は、「コンバージドSASEとファイアウォールのプラットフォームは、動的でAIによって加速されるネットワークアーキテクチャがどこにあっても柔軟に対応できる。来年の技術的負債の一部になることはない」と述べた。「明日の環境にどれだけ効果的に適応できるかではなく、今日の環境にどれだけ適合するかだけでプラットフォームを判断するバイヤーは、すでに遅れをとっている」

LoneStar Advisory and ResearchのチーフアナリストであるWill Townsend氏は、Fortinetのプレスリリースにおいて、オンプレミスファイアウォールとクラウドSASEの融合が新しい市場カテゴリーを定義していると特徴づけた。「組織は、クラウド提供型セキュリティのスケーラビリティと、オンプレミスエンフォースメントのパフォーマンス、制御、または主権のどちらかを選択する必要はないはずだ」とTownsend氏は述べている。

■競合状況とセキュリティ上の留意点

Network Worldが指摘したように、1200GはPalo Alto Networks、Cisco、Check Point、HPE/Juniperのエンタープライズ向けミッドレンジファイアウォールが占めるセグメントに参入する。独立した分析によれば、Fortinetは世界で出荷されたユニット数で最大のNGFW（次世代ファイアウォール）ベンダーであり、価格性能比と内蔵SD-WANを競争上の差別化要因としている。一方、Palo Alto NetworksはAI駆動のセキュリティ分析とマルチクラウド環境全体での一貫したポリシー適用でリードしている。

コンバージドSASE分野におけるFortinetの競合状況は特に注目に値する。なぜなら、Palo AltoもStrataアプライアンスとPrisma Accessクラウド管理を通じて独自のオンプレミスエンフォースメントオプションを提供しており、同様のアーキテクチャパターンを持っているからだ。CiscoのSASE戦略は、SD-WANとセキュリティサービスエッジ（SSE）機能で別々の管理ワークフローを必要とすると特徴づけられており、2026年の独立した分析では、これが統合プラットフォームを評価するバイヤーにとってのアーキテクチャ上の考慮事項として位置づけられている。

エンタープライズのバイヤーは、Fortinetの過去のセキュリティ実績も考慮すべきである。FortiGateアプライアンスは、認証情報侵害キャンペーンの執拗な標的となってきた。2026年6月に開示されたFortiBleedキャンペーンでは、194カ国にわたる86,644台のインターネット向けFortiGateファイアウォールの検証済み認証情報が暴露され、SOCRadarは開示時点でそのうち30,791件以上が有効に機能していたと確認した。2026年1月のFortiCloud SSO認証バイパス（CVE-2026-24858、CVSS 9.4）は、CISAの「悪用が確認された脆弱性（KEV）」カタログに追加された。1200Gを実行するプラットフォームであるFortiOS 8.0は、まだ独立したセキュリティ監査を受けていない。以前のFortiOSバージョンで新しい脆弱性が表面化し続けていることを考慮すると、バイヤーは積極的なパッチ管理を計画し、デバイスが出荷された際にはクラウド管理プレーンの露出を評価すべきである。

■独自のチップロードマップと今後の展開

1200GのFortiASICのストーリーに背景を加えると、Fortinetは2026年7月21日、次世代セキュリティプロセッサ「SP6」の製造を、アイルランドのリークスリップにあるIntel FoundryのFab 34（Intel 4製造プロセス）に委託したと発表した。SP6は、Fortinetの将来のFortiGate製品ラインに搭載される予定である。1200Gの購入者にとって、これは評価中のプラットフォームがFortinet独自のチッププログラムによって設計・製造されたFortiASICシリコンを実行していること、そしてそのプログラムには現在、名前の挙がった製造パートナーと次世代ASICまでのロードマップが存在することを意味する。

Fortinetによると、FortiGate 1200Gシリーズは2026年第3四半期に提供開始される予定である。価格は公開されていない。1200GでFortiSASE Outpost機能を実行する必要がある組織は、FortiOS 8.0と有効なFortiSASEサブスクリプションを必要とするが、その詳細はFortinetからまだ公開されていない。

FortiGate 1200GのFortiSASE Outpostアーキテクチャは、Ron Wyden上院議員がCISA、OMB、NISTに対し、連邦機関が2年以内にレガシーVPNインフラをゼロトラストアーキテクチャに置き換えるよう要求する書簡を送ったのと同じ週に登場した。この政策推進が採用されれば、SASEの採用と、まさにFortinetが構築しているようなハイブリッドエンフォースメントモデルへの需要が加速することになるだろう。

