ゼロトラストとは、デジタル体験のあらゆる段階において、すべてのユーザー、すべてのデバイスに対してセキュリティを徹底するように設計されたサイバーセキュリティのアプローチです。 従来のセキュリティモデルは、境界防御に基づいています。ユーザーはゲートで認証情報を提示し、その有効性が確認されると、ネットワークへのアクセスが許可されます。 ゼロトラストは、このモデルに内在するセキュリティ上の脆弱性や欠陥に対処するものであり、たとえ有効な認証情報を持つ、一見認証済みのユーザーに関連付けられている場合でも、ネットワーク内のトラフィックを自動的に信頼すべきではないという考え方を提唱しています。
ゼロトラストは、最も重要な資産である「データ」と、最も重要なリソースである「人材」を結びつけることを目指しています。 現在、この点は特に重要です。というのも、人々はさまざまな場所でデータを利用することが多くなっているからです。例えば、オフィスのサーバー上、クラウド上、自宅のノートパソコン、あるいはほぼどこからでもスマートフォンからといった具合です。 のゼロトラスト・フレームワーク （新しいタブで開きます） を利用することで、どこで発生したやり取りであっても監視し、必要に応じてアクセスを無効化したり、やり取りを遮断したりすることができます。
今日、サイバーセキュリティ上の脅威が蔓延していることに加え、企業の業務がオフィスから在宅へと大規模に移行したことが相まって、企業の脆弱性を引き起こす「パーフェクト・ストーム」が生じています。 組織が作成・管理する機密データの量（ ）が急速に増加している中（ ）、ゼロトラストアーキテクチャの導入は明らかに不可欠です。
ゼロトラストアーキテクチャの主な原則にはどのようなものがありますか？
ゼロトラストの最も重要な原則は、「決して信頼せず、常に検証する」ということです。 さらに詳しく見ていくと、このフレームワークには、以下のその他の重要な原則が含まれています：
- 複数のアクセスポイントで認証を行ってください。 ユーザーが「正面玄関」を通って入った後は、一方的なアクセス権を付与すべきではありません。 アクセスを行うすべての段階で、複数の認証要素を用いて本人確認を行ってください。
- 常に最小権限のアクセス原則を遵守してください。 いかなるユーザーにも、王国の鍵を渡してはなりません。 アクセス権限は、ユーザーが業務を遂行するために必要不可欠なリソースに限定すべきです。
- ネットワークを分離してください。 ネットワーク内の関連性のない部分――例えば、アプリ開発と財務業務など――は、互いに完全に切り離されるべきです。
「決して信用せず、常に確認せよ。」
- すべてのエンドポイントを保護しましょう。 ゼロトラストアーキテクチャは、ネットワークのエッジに配置された エンドポイントデバイスを含め、ネットワーク上のあらゆる場所で動作を分析し、危険な活動を阻止できなければなりません。
- 最悪の事態を想定してください。 ネットワークがすでに攻撃を受けているかのように振る舞うことで、企業は最大限の警戒態勢を保ちながら業務を行うことができます。 これにより、攻撃が命中した場合の被ダメージを抑えることができます。
- 可能な限り自動化しましょう。 ゼロトラストの実現には、多大な時間とリソースの投入が必要となる場合があり、自動化なしではその実現はほぼ不可能です。
ゼロトラストは、従来のセキュリティフレームワークよりもなぜ安全なのでしょうか？
ゼロトラストには、従来のアプローチに比べて次のような利点があります：
- ゼロトラストは、デバイスに依存しません。 適切に導入されれば、ゼロトラストは、データセンターから クラウド 、さらにはエッジに至るまで、運用のあらゆるレベルでセキュリティを確保します。 従来の、境界ベースのアクセス制御は、デバイスに焦点を当てたものではありません。 ユーザーは、インターネットカフェのパソコンや、借りた携帯電話、あるいはネットワークにログインできるあらゆる端末を利用することができます。 その人が有効なユーザー名とパスワードを持っている限り、たとえデバイスにマルウェアが蔓延していても、従来のセキュリティインフラはそれを認証し、アクセスを許可します。
- ゼロトラストはリアルタイムで機能します。 従来のセキュリティツールでは、脆弱性がどこにあるかを特定するために、定期的な監査や侵入テストに依存することがよくあります。 。 ゼロトラストは、すべてのトランザクションが発生したその場でその正当性を分析し、組織が攻撃が大きな勢いを得る前に阻止できるよう支援します。
