ゼロトラスト成熟度モデルとは何か、自社においてどのように活用すればよいか
| 執筆者： | コンサルタント 渡邉 雄大 |
近年、クラウド利用の拡大やリモートワークの普及により、社内と社外の境界が曖昧になる中、サイバー攻撃も巧妙化しており、従来の境界防御のセキュリティ対策は限界を迎えています。これに代わる新たな標準として、「何も信頼せず、常に検証する」というゼロトラストという考え方が注目を集めています。
しかし、ゼロトラストは特定の製品を導入すれば完了するものではなく、組織全体の方針・構造を段階的に変革していく継続的なプロセスです。多くの組織は、「概念は理解したが、自社の対策がどのレベルにあるのかをどう評価すべきか、具体的に何から着手すべきか」という課題に直面している状況です。
本記事では、こうした課題に対して一つの指針となる、CISA（米国国土安全保障省傘下のサイバーセキュリティ・インフラ安全庁）が発行したガイドライン「ゼロトラスト成熟度モデル（Zero Trust Maturity Model2.0、以後ZTMM2.0）」について解説します。
ゼロトラストとは
ZTMM2.0の解説の前に、まずはゼロトラストという考え方について解説します。ゼロトラストは、境界防御では防ぐことができない脅威に対抗するために考案された防御手法です。境界防御は、インターネットと社内ネットワークをファイアウォールという壁で隔てることで外部からの侵入を防ぐ手法ですが、このモデルには決定的な弱点があります。一度壁を越えられてしまうと、攻撃者が自由に活動できてしまうことです。
特にコロナ禍以降は、リモートワークおよびクラウドサービスの利用が普及したことで、社内外を区別する境界線を明確に定義することが困難になってきており、境界防御には限界があると考えられています。このような背景から、「何も信頼せず、すべてを検証する」というゼロトラストへの移行は、もはや選択肢ではなく、サイバーセキュリティにおける必須要件となりつつあります。
このように、ゼロトラストへの移行に注目が集まる中、多くの組織が直面している課題は「何から手をつけるべきか」という優先順位の決定にあると推察します。そこで参考となるのが、客観的な指標に基づいてゼロトラストの成熟度を評価し、段階的な改善計画の検討に活用できるZTMM2.0です。
ZTMM2.0の背景と位置づけ
ZTMM2.0は、組織のゼロトラストへの取り組み状況を整理・評価するためのモデルです。2023年4月に最新バージョンが正式リリースされています。このガイドラインは、2021年5月の大統領令（EO14028「国家のサイバーセキュリティの向上」）などを背景に、米国連邦政府機関のゼロトラスト戦略や実装計画を支援するために、CISAによって策定されたものです。ZTMM2.0は、ゼロトラストの基本的概念をまとめたNIST SP800-207を基に作成されています。
その基本概念とは、NIST SP800-207で示された、ゼロトラスト・アーキテクチャの基本的な7つの原則とネットワーク構築時の6つの前提条件です。これらはZTMM2.0を理解する上で押さえるべきポイントです。この原則と前提条件は、境界で守る発想からアクセスのたびに信頼を確認する発想への転換を促しています。これは単なるセキュリティ上の設定変更ではなく、性善説ベースの運用から事実ベースの動的な制御への情報管理体制のアップデートです。
ゼロトラスト・アーキテクチャの基本的な7つの原則
７つの原則は、ネットワーク境界の内外を問わずすべての情報のやり取りを信用せず、常にアクセスを確認しながら、必要最小限のアクセスを許可する考え方を示しています。
- すべてのデータソースとコンピューティングサービスをリソースと見なす
- ネットワークの場所に関係なくすべての通信を保護する
- 企業リソースへのアクセスをセッション単位で許可する
- リソースへのアクセスはクライアント・アイデンティティ、アプリケーション、サービス、リクエストする資産の状態、その他の行動属性や環境属性を含めた動的ポリシーにより決定する
- すべての資産の整合性とセキュリティ動作を監視し、測定する
- すべてのリソースの認証と認可を行い、アクセスが許可される前に厳格に実施する
- 資産、ネットワークインフラ、通信の現状について可能な限り多くの情報を収集し、セキュリティ体制の改善に利用する
ネットワーク構築時の6つの前提条件
ネットワーク構築時の6つの前提条件は、「社内のネットワークは安全」と見なすのではなく、クラウドやモバイル端末、リモートアクセスの利用を前提に、境界の内外を問わず信頼を検証する考え方を示しています。
- 企業のプライベートネットワークは暗黙のトラストゾーンと見なさない
