ゼロトラストセキュリティとは?

ゼロトラストセキュリティとは、アプリケーションやデータにアクセスできるユーザー(企業や組織の従業員を含む)を制限するITセキュリティモデルです。ゼロトラストアーキテクチャは、厳格なセキュリティプロトコルを使用してアクセスを許可すると同時に、認証済みのユーザーをマルウェア、データ流出、およびその他のサイバーセキュリティ攻撃から守ります。

ゼロトラストセキュリティが注目されている理由は?

ゼロトラストデータセキュリティが注目されている理由として、今日のIT部門が拡大し続けるアタックサーフェスを保護すると同時に、高品位なユーザーエクスペリエンスを提供しなければならないことが挙げられます。

従業員が、パーソナルデバイスを使用してワークスペース、クラウドアプリケーション、企業リソースへのリモートアクセスを行っている現在、データ損失の可能性はかつてないほどに高まっています。これは特に、従来型のセキュリティアプローチに依存している組織に当てはまります。同アプローチの場合、リソースを中心に構築されたネットワーク境界が、正規のインサイダーを装った悪意あるアウトサイダーに対して、組織を依然として脆弱な状態にします。多くの場合、ネットワークへの完全なアクセスを得るために必要となることは、リモートVPNへの素早いログインです。

これに対して、ゼロトラストモデルでは、今日のデータ漏洩の最大の原因の1つを認識しています。それは、一部の機密データを危険にさらすようなセキュリティモデルには、すべての機密データを危険にさらす可能性があるということです。このようなリスクに対処するために、ゼロトラスト式のセキュアアクセスでは、エンドポイントとユーザーのアクセス管理に関する制御を厳しくしています。

従来型のネットワークセキュリティとゼロトラストアーキテクチャの違いは?

従来型の企業セキュリティ:

従来型の企業セキュリティは、機密データをログインやファイアウォールで保護されたデータセンターへと囲い込むことを必要とします。このアプローチでは、組織の中にいる全員が厳しく検査されており信頼できるということが前提されています。この場合、ユーザー名とパスワードを保有している人物は、組織のネットワーク上にあるすべてのものに難なくアクセスできます。これは、「城と堀」型のアプローチと呼ばれることもあります。ここで、「城」はデータを収容する企業を表しており、「堀」はそのようなデータを取り巻く保護されたチェックポイントを表しています。すべてのアクセスは、ユーザー認証と権利認証が実施されるゲートウェイにおいて制御されかつ検証されます。しかし、いったん認証されたユーザーは、事実上、当該環境の中を自由に動き回ることが許されます。

このような従来型の企業セキュリティの一例として、古典的な仮想プライベートネットワーク(VPN)が挙げられます。VPNでは、いったんアクセスが許可された時点で、リモートユーザーに完全なアクセス権が与えられます。このような「盲目的な信頼」は、次に示すような重大な脆弱性を生み出します。

  1. 単純化されすぎた認証:既存のVPNソリューションの多くは、ブラウザを使ってアプリケーションにアクセスするような、複雑でモダンなワーカーの要件を満たしていません。
  2. スケーリングが行えない:VPNはリモートアクセスのみに限定されています。一方、ゼロトラストフレームワークは、ユーザーがオンプレミスにいようがオフプレミスにいようが、リアルタイムで企業ネットワークを保護します。
  3. プライバシーに関する懸念:VPNはビジネス用のトラフィックとパーソナルなトラフィックの両方を企業IT経由でルーティングするため、従業員のプライバシーに関する懸念が生じる可能性があります

このようなセキュリティアプローチは、かつては有効でしたが、今日のサイバーセキュリティ脅威には適合しません。不適切なユーザー認証と権利認証は、過剰なアクセスをもたらすため、しばしば悪意あるアクターがゲートウェイをバイパスすることを許してしまいます。また、クラウドやモバイルへの大規模な移行に伴い、従来型の境界に基づくファイアウォールでは、もはや十分ではなくなっています。

現在、ほとんどの企業がクラウドで仕事をしているため、中央での一元的な「trust-but-verify(信じるが確認せよ)」式のアプローチは、ますます実用的ではなくなっています。ユーザーはもはや単一地点または単一デバイスから機密データにアクセスしておらず、しかもそのようなデータはもはや単一の場所に存在していません。本質的に、もはや「城」への入り口は1つではなくなっています。サイバー攻撃は、いつでもどこからでも到来する可能性があります。

ゼロトラストネットワークアーキテクチャ:

ゼロトラストネットワークアーキテクチャは、データ保護の負担を企業内部から、ネットワークアクセスを試みる個々のユーザー、デバイス、アプリケーションへと移すことで、このような従来型のサイバーセキュリティに対するアプローチを進化させています。正しく実装するならば、このようなコンテキストアウェアなモデルは、ユーザーの行動パターンを認識することで、ID、時間帯、場所などの要因に基づいたアクセスの許可または拒否を適応的に実施できるようになります。

より包括的なゼロトラストセキュリティを実現する場合、企業や組織は、保護されたデジタルワークスペースへのセキュアアクセスを従業員に提供できます。これにより、企業や組織を不必要なリスクにさらすことなく、ユーザーが必要とするすべてのアプリケーション、ツール、データへのセキュアアクセスが行えるようにすることで、全体的なリスクを軽減できます。

ゼロトラストネットワークの仕組み:

ゼロトラスト型の企業ネットワークを導入する際の主な注意点は?

