NOCを組織し、複数の拠点のネットワークをまとめて運用する
本店と支店、あるいは複数の顧客のネットワークを、拠点ごとに別々の担当者や業者が見ていると、拠点が増えるほど、障害に気づくのが遅れ、設定がばらつき、更新が漏れていきます。
NOC（Network Operations Center）は、こうした複数のネットワークを1か所からまとめて監視し、障害に対応し、設定や更新を管理する体制です。
この記事では、企業の情報システム部門が本店から支店を運用する場合と、運用を請け負う事業者が複数の顧客を運用する場合の両方について、NOCを立ち上げるときに押さえるべきポイントを整理します。対象には、ルーター、スイッチ、アクセスポイントに加えて、IPカメラも含めます。
拠点ごとの運用で起きること
| 障害に気づくのが遅れる | 回線やアクセスポイントが止まっても、現地の利用者からの電話で初めて気づきます。夜間や休日は、翌朝まで誰も気づかないこともあります。 |
|---|---|
| 設定がばらつく | 拠点ごとに担当者や導入の時期が違うと、同じ目的の設定でも中身がそろいません。台帳も実態と合わなくなり、障害のときに何がどうつながっているかが分かりません。 |
| 更新が漏れる | メーカーのセキュリティ情報（アドバイザリ）が出ても、どの拠点にどの機種とバージョンがあるかが分からず、更新が遅れます。 |
| 現地へ駆けつける | 設定の変更や再起動のたびに、担当者が現地へ出向きます。移動の時間と費用がかかり、復旧も遅れます。 |
| 人に依存する | 拠点の事情を知っているのが特定の担当者だけだと、その人が不在のときに対応できません。 |
| 委託先の対応が遅い | 拠点ごとに別々の業者に保守を任せていると、問い合わせても返事や駆けつけが遅く、障害が長引きます。業者ごとに窓口や契約の内容が違うため、どこまで対応してもらえるのかも分かりにくくなります。 |
| カメラが別の管理になる | IPカメラと録画装置が、ネットワークとは別の業者や担当者に任されていると、映像が途切れても、原因がネットワークにあるのかカメラにあるのかを切り分けられません。 |
NOCが担う業務
NOCの業務は、次の6つに分けられます。
| 業務 | 内容 |
|---|---|
| 監視 | 機器の死活、回線の状態、帯域の使用率、無線の品質、カメラの録画の状態を常に見張り、異常があれば通知する |
| 障害対応 | 通知を受けて原因を切り分け、遠隔で一次対応を行う。直せないものは、現地の担当者やメーカーへ引き継ぐ（エスカレーション） |
| 変更管理 | 設定の変更やファームウェアの更新を、手順と時間帯を決めて行い、記録を残す |
| 構成管理 | 拠点ごとの機器、型番、バージョン、設定、回線の契約を台帳にまとめ、常に最新に保つ |
| 容量と性能の管理 | 帯域や接続数の伸びを見て、回線や機器の増強を前もって計画する |
| 報告 | 障害の件数と原因、稼働率、対応時間を定期的にまとめ、本店の経営層や顧客に報告する |
体制の2つの形
NOCには、自社の拠点をまとめて見る形と、複数の顧客をまとめて見る形があります。仕組みは共通ですが、気をつける点が違います。
| 本店から支店を見る（企業の情報システム部門） | 本店の情報システム部門が、支店、店舗、工場、倉庫などのネットワークを運用します。全拠点の設定を共通のひな形（テンプレート）にそろえやすく、拠点を増やすときも同じ構成を複製できます。 支店には機器に詳しい担当者がいないことが多いため、電源の入れ直しや機器の交換など、現地に頼む作業は手順書にして、誰でもできるようにしておきます。 |
|---|---|
| 複数の顧客を見る（運用を請け負う事業者） | 運用を請け負う事業者が、複数の顧客のネットワークをまとめて運用します。顧客ごとに機器、設定、ログ、担当者の権限を分け、ある顧客の情報がほかの顧客に見えないようにします（マルチテナント）。 顧客ごとに契約の内容（対応する時間帯、復旧までの目標時間など）が違うので、通知の優先度や連絡先も顧客ごとに管理します。 |
| 対応する時間帯を決める | 24時間365日で見る形のほか、平日の日中だけ見て、時間外は通知を受けるだけにする形もあります。時間外の通知を誰が受け、どこまで対応するかを、あらかじめ決めておきます。 |
NOCを支える仕組み