- ネットワーク上のデバイスは、企業が所有していない、または企業が管理・設定できない場合がある
- どんなリソースも本質的に信用されるものではない
- すべての企業リソースが企業のインフラストラクチャ上にあるわけではない
- リモートからアクセスするユーザーや資産は、ローカルネットワークへの接続を完全に信用することはできない
- 企業のインフラストラクチャと非企業のインフラストラクチャとの間で移動する資産とワークフローには、一貫したセキュリティポリシーが必要
このように、ZTMM2.0を理解する上では、「境界の内側は安全」という前提を置かず、アクセスのたびに信頼を確認するという考え方を押さえておくことが重要です。
ZTMM2.0が示す5つの柱
ここからは、ZTMM2.0の構成要素を見ていきましょう。図1に示されるように、ZTMM2.0は「Identity（アイデンティティ）」「Devices（デバイス）」「Networks（ネットワーク）」「Applications ＆ Workloads（アプリケーションとワークロード）」「Data（データ）」という5つの柱で整理されています。
図1：Zero Trust Maturity Model Pillars
- Identity（アイデンティティ）
すべてのアクセスの起点となる要素です。組織は、ID管理だけでなく、ユーザーの振る舞いの分析まで行います。例えば、従来のパスワード認証から多要素認証の導入、さらにはリスクベース認証へと発展させていくことなどが求められます。 - Devices（デバイス）
アクセスに使用される端末の健全性を管理する要素です。端末の資産台帳管理に加え、リアルタイムな状態確認を行います。例えば、会社支給のPCではOSが最新でウイルス対策ソフトが動作している場合のみアクセスを許可するといったような制御を自動化することなどが求められます。 - Networks（ネットワーク）
通信経路とインフラの保護を対象とします。ネットワークを細かく分断するマイクロセグメンテーションや、全通信の暗号化を行います。例えば、同一ネットワーク内であっても、サーバー間の通信を最小限に制限し、ランサムウェアの横展開を防ぐことなどが求められます。 - Applications and Workloads（アプリケーションとワークロード）
アプリケーション層での保護を対象とします。組織は、アプリケーションの安全な配信と、アクセス権限の最小化を行います。例えば、アプリケーションごとにアクセス権限を細かく設定し、必要最小限の権限のみを付与することなどが求められます。 - Data（データ）
最も守るべき資産そのものを対象とします。組織は、データの分類、暗号化、データ漏洩防止対策を行います。例えば、ファイルの内容に応じて機密レベルを自動でタグ付けし、重要データの外部持ち出しをシステム的に遮断することなどが求められます。
5つの柱を横断する3つの機能
ZTMM2.0では、前述の5つの柱を横断し、効果的に機能させるための要素として次の3つの機能が挙げられています。
- Visibility and Analytics（可視化と分析）
環境やイベントに関する情報を可視化・分析し、リスク把握や対応判断に活用する機能 - Automation and Orchestration（自動化とオーケストレーション）
セキュリティ対応に必要なツールやワークフローを自動化・連携し、対応の効率化を図る機能 - Governance（ガバナンス）
組織のポリシーや手順、プロセスを各柱に一貫して適用し、リスク低減につなげる機能
これらは各柱の相互運用性を支援する役割を果たしています。「デバイス」の柱を例にすると、「可視化・分析」機能が自動分析を行い、デバイスの異常を検知します。そして、共通の「ガバナンス」機能によって定められたポリシーに基づき対応を実施し、「自動化・オーケストレーション」機能により整備したツールが即座に「アイデンティティ」の柱における権限停止や「ネットワーク」の柱の方針に沿って隔離を実行します。
このように、5つの柱が独立して動くのではなく、3つの機能を共通基盤として各柱がリアルタイムに情報をやり取りすることで、組織全体で防御することが可能になります。これにより、巧妙な攻撃を見逃すリスクを抑えるとともに、膨大な検証作業を自動化することで、運用の破綻を防ぎながら迅速に対応できる持続可能なセキュリティ体制が実現します。
さらに、この3つの機能は5つの柱に加えて、次項で説明する4つのレベルすべてにおいて横断的に適用することが求められます。
ZTMM2.0が提唱する成熟度を表す4つのレベル
