ゼロトラストセキュリティとは?

ゼロトラストセキュリティは、「誰も信用するな」という単一の公理に基づく、コンテキストに応じたITセキュリティモデルです。ゼロトラストモデル(またはゼロトラストアーキテクチャ)とは、ユーザーが企業に雇用されている場合であっても、いかなるユーザーまたはデバイスも同企業のネットワーク、ワークスペース、またはその他のリソース対するデフォルトのアクセス権を持たないようにすることを意味します。承認を受けるユーザーは、各自のID、アクセス時間、デバイスの状態などの基準に基づいてアクセスが許可される前に、セキュリティプロトコルを通過する必要があります。ゼロトラストアーキテクチャに、アクセス制御、ユーザーID確認、セキュアワークスペースなどを含めることで、マルウェアやVPN侵害によるデータの流出や機密データに対するその他の攻撃を防ぐことができます。

ゼロトラストセキュリティが注目されている理由は?

ゼロトラストセキュリティが注目されている理由として、今日のIT部門が、より広大なアタックサーフェスを保護すると同時に、高品位なユーザーエクスペリエンスを提供しなければならないことが挙げられます。従業員が、個人所有のデバイスを使用してワークスペース、クラウドアプリケーション、企業リソースへのリモートアクセスを行っている現在、データ損失の可能性はかつてないほどに高まっています。さらに悪いことには、1件のデータ漏洩にかかる平均コストは392万ドルであり、平均で25,575件のレコードが盗まれているという事実があります。過去20年間における最も大規模なデータ漏洩の上位2つだけで、35億人以上の情報が盗まれました

ゼロトラストアーキテクチャは、このような深刻な問題に取り組むための真剣なアプローチの1つです。このアーキテクチャは、一部の機密データを危険にさらすような情報セキュリティのモデルには、すべての機密データを危険にさらす可能性があることを認識しています。そのようなモデルは、1つの銀行の金庫に自分の全財産を預けるようなものであり、このモデルを採用した場合、侵入者はいったんアクセス権を入手できれば、すべてのものを盗むことができます。このようなリスクに対処するために、ゼロトラスト式のネットワークアクセスでは、エンドポイントとユーザーのアクセスセキュリティに関する制御を厳しくしています。より包括的なゼロトラストセキュリティを実現する場合、企業や組織は、従業員に保護されたデジタルワークスペースへのセキュアアクセスを提供できます。これにより、企業や組織を不必要なリスクにさらすことなく、ユーザーが必要とするすべてのアプリケーション、ツール、データへのセキュアアクセスが行えるようにすることで、全体的なリスクを軽減できます。

従来の情報セキュリティとゼロトラストアーキテクチャの違いは?

従来の情報セキュリティのアプローチには、機密データをログインやファイアウォールで保護されたデータセンターへと囲い込むことでした。このアプローチでは、組織の中にいる全員が厳しく検査されており信頼できるということが前提されていました。この場合、ユーザー名とパスワードを保有している人物は、組織のネットワーク上にあるすべてのものに難なくアクセスできます。これは、「城と堀」型のアプローチと呼ばれることもあります。ここで、「城」はデータを収容する企業を表しており、「堀」はそのようなデータを取り巻く防御と抑止力を表しています。

しかし、このようなアプローチは、モダンなサイバーセキュリティ脅威には適していません。現在、ほとんどの企業がクラウドで仕事をしているため、中央での一元的な「trust-but-verify(信じるが確認せよ)」式のアプローチは、ますます実用的ではなくなっています。ユーザーはもはや単一地点または単一デバイスから機密データにアクセスしておらず、しかもそのようなデータはもはや単一の場所に存在していません。本質的に、サイバー攻撃はいつでもどこからでも到来する可能性があるため、もはや城の入り口は1つではありません。侵入者が飛行機からパラシュートで降りて来る場合、堀は何の防御にもなりません。

ゼロトラストアーキテクチャは、データ保護の負担を企業内部から、ネットワークアクセスを試みる個々のユーザ、デバイス、アプリケーションへと移すことで、このような従来型のサイバーセキュリティへのアプローチを進化させています。正しく実装するならば、このようなゼロトラストへのアプローチは、コンテキストアウェアなセキュリティアーキテクチャになります。このアーキテクチャでは、ユーザーの行動やデバイスのパターンを認識することにより、ID、時間帯、場所などの要因に基づいてアクセスを許可または拒否を適応的に実施できます。

ゼロトラストアーキテクチャの実装を開始するには

ゼロトラストセキュリティとは、単一の具体的な解決策ではなく、全体的な戦略のことです。このような「決して信頼せず、常に確認する」という考え方を受け入れることは、企業や組織による機密データの収容方法およびデータへのアクセス方法に関して、すべてを見直すことを意味します。企業や組織は、あらゆるレベルでのネットワークセキュリティとアクセス制御の再構築に対して、多大な時間を投資する準備が必要となります。ここでは、企業内でゼロトラストアーキテクチャの実装を開始するためのいくつかのステップをご紹介します。

