次世代のセキュリティモデルにおける考え方として「ゼロトラスト」という言葉が用いられることが増えてきており、現在も注目を集めています。
ゼロトラストはあらゆるトラフィックを信用できない前提で考えていく思考法・概念で、次世代におけるセキュリティでも活用されています。
今回は、ゼロトラスト・ゼロトラストセキュリティの意味などについて解説していきます。

 

 

ゼロトラストとは

ゼロトラストは日本語に直訳すると「何一つ信用しない」ですが、その名の通り何も信頼しないことを前提にセキュリティ対策を講じるという考え方です。
また、ゼロトラストセキュリティとは、セキュリティ対策においてあらゆるものに疑い・警戒心を持って対策を進めていくことを指します。
ゼロトラストセキュリティの保護すべきものは機密情報を含むあらゆる社内データとし、重要なデータなどにアクセスすることに対して、すべて信頼しないことを前提にセキュリティ対策を進めていく考え方がゼロトラストセキュリティとなります。

ゼロトラストセキュリティを略してゼロトラストと呼ぶこともありますが、厳密には以下のように分類されます。

 

• ・何一つ信用しない考え方・概念 ：ゼロトラスト
• ・ゼロトラストの概念に基づいた次世代セキュリティ：ゼロトラストセキュリティ
• ・ゼロトラストセキュリティを実現したネットワーク：ゼロトラストネットワーク

ゼロトラストが求められる理由

従来のセキュリティは、誰もが利用する公共のインターネットから社内ネットワークを切り離して隔離し、ネットワークを通じて社内の情報にアクセスできる人を制限することでインターネットセキュリティを確立していました。

昔はこの従来のセキュリティアプローチを徹底していればインシデントにつながることは少なかったのですが、現在は従来と比較して働き方が大きく変化しており、従来のネットワークセキュリティでは大きなインシデントに繋がってしまう可能性があります。

守るべき資産が境界の外側に存在するようになったから

企業の資産は、外部に存在するようになりました。

クラウドサービスを利用する企業が増加しており、企業のデータが社外にある状態も珍しくありません。

 

リモートワークを活用する働き方が一般的になったことにより、業務用パソコンを外部のネットワークに接続する機会も増えています。

守るべきデバイスやデータが外部のネットワークにあるため、「社内ネットワークを外部の脅威から守る」ことは、実質的な意味を失っています。

内部のパソコンによる不正アクセスを防げないから

境界防御型では、内部のパソコンを踏み台にした不正アクセスを防げません。

社外から入ってくる通信は厳しくチェックしますが、社内デバイスを起点とする通信に対しては、チェックが緩いからです。

社内デバイスが外部から操られた場合、社内資産が漏洩してしまうリスクは高いといえます。

ゼロトラストと従来型（境界防御）の違い

ゼロトラストと従来型（境界防御型）の主な違いについて、3つの観点から解説します。

アクセス元の信頼性を重視

境界防御では、IDとパスワードが一致すればアクセス許可を与えますが、ゼロトラストではIDとパスワードに加え、アクセス元の信頼性を重視します。

 

「本当に本人なのかどうか」と「本人だとしてもデバイスがマルウェアに感染していないか」を、IDとパスワード以外の情報から判断するのです。

 

IDとパスワード以外の情報には、たとえば以下のようなものがあります。

 

・デバイスの場所（いつもと異なる場所でないか）

・ソフトウェアのアップデート状況（デバイスの安全性が高いか）

・デバイスの挙動（マルウェアへ感染していないか）

信頼性の状況によりアクセス権を変更する

もしアクセスしている人物が本人でない、またはデバイスがマルウェアに感染している可能性が高いと判断される場合、あらかじめ定められたポリシーに応じて、アクセス権が変更されます。

 

たとえば、通常時は社内のサーバーにアクセスできるIDであっても、社内サーバーへの接続が拒否されるでしょう。

この信頼性を評価するしくみはアクセスの都度行われます。

 