ZTMM2.0では、図2のように各柱においてゼロトラストの成熟度を4つのレベルに評価します。この段階的なレベル設定により、組織はゼロトラストという広大な目標に対して自社の現在地を把握し、「次に何を目指すべきか」という具体的な成長ロードマップを可視化できるようになります。
これにより、いきなり完璧な状態を目指して挫折することなく、自社の実情に合わせた無理のない投資と段階的な改善を進めることができます。また、経営層と現場が共通の物差しでセキュリティレベルを評価できるため、投資の優先順位付けや意思決定をスムーズに進められることも大きな利点です。各レベルの基準は次の通りです。
図2：ゼロトラスト成熟度の発展段階
Traditional（従来）
- システムの構築から廃棄までのライフサイクルにおける設定や、セキュリティおよびログ機能といった属性の割り当てが手動で行われているか
- セキュリティポリシーとソリューションが静的であり、外部システムとの個別の依存関係を持ちながら各柱が個別に対応している状態か
- 最小権限の設定がアカウント作成時にとどまっているか
- ポリシーの執行が各柱で分断されているか
- 問題への対応や緩和策の展開が手動で行われているか
- 依存関係、ログ、遠隔測定情報の相関分析が限定的か
Initial（初期）
- 属性の割り当て、ライフサイクルの設定、ポリシーの決定と執行の自動化を開始しているか
- 外部システムとの統合を伴う初期段階の柱をまたいだソリューションを導入しているか
- アカウント作成後も状況に応じて最小権限の見直しが行われるか
- 内部システムにおいて情報が集約され、可視化されているか
Advanced（高度）
- 適用可能な箇所ではライフサイクルの設定・ポリシー割り当ての自動制御を柱間の連携を伴って実施しているか
- 中央集約的な可視化とアイデンティティ制御を実現しているか
- ポリシーの執行が柱をまたいで統合されているか
- 事前に定義された緩和策に基づき問題に対応しているか
- リスクおよびセキュリティ態勢の評価に基づき最小権限を動的に変更するか
- 外部ホストのリソースを含め、組織全体の状況を把握するための仕組みを整備しているか
Optimal（最適）
- 完全に自動化されたジャストインタイム（JIT）なライフサイクルを実現しているか
- トリガーに基づき資産やリソースが自動で通知を行い、動的なポリシーによって属性が割り当てられるか
- 組織全体の資産に対し、動的な最小権限アクセスを適用しているか
- 継続的なモニタリングのもと、各柱が相互に運用されているか
- 包括的な状況把握を伴う中央集約的な可視化を実現しているか
これらの4つのレベルの評価基準を見ても違いがわかりにくいと思います。そこで、表1に4つのレベルの特徴と運用の状態を簡潔にまとめました。この表から、Traditional（従来）からOptimal（最適）に向かって、対象範囲の拡大とシステムによる自動化が求められていることがわかります。
【表1】4つのレベルの特徴と運用状態
| レベル | 特徴 | 運用状態 |
|---|---|---|
| Traditional （従来） |
境界防御に依存 | 手動運用が多く、静的なポリシーが適用 |
| Initial （初期） |
一部で自動化を開始 | 特定の領域（クラウドアプリなど）でのみ多要素認証などを導入 |
| Advanced （高度） |
柱をまたいだ連携 | 動的なポリシーが適用され、一定の自動化が実現 |
| Optimal （最適） |
高度な自動化と継続的監視 | 異常検知と同時にシステムがアクセス権限を即座にはく奪 |
ニュートン・コンサルティングが作成
ZTMM2.0では、5つの柱、4つの成熟度レベル、それらを横断する3つの機能の関係が整理されています。図3は、その全体像をデジタル庁資料が日本語で示したものです。
図3：ゼロトラスト成熟モデルの全体像
※CISA「Zero Trust Maturity Model Version 2.0」Figure 4を基に作成
さらに、ゼロトラスト環境構築のために導入すべき具体的なツールについては、IPA（情報処理推進機構）が公開している「ゼロトラスト導入指南書」が有用です。同資料では、ゼロトラスト導入時に検討すべき技術要素が種類ごとに分類・整理されているため、自社が目指すレベルに合わせたツールを選定する際に活用できます。
ZTMM2.0をどのように活用するか
実際に日本企業がZTMM2.0を活用するにあたって留意すべきはNIST SP800-207との関係性です。NIST SP800-207がゼロトラスト・アーキテクチャの基本概念を整理した文書であるのに対し、ZTMM2.0は、組織が現在地を把握し、段階的に成熟度を高めるための評価・ロードマップとして活用しやすいモデルです。