  1. 企業のネットワークを監査して、どのようなインフラストラクチャとエンドポイントが配備されているかを明確に把握します。これにより、ネットワークセキュリティポリシーが最初に対処する必要があるものが何であるかを、IT部門に示すことができます。 
  2. 徹底した脅威評価を行い、機密データが漏洩した場合のシナリオを考案します。「誰がどのようなデータにアクセスする可能性が高いか?」 や「第1レベルのセキュリティが破られた場合、後続レベルのセキュリティがどれだけ簡単に破られるか?」などの質問をしてみましょう。 
  3. ユーザー、デバイス、アプリケーションは独立しているが関連性のあるエンティティとして信頼する方法を決定します。個々の利用に基づいて、実際に必要とされているものに対してのみアクセスを許可することが重要となります。多要素認証を導入することも推奨されますが、コンテキストに応じたアクセス制御ツールを採用することで、特定のシナリオにおいて、印刷、コピーアンドペースト、スクリーンショットを無効にすることも役に立ちます。また、すべての従業員がセキュアなワークスペース内のアプリケーションやデータにアクセスできるようにすることで、より包括的なエンタープライズセキュリティを実現できます。
  4. ゼロトラストアーキテクチャをテストして、その性能がどれほど優れているかを確認します。ITチームが、紛失したデバイス、保護されていないWiFiネットワーク、悪意あるURL、またはマルウェアを通じて、機密データへのアクセスを試みるシナリオを実施します。これにより、ネットワークセキュリティにおける潜在的な脆弱性を明らかにした上で、その結果に応じてサイバーセキュリティアプローチを適応させることができます。

ゼロトラストセキュリティに関するFAQ

ゼロトラストアーキテクチャは単一の製品ですか?
ゼロトラストセキュリティは、単一の製品やソリューションではありません。ゼロトラストセキュリティは1つのアーキテクチャまたはフレームワークであり、IT部門はこれを利用して、あらゆるタッチポイントで信頼性を継続的に評価することにより、あらゆるデバイスを通じた、あらゆるアプリケーションへのセキュアアクセスを実現できます。これは、ゼロトラストセキュリティモデルが複数のベンダーや製品を利用することにより、きめ細かな、コンテキストに応じた、継続的なアクセスセキュリティポリシーを提供できることを意味します。

ゼロトラストは、ITインフラストラクチャ全体を置き換えなければならないことを意味しますか?
ゼロトラストの実装は簡単ではありませんが、その実装において、お客様が現在お使いのオンプレミスまたはクラウドインフラストラクチャを破棄して入れ替える必要はありません。適切なゼロトラストベンダーは、アイデンティティプラットフォーム、SIEM/SOC、Webプロキシ、SD-WANソリューションなどの、お客様が保有している既存のインフラストラクチャを保護するために、お客様と連携して作業します。たとえば、ゼロトラストベンダーは、Microsoft Active Directory、Microsoft Azure AD、およびOktaなどのユーザーディレクトリとの統合や、これらのプラットフォームに付属のコンテキストに応じたID管理ポリシーとの統合が行える必要があります。

ゼロトラストネットワークを導入するための適切な技術やサービスを見つけるには?
ゼロトラストセキュリティモデルの持つ包括的な性質が理由で、IT部門は、新しいセキュリティのユースケースに対処するために、SSL VPN、エンドポイント管理、多要素認証などのポイント製品を追加するという終わりのないサイクルから抜け出せなくなる可能性があります。この結果、複雑さが増すほか、一貫性のないエクスペリエンスがもたらされます。同時に、攻撃者が悪用できるサイバーセキュリティにおける格差は残されたままとなります。

このような事態を考慮して、Forresterは、ゼロトラスセキュリティアーキテクチャを実装するために単一ベンダーを選択することには大きなメリットがあると報告しています。これにより、各種のポイントソリューションの統合がもたらしたサイバーセキュリティにおける格差を回避できるようになります。実績ある戦略の1つとして、ユーザーがアクセスする場所にかかわらず機密データやリソースに関する断片的な保護の提供を試みるのではなく、ユーザーが仕事を遂行する統一されたワークスペース内でユーザーと利用するアプリケーションを保護することが挙げられます。これは、良好なユーザーエクスペリエンスを保証するためにも役立ちます。

ゼロトラストとVPNの違い:VPNがゼロトラストセキュリティをサポートしない理由

VPNとゼロトラストセキュリティフレームワークの最も根本的な違いは、従来型のVPNは「やみくもに信頼する」という点です。VPNでは、一度アクセスが許可されると、リモートユーザーは当該ネットワークへの完全なアクセス権を得ることができます。VPNの主な脆弱性をまとめると、次のような属性が目立ちます。

  1. VPN は認証を簡素化しすぎている:既存の VPN ソリューションは、複雑でモダンなワークフォースが抱える要件を満たしていません。そのような要件と例としては、アプリケーションにブラウザを使用してアクセスすること、データセンターとクラウドの両方にアプリケーションを導入すること、アプリケーションをSaaSとして提供することなどが挙げられます。
  2. VPNはスケーリングが行えない:VPNはリモートアクセスのみに限定されますが、一方、ゼロトラストフレームワークは、ユーザーがオンプレミスにいようがオフプレミスにいようが、リアルタイムで企業ネットワークを保護します。 
  3. VPNは従業員エクスペリエンス用に最適化されない:VPNはすべての(ビジネス用およびパーソナルな)トラフィックを企業ITを経由してルーティングするため、従業員のプライバシーに関する懸念が生じる可能性があります さらに、VPNはアプリケーションレベルの最適化機能を持たないため、最適なパフォーマンスを提供できません。

要するに、企業は、アプリケーション層でのアクセスを提供し、それによってセキュリティ関連のアタックサーフェスを縮小し、従業員のプライバシーを妨げることなく最高のパフォーマンスを提供するような、クラウドベースのソリューションを必要としているのです。

関連資料

次のステップ