もしマルウェアに感染した社内デバイスが社内サーバーへ接続しようとしても、アクセスは拒否されるでしょう。

動的にアクセス権限が変更されることにより、強固なセキュリティ対策を実現できます。

すべてのアクセスを監視する

デバイスの接続しているネットワークが社内か社外かに関わらず、ゼロトラストシステムではすべてのデバイスが評価の対象となります。

システムにアクセスしようとするデバイスが社内ネットワーク上にあったとしても、「デバイスの挙動を評価するシステム」を経由しないと、アクセス権を与えられません。

 

このようにゼロトラストシステムでは、一貫したセキュリティを提供できます。

一方境界防御型においては、「社外から社内に入ってくる通信」と「社内から社外に出ていく通信」を監視しているものの、「社内間の通信」は無条件に信用しているケースが多いでしょう。

 

またクラウドサービスのセキュリティ設定については、アクセス権限の設定のみにとどまっているケースが多いと思われます。

このように資産が置かれている場所やデバイスが接続しているネットワークによって、境界防御型はセキュリティの強度にムラがあります。

ゼロトラストセキュリティを実現する考え方

ゼロトラストセキュリティを実現するためには従来のセキュリティアプローチでは実現できず、ゼロトラストを前提にセキュリティ対策を進める必要があります。

続いては、ゼロトラストセキュリティを実現するための考え方について見ていきましょう。

脱VPNを進める

現在 VPN を用いて社外アクセスのセキュリティを確保している場合は脱VPNを進めるべきでしょう。

 

書類形式の統一

ゼロトラストセキュリティではあらゆるデータへのアクセスを信頼できないものとして処理するために、デジタルデータへ統一するケースが多いです。

紙の書類の場合、持ち出しによる情報漏えいに繋がりやすいほか、いつどこで誰が流出させたかどうかの特定も困難です。

 

社外で働くシーンが増加していることもあり、ゼロトラストセキュリティでは書類形式の統一はセキュリティだけでなく業務効率の面でも有効でしょう。

そのため、すべての書類をデジタルデータ化してアクセスログを監視できる体制がゼロトラストセキュリティでは求められます。

完成されたクラウドサービスの活用

社内でセキュリティシステムを開発したケースではセキュリティにコストを割きすぎるあまり業務効率が疎かにされていることが珍しくありません。

また、一度完成させたセキュリティシステムを時代の変化に合わせてアップデートを繰り返すことをしない場合は、時が経つにつれて脆弱なシステムへと成り下がってしまい、好ましくありません。

しかし、現在はクラウドサービスの普及によりゼロトラストセキュリティの実現に利用できるセキュアなサービスが数多くリリースされています。

 

EAAの導入

ゼロトラストセキュリティの実現に用いられるケースが増えてきたEAA(Enterprise Application Access)。

クラウド上のソフトウェアを認証されたユーザーのみが利用できるようにすることで、信頼できない端末を拒否しつつ安全にインターネットを通じて社内データ・ソフトウェアへのアクセスが可能になります。

EAAを提供しているサービスを利用することにより、以下の恩恵を得られます。

 

 

• ・VPNを必要としない
• ・信頼できない端末の拒否
• ・端末の結合
• ・導入・拡張しやすい

 

VPNを必要としないため、トラフィックが急増してキャパシティ不足に陥ることもなく、拡張性も高くなっています。

EAAはゼロトラストに則っているためEAAに接続するユーザーを誰一人信用することがありません。そのため、EAAへの接続には必ず多要素認証などによって認証しても良いユーザーかどうかを確認します。

新しい接続のたびに認証が行われるほか、多要素認証がほとんどであるためソーシャルエンジニアリングにも強いなど、現在注目されているゼロトラストセキュリティを実現する手段のひとつです。

ゼロトラスト思考は現代ITでは必要不可欠

※記載している内容は、掲載日時点のものです