■注目ポイントQ&A

●FortiSASE Outpostとは何ですか。通常のFortiGateファイアウォールとどう違うのですか。

FortiSASE OutpostはFortiOS 8.0で導入された構成モードで、FortiGateアプライアンス（この場合は1200G）をローカルのSASE POP（Point of Presence）に変えるものです。従来のFortiGateファイアウォールは、オンプレミスまたはFortiManagerを通じて定義・管理されるポリシーを適用します。一方、FortiSASE Outpostは、FortiSASEのクラウド管理プレーンを通じて定義、管理、更新されるポリシーを適用します。これは、Fortinet自身のクラウドPOPでクラウド提供型のSASEエンフォースメントを管理するために使用されるのと同じインターフェースです。その結果、ネットワーク管理者がポリシーを一度構成すれば、クラウドルーティングされたトラフィックとオンプレミスで適用されるトラフィックの両方に同一に適用される、単一管理プレーンアーキテクチャが実現します。

●FortiSASE Outpostを使用すれば、クラウドSASEを完全にスキップしてすべてをオンプレミスで実行できますか。

いいえ。FortiSASE Outpostはエンフォースメント（ポリシー適用）をローカルで実行しますが、管理プレーン（ポリシー定義、構成、監視、ライフサイクル運用、アップグレード）はFortinetのFortiSASEクラウドサービスに残ります。FortiSASE Outpostを採用する組織は、エンフォースメントにはオンサイトのハードウェアを、管理にはクラウドインフラを使用するハイブリッドモデルにコミットすることになります。クラウドへの依存を一切なくし、すべてを完全にオンプレミスで実行したい組織は、FortiSASE Outpostではなく、従来のオンプレミス型FortiGate展開を使用することになります。Fortinetのアーキテクチャでは、組織はクラウドで運用されるFortinet POP、オンサイトのOutpost POP、またはその両方を同時に使用し、すべてのエンフォースメントポイントで一貫したポリシーを適用することができます。

●クラウド専用SASEよりもFortiSASE Outpostの恩恵を最も受けるのはどのような組織ですか。

オンプレミスのSASE Outpost展開が魅力的になる条件は3つあります。第一に、定義された地理的または管轄的境界を越えてクラウドインフラにトラフィックを送信することを禁じるデータレジデンシーや規制要件がある場合です。医療、金融サービス、防衛請負などのセクターは頻繁にこの義務に直面します。第二に、近くにFortinetのクラウドPOPがない地域にユーザーが集中しており、遠くのクラウドPOPへのトラフィックのバックホールが顕著な遅延をもたらす施設です。第三に、同一データセンター内のサーバー間トラフィック（東西トラフィック）を大量に生成する重いAIエージェントワークロード環境です。この場合、トラフィックをクラウドPOPにルーティングして戻すのはアーキテクチャ上非効率です。これらの条件のいずれにも直面していない組織は、ハードウェアの所有を完全に排除できるため、クラウド専用SASEの方が運用コストが低いと感じるかもしれません。

●FortiOS 8.0を展開する前に、エンタープライズのバイヤーはFortinetのセキュリティ実績について何を知っておくべきですか。

Fortinetの既存のFortiOSバージョンは、2025年および2026年にいくつかの重大なエクスプロイトキャンペーンの標的となっています。2026年6月のFortiBleed認証情報侵害キャンペーンは、世界中で86,000台以上のインターネット向けFortiGateデバイスに影響を与えました。2026年1月のCVE-2026-24858（重大なFortiCloud SSO認証バイパス）は、パッチ適用前にゼロデイとして悪用され、CISAの「悪用が確認された脆弱性」カタログに追加されました。1200Gを駆動するFortiOS 8.0はまだ独立したセキュリティ監査を受けておらず、1200G自体もまだ出荷されていないため、本番環境での展開データは存在しません。エンタープライズのバイヤーは、積極的なパッチ管理サイクルを計画し、デバイスが利用可能になった際には、FortiCloud SSOおよびクラウド管理プレーンの露出を慎重に評価する必要があります。

元記事: FortiGate 1200G Brings On-Premises SASE Without Surrendering Cloud Control