- ゼロトラストは、単なる身元だけでなく、行動も把握します。 ユーザーが有効なユーザー名とパスワードを持っている場合、あるいは携帯電話に送信された有効なコードを持っている場合を想像してみてください。 しかし、そのユーザーのノートパソコンやスマートフォンが盗まれた場合でも、従来のセキュリティシステムでは、そのユーザーがサーバー上のファイルを自由に消去したりダウンロードしたりできてしまいます。 ゼロトラストは、ユーザーの身元だけでなく、その行動も精査し、データ利用における不審なパターンを検知します。
- ゼロトラストでは、自動化を活用してセキュリティ運用担当者の負担を軽減します。 セキュリティ業務は、多くの場合、手間のかかる手作業です。 最新のゼロトラストソリューションは、AIと自動化を活用してセキュリティ運用を効率化し、従業員が組織にとってより価値の高い長期的な取り組みに注力できるようにします。
[関連記事：セキュリティの自動化：かつては「聖杯」と見なされながらもあまり普及していなかったものが、今、再評価されています。その理由と、実現方法をご紹介します]
ゼロトラストはIT運用にとってどのような意味を持つのでしょうか？
ゼロトラストは、日々のIT運用にセキュリティとコンプライアンスを組み込んだ新しい働き方を導入します。 従来の環境では、セキュリティ運用チームは、一般的にインフラストラクチャ管理やコンプライアンス管理とは別組織となっています。 ITの変更によってデバイスがコンプライアンス要件を満たさなくなったり、セキュリティリスクが生じたりした場合、ゼロトラストツールを使用することで、システムを既知の安全な状態に迅速に復元することができ、問題を引き起こすさらなる変更を防ぐことができます。
セキュリティ侵害は、業務上、重大な問題を引き起こします。 ネットワークのダウンタイムによるコストは、 によると1分あたり5,600 ドル、つまり1時間あたり336,000 ドルと推定されています。 グローバルな小売企業や大手製造業者といった大規模な組織の場合、そのコストはさらに高くなる可能性があります。 When Amazon’s AWS platform went offline in 2017, downtime caused up to $160 million in total customer losses. 確かに、ダウンタイムが必ずしもセキュリティに関連するとは限りませんが、ゼロトラストの原則は、ネットワークの不安定化を招きかねない、 の不注意な設定ミス を防ぐのにも役立ちます。
適切に導入されれば、ゼロトラストはネットワーク運用を強化するためのもう一つの手段に過ぎません。 これにより、運用管理者は、誰がリソースにアクセスできるのか、システムやデータセットにはどのようなリスクがあるのか、そして攻撃対象領域を縮小するためにどのような措置を講じるべきかといった疑問に答えることができます。 結局のところ、ゼロトラストは、そうでなければ得ることが難しい運用状況の可視化を実現します。
ゼロトラストは、セキュリティ運用にとってどのような意味を持つのでしょうか？
のセキュリティオペレーションセンター（SOC） で用いられる従来のツールは、境界防御を基盤として構築されています。 ゼロトラストは、その設計を根本から覆し、データセンターへのエントリポイントだけでなく、エッジデバイスにおいてもセキュリティを確保します。 セキュリティでは、ネットワーク上のすべてのアクターの行動を、常に考慮に入れます。 SOCに所属する方々にとって、このオリエンテーションは、日々の業務について再考を迫るものとなる可能性があります。 しかし、時が経つにつれて、ほとんどのセキュリティ専門家はゼロトラスト構造のメリットに気づくようになります。
「財務チームは、アプリケーション開発サーバー上のソースコードファイルにアクセスできるべきではなく、また、プログラマーは機密性の高い財務データにアクセスできるべきではありません。」
基本的に、ゼロトラストはネットワークの攻撃対象領域を縮小します。 厳格なルールを設けることで、たとえ認証に成功したユーザーであっても、幅広いユーザー層に対して特定の種類のデータへのアクセスを制限することができます。 例えば、財務チームはアプリケーション開発サーバー上のソースコードファイルにアクセスできるべきではなく、また、プログラマーは機密性の高い財務データにアクセスできるべきではありません。 ゼロトラストインフラストラクチャによってデータへのアクセスを大幅に困難にすることは、本質的にサイバーセキュリティを向上させます。
