ゼロトラストとは？「社内だから安全」を見直す新しいセキュリティの考え方
| 執筆者： | ニュートン・コンサルティング 編集部 |
| 改訂者： | ニュートン・コンサルティング 編集部 |
従来のセキュリティでは、組織の内部ネットワークと外部ネットワークの境界を重点的に守る考え方が有効でした。しかし、近年ではクラウドサービスやBYODの普及などにより境界が曖昧になり、状況が大きく変化し、境界を突破されることを前提とした対策が求められるようになりました。そこで、組織の内外を問わずにいかなるアクセスも信用せず、すべてを検証してセキュリティを確保する「ゼロトラスト」という考え方が登場し、主流となっています。
本記事では、ゼロトラストの概要、原則、実現技術とメリット、課題について説明します。
ゼロトラストとは
ゼロトラストとはセキュリティに関する考え方の一つで、いかなるユーザーや端末も信用せず、すべての情報資産へのアクセスを検証して安全を確保するというアプローチです。従来の境界型セキュリティに代わり、セキュリティモデルの主流となっています。
ゼロトラストでは、組織の内部のネットワークにも脅威がすでに侵入している可能性があり、予断を排してすべてのアクセスに対して検証を行います。
ゼロトラストは、セキュリティプロダクトの形態ではなく、セキュリティについての概念です。組織のセキュリティ確保に向けては、ゼロトラストを実現する複数のプロダクトを組み合わせて対策します。
境界型防御・VPNとの違い
境界型防御（境界型セキュリティ）は、組織内部のネットワークと外部のネットワークをはっきり区別しその境界を守るというセキュリティのアプローチです。
境界型防御は従来のセキュリティでは主流のモデルでした。組織内部のネットワークと外部との境界が明確であれば有効なアプローチでしたが、クラウドサービスの利活用、BYOD（Bring Your Own Device）やリモートワークなどの普及により境界が曖昧化したことで、境界型防御では十分なセキュリティが確保できなくなりました。
ゼロトラストとの大きな違いは、組織の内と外を分け、組織内を信用できると考えることです。ゼロトラストはすべてのアクセスを信用せず、検証する点が異なります。
VPN（Virtual Private Network）は、仮想回線通信網と訳されるネットワーク技術です。インターネット上に仮想の専用線を作成し、社内ネットワークなどへのセキュアなアクセスを実現します。ソフトウェア・ハードウェア・クラウドサービスなど様々な形態を組み合わせて提供されています。
VPNとゼロトラストとは対立するものではなく、VPNはセキュリティを考慮したネットワーク構築技術の一つ、ゼロトラストはセキュリティに対する概念であるという違いがあります。
ゼロトラストの7原則
NIST SP800-207ではゼロトラストに関する基本的な7つの考え方として下記を挙げています。
※邦訳は、独立行政法人 情報処理推進機構 産業サイバーセキュリティセンター 中核人材育成プログラム 4期生 ゼロトラストプロジェクト「ゼロトラスト導入指南書～情報系・制御系システムへのゼロトラスト導入～」より参照
- すべてのデータソースとコンピューティングサービスをリソースとみなす
- ネットワークの場所に関係なく、すべての通信を保護する
- 企業リソースへのアクセスをセッション単位で付与する
- リソースへのアクセスは、クライアントアイデンティティ、アプリケーション/サービス、リクエストする資産の状態、その他の行動属性や環境属性を含めた動的ポリシーにより決定する
- すべての資産の整合性とセキュリティ動作を監視し、測定する
- すべてのリソースの認証と認可を行い、アクセスが許可される前に厳格に実施する
- 資産、ネットワークのインフラストラクチャ、通信の現状について可能な限り多くの情報を収集し、セキュリティ体制の改善に利用する
主な実現技術
ゼロトラストモデルを実現するセキュリティ技術、プロダクトの代表的な例には下記が挙げられます。
- EPP（Endpoint Protection Platform）
- 端末へのマルウェアの侵入を防ぐ。
- EDR（Endpoint Detection and Response）
- 端末上のソフトウェアの振る舞いを監視し、マルウェア感染、外部からの侵入を迅速に検知する。脅威の分析、封じ込め、対応・復旧までを行う。
- MFA（Multi-Factor Authentication）
- 多要素認証。記憶情報、所持情報、生体情報などの認証を組み合わせて認証を行う。
- IAM/IGA（Identity and Access Management/Identity Governance and Administration）
- IDの認証と許可、ガバナンス統制などを管理する。
- CWPP（Cloud Workload Protection Platform）
- クラウド上で稼働するリソースを保護する。
- SOAR（Security Orchestration, Automation and Response）
- セキュリティ運用の自動化、効率化を行う。
- SWG（Secure Web Gateway）
- 組織のユーザーのWeb利用時に、マルウェア感染や危険なサイトへのアクセスをブロックする。
- CASB（Cloud Access Security Broker）
- 組織で利用するクラウドサービスへのアクセスを一括で監視、管理する。
- SIEM（Security Information and Event Management）
- 多岐にわたるセキュリティログを統合的に監視して、リアルタイムに脅威を検知する。
- MDR（Managed Detection and Response）
- 組織のセキュリティを外部リソースが監視、支援するサービス。
いずれも一つの製品でゼロトラストモデルによるセキュリティ基盤構築が完結するわけではなく、組み合わせて利用します。
メリットと課題
ゼロトラストモデルに沿ったセキュリティの実現の最も大きなメリットは、サイバー脅威のリスクを軽減できることです。変化し続けるデジタル基盤に対して、可能な限りのリスク低減を図る重要な概念といえます。
また、ゼロトラストでのセキュリティが確保できていれば、リモートワークなどの多様な働き方をサポートすることもできます。組織がクラウドサービスを安全に活用し、その効果を最大限に享受できることもメリットです。さらに、ゼロトラストの浸透と並行して仕組みを作ることで、コンプライアンスの実現にもつながります。
一方、ゼロトラストを実現するにあたっては課題もあります。
まず、コストとリソースが必要となることです。導入に対する初期コスト、運用コスト、および管理リソースや体制なども用意しなければなりません。
ゼロトラスト実現に向けては、複数のセキュリティソリューションの組み合わせに向けた知見が必要なことも課題です。専門的な知識、スキルを持った人材の確保が前提となります。
ゼロトラストは、組織でのセキュリティを検討する上で欠かせない概念です。社外のみならず社内ネットワークも信用せず、すべてのアクセスを検証することでセキュリティを確保します。コストやリソース、知見なども必要となるため、自社の状況に照らし合わせて検討しながら取り入れることが重要です。