10人の専門家にゼロトラストネットワークの定義を尋ねれると、10通りの答えが返ってくるでしょう。なぜなら、あらゆる企業のニーズに合うように設計された1つのソリューションは存在していないからです。 

ゼロトラストセキュリティとは、特定の製品ではなく、全体的な戦略に他なりません。それは、アプリケーションやデータが置かれている場所や、誰がどんなデバイスを使ってそれらにアクセスするかに関わらず、アプリケーションやデータへのアクセスをセキュアに維持するための一連の行動規範と考えると良いでしょう。ここには、物理的な場所やネットワーク上の場所に基づいて与えられる暗黙の信頼は存在していません。その代わりに、継続的で一貫性のある権利認証が適用されます。

このような「決して信頼せず、常に確認する」という考え方を受け入れることは、企業や組織による機密データの収容方法およびデータへのアクセス方法に関して、すべてを見直すことを意味します。つまり、各企業は、ゼロトラストネットワークアクセスを設計するために、独自のアプローチを採用する必要があります。

同時に、より多くのアプリケーションがクラウドに移行し、従業員がより分散しているために、あらゆる業界の企業が、より多くの課題に直面しています。これは、あらゆる企業が、アプリケーション層でのアクセスを提供することによりセキュリティアタックサーフェスを縮小するようなクラウドベースのソリューションを必要としていることを意味します。また、あらゆる企業は、プライバシーの侵害や従業員エクスペリエンスの妨害を引き起こすことなく、そのようなソリューションを実現する必要があります。

このため、多くの企業では、ユーザーがアクセスする場所に基づいて機密データやリソースを守るような断片的な保護を提供しようとするのではなく、仕事が遂行される統一的なワークスペース内において、ユーザーとそのアプリケーションを保護することを選択しています。これは、良好なユーザーエクスペリエンスを保証するためにも役立ちます。

強力なゼロトラストソリューションの構成要素は?

ゼロトラストネットワークを導入する場合、企業や組織は、あらゆるレベルでのネットワークセキュリティとアクセス制御の再構築に対して、多大な時間を投資する準備が必要となります。ゼロトラストアーキテクチャの構築を開始するための最初のステップを下記に示します。

  1. 企業のネットワークを監査して、どのようなインフラストラクチャとエンドポイントが配備されているかを明確に把握します。これにより、ネットワークセキュリティポリシーが最初に対処する必要があるものが何であるかを、IT部門に示すことができます。
  2. 徹底した脅威アセスメントを実施し、機密データが漏洩した場合のシナリオを考案します。「誰がどのようなデータにアクセスする可能性が高いか?」 や「第1レベルのセキュリティが破られた場合、後続レベルのセキュリティがどれだけ簡単に破られるか?」などの質問をしてみましょう。
  3. ユーザー、デバイス、アプリケーションを「独立しているが関連性のあるエンティティ」として信頼する方法を決定します。個々の利用に基づいて、実際に必要とされているものに対してのみアクセスを許可することが重要となります。多要素認証を導入することも推奨されますが、コンテキストに応じたアクセス制御ツールを採用することで、特定のシナリオにおいて、印刷、コピーアンドペースト、スクリーンショットなどを無効にすることも役に立ちます。また、すべての従業員がセキュアなワークスペース内のアプリケーションやデータにアクセスできるようにすることで、より包括的なエンタープライズセキュリティを実現できます。

ゼロトラストアーキテクチャをテストして、その性能がどれほど優れているかを確認します。ITチームが、紛失したデバイス、保護されていないWiFiネットワーク、悪意あるURL、またはマルウェアを通じて、機密データへのアクセスを試みるようなシナリオを実施します。これにより、ネットワークセキュリティにおける潜在的な脆弱性を明らかにした上で、その結果に応じてサイバーセキュリティアプローチを適応させることができます。

ゼロトラストネットワークを構築するためには何が必要ですか?