しかし、たとえ誰かがそれらの防御策を巧みに突破したとしても、ゼロトラストはデバイスレベルでさらなる安全対策を講じています。 例えば、ゼロトラストソリューションを利用すれば、デバイスが正しい所有者とペアリングされることを確実にすることができます。 ノートパソコンが盗まれ、犯人が想定とは異なる認証情報でログインを試みた場合、システムはシャットダウンしたり、アクセスを制限したりすることができ、これによりSOCが調査を行う時間を確保できます。
総じて言えば、ゼロトラストの技術や手法は、セキュリティ運用部門にネットワークアクセスに関するきめ細かなルールを提供し、それによって規制遵守、プライバシー、および関連する懸念事項に対処することができます。
ゼロトラストではどのような技術が採用されていますか？
ゼロトラストの中核となる技術には、以下のものが含まれます：
- IDの管理と保護。 ゼロトラストの核心となる原則は、誰が認証されたユーザーであるかを把握し、その認証情報を安全に管理することです。 ID管理および保護システムは、ユーザーの認証情報が正確かつ最新であることを保証し、強固なパスワードの使用を義務付け、古いアカウントを名簿から速やかに削除します。 シングルサインオン（SSO）ツールも、ゼロトラストの特徴の一つです。
- 多要素認証。 ID管理ツールの一種である、 多要素認証（MFA） 技術は、ゼロトラストの中核をなす要素です。 MFAは、ユーザーが本人であることを示す信頼度を飛躍的に高めます。 MFAでは、トークンキーコード、地理的位置、生体認証データなど、複数の要素を用いて、アクセスを試みるユーザーの認証を行うことができます。
- ユーザー管理。 これらのツールを使用することで、セキュリティ管理者は、ユーザーが実行できる操作の種類を指定することができます。 アクションは、役割、場所、時間帯、デバイスの種類、またはその他の要因に基づいて許可される場合があります。
- エンドポイントセキュリティ。 ゼロトラストソフトウェアは、データセンターやクラウドだけでなく、エッジデバイスにも導入することができ、ユーザーの機器に対して、オフィスにいるときと同じレベルの保護を提供します。
- 行動分析と管理。 これらのアルゴリズムは、ネットワーク上の行動を監視し、リアルタイムのスコアを算出することで、ユーザーの行動が正当なものかどうかを判断します。ユーザーが予想外の行動をとった場合、スコアは低下します。 一定の基準値に達すると、審査が完了するまでアカウントが利用停止となります。
- 暗号化ツール。 暗号化は、たとえ攻撃が成功した場合であっても、データの改ざんを防ぐための一般的な追加手段です。
- 自動化およびロボティック・プロセス・オートメーション（RPA）。 人間のオペレーターでは、上記のすべてのツールを把握し続けることはできませんので、ゼロトラスト環境においては自動化が鍵となります。 これにより、悪意のある動作の検出、データトラフィックの分析、およびパッチの配布が効率化されます。
- 人工知能（AI）に関するインサイト および 機械学習（ML） の機能。 上記のツールの多くは、人間の知性ではなく、AIやMLに依存しています。 自動化と同様に、AI/MLはゼロトラストにおいて単独で使用されるアプリケーションではなく、その設計の基盤となる広範な技術です。
ゼロトラスト・ネットワーク・アクセス（ZTNA）とは何でしょうか？
ゼロトラスト・ネットワーク・アクセスとは、ゼロトラストのセキュリティ原則に基づいて設計されたリモートアクセスソリューションです。 ZTNAは、 の従来のVPN（ ）とは異なり、ユーザーが必要なサービスにのみアクセスできるように設計されています。
「は、単に企業ネットワーク全体へのアクセスを許可するのではなく、ZTNAを利用して、リモートユーザーにサービスやアプリケーションをマッチングさせます。」
一方、VPNは通常、標準的なネットワークログインと同様に、ネットワークへの包括的なアクセスを提供するように設計されています。 このように、ZTNAはオンプレミスのゼロトラストアクセスソリューションと同様に機能し、単に企業ネットワーク全体へのアクセスを許可するのではなく、リモートユーザーに対して適切なサービスやアプリケーションを割り当てます。
一般的な企業においてリモートユーザーの数が増えるにつれ、ZTNAソリューションの重要性はますます高まっています。