| 管理基盤はハイブリッドにする | 全拠点の機器を1つの画面で扱う管理基盤（SDN：Software Defined Network）を使います。ただし、メーカーのクラウドだけに頼ると、そのクラウドが止まったり、サービスの条件が変わったりしたときに、運用ごと影響を受けます。 管理の仕組みを自社のデータセンターや本店のサーバーにも置ける（オンプレミスでも運用できる）製品を選び、クラウドと併用する形（ハイブリッドクラウド）にしておくと、特定のクラウドへの依存を抑えられます。 あわせて、管理基盤が止まっても、拠点のネットワークそのものは止まらない構成であることを確かめます。 |
|---|---|
| 設定はテンプレートで配る | VLAN、SSID、ファイアウォールのルールなどはひな形にして、全拠点に配ります。拠点ごとの違いは、ひな形からの差分として管理します。 新しい拠点は、機器をつなぐだけで設定が入る仕組み（ゼロタッチプロビジョニング）を使うと、現地に詳しい担当者がいなくても立ち上げられます。 |
| 監視と通知を1か所に集める | 機器の死活、SNMPによる状態、syslogによるログを、拠点や顧客をまたいで1か所に集めます。 通知は、重要度ごとにメール、チャット、電話に振り分け、同じ原因の通知が大量に届かないようにまとめます。 |
| IPカメラも同じ基盤で見る | IPカメラの映像は、拠点の録画装置に保存するのが基本です（オンプレミス録画）。回線の帯域を使わずに済み、回線が止まっても録画は続きます。 そのうえで、カメラと録画装置の状態や設定をクラウドからも管理できる製品なら、映像の途切れやディスクの故障を、ネットワークの機器と同じ画面で見つけられます。カメラはPoEで給電することが多いので、スイッチの給電の状態もあわせて見ます。 |
| 拠点への入り方を決める | 遠隔から拠点の機器に入るときは、管理画面をインターネットに直接公開しません。IDと多要素認証で利用者を確かめてから入る仕組み（ゼロトラストネットワークアクセス）か、ワンタイムVPNを経由させます。 |
| 回線が止まったときの裏口を用意する | 拠点の回線が止まると、遠隔からは入れなくなります。モバイル回線のルーターや、機器のコンソールに入るための装置を置いておくと、回線が止まっていても状況を確かめ、設定を戻せます（帯域外管理）。 |
| 権限と操作の記録 | 担当者ごとに、見られる拠点や顧客と、できる操作を分けます（ロールベースのアクセス制御）。誰が、いつ、どの設定を変えたかを記録し、問題が起きたときにたどれるようにします。 |
| SOCと連携する | 集めたログは外部のSIEMにも転送し、セキュリティの監視を担うSOCと共有します。NOCが見つけた不審な通信をSOCに渡し、SOCの判断で遮断した結果をNOCが確かめる、といった連携ができます。 |
立ち上げの進め方
全拠点の機器、回線、契約、担当者を洗い出し、台帳にまとめます。
機種と設定のひな形を決め、拠点ごとのばらつきをなくしていきます。
監視と通知を1か所に集め、まずは「止まったら分かる」状態にします。
よくある障害の切り分けと対応、現地に頼む作業を、手順書（ランブック）にまとめます。
対応する時間帯、復旧までの目標時間、連絡の経路を、本店や顧客と取り決めます（SLA）。
定期報告の内容をもとに、ひな形、監視の基準、手順書を見直します。
内製か、委託か
拠点の数が少なく、運用の担当者がいるうちは、内製でも回せます。拠点が増え、夜間や休日も見る必要が出てきたら、監視と一次対応だけを外部に任せ、変更や設計は自社に残す、といった分け方もあります。
委託する場合も、台帳や設定、ログを自社で持てる仕組みにしておくと、委託先を替えるときに困りません。管理基盤をハイブリッドにしておくのは、このためでもあります。
チェックリスト
| 項目 | チェック項目 |
|---|---|
| 管理基盤 | 全拠点を1つの画面で管理、オンプレミスでも運用できるハイブリッド構成、管理基盤が止まっても拠点は止まらない |
| 設定 | テンプレートで配布、拠点ごとの差分を管理、ゼロタッチプロビジョニング |
| 監視 | 死活・SNMP・syslogを1か所に集約、通知の振り分けとまとめ、IPカメラと録画装置も対象 |
| 遠隔操作 | 管理画面を外に出さない、ゼロトラストネットワークアクセスかワンタイムVPN、帯域外管理 |
| 権限と記録 | 拠点・顧客ごとの権限、操作の記録、マルチテナント（事業者の場合） |
| 体制 | 対応する時間帯、手順書、SLA、定期報告と見直し、SOCとの連携 |
当社は、本店と支店、あるいは複数の顧客のネットワークをまとめて運用する体制づくりを、管理基盤の選定から監視と通知の設計、手順書の整備まで支援しています。