ゼロトラストネットワークを構築する場合、ゼロトラストセキュリティは1つの製品ではないことを前もって認識しておく必要があります。むしろ、ゼロトラストアプローチを1つのアーキテクチャまたはフレームワークとして捉える必要があります。IT部門はそれを利用して、あらゆるタッチポイントで信頼性を継続的に評価することにより、あらゆるデバイスを通じた、あらゆるアプリケーションへのセキュアアクセスを実現できるようになります。これは、ゼロトラストセキュリティモデルが複数のベンダーを利用することにより、コンテキストに応じた継続的できめ細かなアクセスセキュリティポリシーを提供できることを意味します。

これらのことを念頭に置いた上で、既存のITリソースを活用しつつ実装を開始することが可能となります。ゼロトラストの実装は簡単ではありませんが、その実装において、お客様が現在お使いのオンプレミスまたはクラウドインフラストラクチャを破棄して入れ替える必要はありません。適切なゼロトラストベンダーは、アイデンティティプラットフォーム、SIEM/SOC、Webプロキシ、SD-WANソリューションなどの、お客様が保有している既存のインフラストラクチャを保護するために、お客様と連携して作業します。たとえば、ゼロトラストベンダーは、Microsoft Active Directory、Microsoft Azure AD、およびOktaなどのユーザーディレクトリとの統合や、これらのプラットフォームに付属のコンテキストに応じたID管理ポリシーとの統合が行える必要があります。

これらの様々なコンポーネントがシームレスに連携動作することを保証するために、専門家の中にはシングルベンダーを選択することを推奨する人もいます。これにより、各種のポイントソリューションを統合する際に生じるギャップを避けることができるからです。ゼロトラストセキュリティモデルの持つ包括的な性質とは対照的に、しばしばIT部門は、新しいセキュリティのユースケースに対処するために、SSL VPN、エンドポイント管理、多要素認証などのポイント製品を追加するという終わりのないサイクルから抜け出せなくなっている場合があります。この結果、複雑さが増すほか、一貫性のないエクスペリエンスがもたらされます。同時に、攻撃者が悪用できるサイバーセキュリティにおけるハッキングの可能性は残されたままとなります。

一方、シングルベンダーを採用すれば、クラウドセキュリティ、アクセス制御、きめ細かなポリシーなどの適切な組み合わせを確保できます

ゼロトラストネットワークを導入する際に適切なテクノロジーとサービスを特定するには

ゼロトラストプラットフォームを効果的に運用するには、アプリケーションやデータへのアクセスを、各セッションの機密性に合わせて調整する必要があります。利用するプロバイダーは、ユーザーのアクティビティやデバイスの状態を常に監視できる能力を持っている必要があります。これにより、企業や組織は、ネットワーク自体へのアクセスを提供するのではなく、業務上のニーズに基づいて、特定のアプリケーションのユーザーに対してのみアクセスを許可することが可能になります。

Gartner社のZTNA(ゼロトラストネットワークアクセス)に関するガイドでは、これらのソリューションを「アイデンティティとコンテキストに基づいて、隠されたユーザーとアプリケーションを包含する論理的なアクセス境界を作成する製品およびサービス」と呼んでいます。

つまり、企業や組織は、

すべてのユーザーのデバイス、場所、ワークロードを個別に確認できるようなシステムを採用する必要があります。注目すべき主なコンポーネントには次のものがあります。

  • エンドポイントセキュリティ ソリューション:ラップトップ、スマートフォン、タブレット、デスクトップなどのデバイスが、企業ネットワークへのアクセスを許可される前に、一定のコンプライアンス基準を満たすことを要求します。
  • セキュア アクセス ゲートウェイソリューション:日常的に使用するアプリケーションやデータへのリモートアクセスを、シンプルかつセキュアなリンクを通じて簡素化します。
  • セキュリティアナリティクス ソリューション:データ漏洩防止のためのよりプロアクティブなアプローチとして、異常や通常とは異なるユーザー行動をセキュリティ解析します。

これらのコンポーネントは、それぞれ個別に実装することも可能です。しかし、多くの場合、これらはすべて1つの包括的なソリューションの一部として提供されます。たとえば、これらは、ゼロトラストネットワークセキュリティの各種要素を統合するために設計されたセキュアなデジタルワークスペースの一部として提供されます。

シトリックスは、ゼロトラストセキュリティに関して企業をどのように支援しますか?

シトリックスは、ゼロトラストアーキテクチャを導入するためのエンドツーエンドのソリューションを企業に提供するほか、アタックサーフェスを縮小するために設計された複数のソリューションを提供します。これらを一箇所にまとめることで、寄せ集めのポイントソリューションを利用した場合に生じるギャップを回避できます。

  • Citrix Secure Workspace AccessはMFAを超えて、コンテキストに応じたアクセス管理ツールを提供します。これには、特定のシナリオで、印刷、コピー、ペーストを無効にする機能などが含まれます。
  • また、Citrix Endpoint Managementは、アプリケーションやコンテンツを隔離することで、BYOデバイス、企業所有デバイス、およびその他のマネージドデバイスをセキュアな状態に維持します。
  • Citrix Secure Internet Accessは、すべてのユーザーのあらゆるアプリケーションを保護するために、クラウドベースの統一的なセキュリティスタックを提供します。

Citrix Analytics for SecurityからCitrix Gatewayに至るまで、企業や組織は、ゼロトラストアーキテクチャを構成するすべてのミッションクリティカルなコンポーネントを、オールインワン型のセキュアなデジタルワークスペースソリューションとして実装できます。

関連資料

次のステップ