そのためZTMM2.0は、あくまでも前述したゼロトラスト・アーキテクチャの基本的な7つの原則およびネットワーク構築時の6つの前提条件をベースに段階的な移行手段を示すもので、「単にEDRなどのセキュリティツールを導入すればゼロトラストを実現できる」というようなものではないことにご注意ください。
では、どのようにZTMM2.0を活用すればよいのでしょうか。具体的には以下の3ステップが想定されます。
① アセスメントの実施
5つの柱ごとに、自社が現在どの段階（Traditional～Optimal）にあるかを客観的に評価する。
② ギャップの特定
「ID管理はAdvancedだが、データ管理はTraditional」といったギャップを可視化する。
③ 投資の最適化
全体を一気にOptimalへ引き上げることは難しいため、自社のビジネスリスクに基づき、優先度の高い領域へ投資する。
ステップ①～③の流れについて具体例を基に考えてみましょう。
- ＜具体例＞
-
全国展開するドラッグストアのA社は、クラウド利用増加により境界防御が形骸化しており、店舗端末の管理レベルにばらつきがあった。また、A社では個人情報・処方データを扱うため、情報漏えいリスクが高く、ランサムウェア被害への懸念もあった。
そこで、ZTMM2.0を活用し自社のゼロトラスト成熟度を評価した結果（①）、「IdentityはAdvancedだがDataとNetworksはInitial」というギャップが可視化された（②）。これは、「認証は強いのに、侵入後の横展開を防げない」ということを意味している。そこで、すべての柱を一律に高度化するのではなく、顧客情報漏えいや店舗停止リスクを踏まえてData・Devices・Networks領域の目標レベルを優先的に強化することで、事業リスクに応じた効率的なゼロトラスト投資を実現した（③）。
このように、ステップ①～③を踏むことで、ゼロトラスト環境の構築に向けて自社に必要な対応が明確になり、定量的な説明が可能となります。これが全社的なDX推進とセキュリティの両立に悩む経営層への説得材料になり、予算確保の強力な根拠にもなります。
もっとも、ステップ①～③への対応は情報システム部門やセキュリティ部門だけでは完結しません。なぜなら、5つの柱を管轄する部門がそれぞれ異なる組織が多いからです。例えば、IDのライフサイクル管理には人事異動データのリアルタイム連携が不可欠であるなど、人事部門や総務部門といった複数の部門間で連携する必要があります。
次章では、体制の観点からゼロトラスト環境を構築するためのポイントについてお伝えします。
ゼロトラスト環境の構築に向けた推進体制
ゼロトラストの推進は、情報システム部門やセキュリティ部門だけで完結するものではありません。5つの柱は、組織内の複数部門にまたがることが多いためです。例えば、IDのライフサイクル管理には人事異動データとの連携が必要になり、デバイス管理には情報システム部門、データ分類には各事業部門の協力が必要になります。
そのため、ゼロトラスト環境を構築する際には、CISOや情報セキュリティ責任者、情報システム部門、リスク管理部門、事業部門などが連携し、全社的な推進体制を整えることが重要です。CISOが設置されている組織では、CISOが全体方針や優先順位を示し、部門間の調整を担うことが期待されます。CISOが設置されていない組織でも、経営層の関与のもとで責任者と意思決定プロセスを明確にする必要があります。
特に重要なのは、部門ごとの部分最適にとどまらず、組織全体で一貫したポリシーを適用することです。ZTMM2.0が示す「自動化・オーケストレーション」や「ガバナンス」は、単なる技術機能ではなく、部門を横断した運用ルールや権限設計と密接に関係します。
したがって、技術的なロードマップを描く前に、ゼロトラストを経営課題として位置づけ、部門を越えたデータ連携、アクセス権限管理、ポリシー適用のあり方を検討することが、成熟度向上の重要なポイントになります。
おわりに
ゼロトラスト環境の構築は、一度のセキュリティツール導入で完了する対策ではありません。自社のリスクやシステム環境の変化に合わせて、継続的に改善していく取り組みです。
ZTMM2.0は、その長い道のりを進むための指針となります。5つの柱、3つの横断的機能、4つの成熟度レベルを使って自社の現在地を把握することで、次に取り組むべき課題を整理しやすくなります。
また、ゼロトラストはITの変革であると同時に、ガバナンスの変革でもあります。技術導入だけでなく、部門間の連携、ポリシーの整備、継続的な運用改善を進めることが、組織全体のセキュリティレベル向上につながります。
本記事が、読者の皆様の組織において、ゼロトラストの取り組みを具体化する一助となれば幸いです。