ITおよびセキュリティの責任者は、ゼロトラストの導入をどのように進めればよいでしょうか？
ITおよびセキュリティの専門家は、ゼロトラスト戦略を導入するために、以下の手順を踏むことができます：
- 自分が何を持っているか把握しておきましょう。 ゼロトラストを実現するには、 による可視化が不可欠です。 モノのインターネット（IoT）デバイスを含むすべてのシステムの詳細なインベントリ作成は、ゼロトラストインフラストラクチャを構築するための第一歩となります。 このプロセスを自動化するツールは数多くありますが、デバイスがリモートで利用されている場合、検出作業は複雑になることがあります。
- お使いのデバイスが何をしているのか把握しておきましょう。 設備の台帳を作成するのはあくまで第一歩に過ぎません。次のステップは、その設備がどのように稼働しているかを理解することです。 システムは最新の状態になっていますか？ のパッチ（ ）は適用されましたか？ それらはセキュリティポリシーに準拠していますか？
[関連記事：御社の従業員はセキュリティポリシーを遵守していますか？ 時には、（彼らにとっては）正当な理由があると思われるからといって、ルールを破ってしまうこともあります]
- 可能な限り、攻撃対象領域を縮小してください。 使用されていないデバイスは削除し、不要になったユーザーアカウントは無効化し、使用されていないサービスは停止してください。 ゼロトラストソリューションは、何か異常があった場合にアクセスを阻止するように設計されています。 しかし、侵害される可能性のあるデバイスやサービスを可能な限り少なくすることができれば、このアプローチははるかに効率的かつ効果的になります。 ネットワークをセグメント化することも、攻撃対象領域を縮小するためのもう一つの効果的な方法です。
- まずは、ユーザー中心のセキュリティ強化から始めましょう。 多要素認証やシングルサインオン（SSO）によるID管理システムなどのソリューションを導入してください。 これらのツールは、ZTNAやロールベースのアクセス制御（RBAC）といった、より高度なゼロトラスト技術を取り入れることで、将来的に機能強化が可能です。RBACは、ユーザーと許可された行動とを結びつける上で重要な役割を果たします。
ゼロトラスト・ネットワーク・アーキテクチャの導入には、どのような課題がありますか？
ゼロトラストでは、単にソフトウェアをインストールするだけで済ませることはできません。 がゼロトラスト・ネットワーク・アーキテクチャの構築および維持において直面する課題（ ）には、以下のものが挙げられます：
- ゼロトラストの規模と範囲は、非常に広大になる可能性があります。 ゼロトラストは、多くの企業にとって新しい概念であり、正しく導入するには時間がかかります。 最善の戦略は、まず重要なシステムやユーザーを少数選び、これらの領域にゼロトラストソリューションを導入してその有効性を実証した上で、より広範囲に展開していくことです。
- 正当な活動であっても、誤って停止されてしまうことがあります。 初期のゼロトラスト型サイバーセキュリティソリューションの多くは、ユーザーが本来アクセスできるはずのデータやサービスへのアクセスを、誤ってブロックしてしまうことがありました。 ゼロトラストソリューションによってCEOが売上記録にアクセスできなくなってしまうようなことがあれば、そのソリューションは長く使われなくなるでしょう。 正当な脅威からの保護と、長期的な利便性とのバランスを保つよう、細心の注意を払う必要があります。
- 遅延があると、ゼロトラストの有用性が低下する可能性があります。 ゼロトラストソリューションの中には、危険な活動を検知するのが得意なものもあるかもしれません。 しかし、被害を避けるために、時間内にそれを食い止めることができないかもしれません。 ゼロトラストはリアルタイムで最も効果を発揮し、破壊的な行為がIT環境全体に広がる前に未然に防ぎます。
- 互換性の問題は、次々と発生する可能性があります。 古いレガシーシステムは、ゼロトラストソリューションと互換性がない場合があり、アップグレードが必要になることがあります。 ITインフラを最終的にゼロトラストへとアップグレードしない場合、攻撃の標的となる恐れがあります。
- ゼロトラストには、継続的な警戒が必要です。 ネットワーク全体にゼロトラストを導入した後も、その有効性を維持するためには、システムの定期的な更新やメンテナンス、そして新たな攻撃経路への注意が引き続き必要となります。
