.svg)
サイバー脅威の増大、複雑化が進む中で、より強力なセキュリティプロトコルの必要性が高まっています。そのため、従来のネットワーク境界を中心にセキュリティを維持するセキュリティアーキテクチャは、時代遅れとなりました。
そこで登場したのが「ゼロトラスト」です。このセキュリティアーキテクチャは、ネットワーク境界や特定のユーザーデバイスに基づいた信頼モデルに依存するのではなく、信頼の概念を根本的に見直すものです。ゼロトラストは、組織内外を問わず、本質的に信頼できるユーザーやデバイスは存在しないことを前提としています。
本ブログでは、ゼロトラストの起源、進化、使用例、セキュリティへの影響について深掘っていきます。
「ゼロトラスト」は特別新しい概念ではなく、2010年にForrester Researchの主任アナリストを務めていた、John Kindervag氏によって提唱されました。
この概念は、「VPN経由でネットワークに接続しているからといってユーザーや組織を信頼するのではなく、アクセスを許可する前にすべてのリクエストを精査すべきだ」という、John Kindervag氏の大胆な発想に基づいています。
ゼロトラストは当初、ネットワーク視点でのセグメンテーションを通じて、内部の脅威アクターから生じるリスクを最小化し、ネットワーク内での脅威の拡散を防ぐことに重点を置いていました。
従来のネットワークは、単一のネットワークやファイアウォール機能を備えていましたが、現在の企業は、より複雑なインフラを扱っています。例えば、クラウドインフラや端末デバイス、組織外でのユーザーやデバイスの移動を可能にするオフプレミス環境などです。
このような時代の変化に合わせてゼロトラストは、複雑かつ分散型の環境に対応するため、内部だけでなく外部のやり取りも保護できるセキュリティ対策を導入し始めました。
従来のセキュリティソリューションは、VPNやファイアウォールなどのネットワーク境界防御に依存し、内部システムを保護するものでした。そのためこのモデルでは、ネットワーク内のユーザーは信頼され、ネットワーク外のユーザーは悪意があると見なされることが前提となっています。
しかし、このアプローチでは、内部のユーザーやデバイスが脅威となったり、認識されていないデバイスで設定が侵害されたりするリスクが生じやすく、セキュリティのパラダイムが脆弱になる問題があります。
現代社会では、クラウドコンピューティングの利用拡大やモバイルデバイスの急速な普及が進み、ユーザーやデバイスも多様化し、様々な環境に分散しています。そのため、従来の境界型セキュリティモデルを効果的に適用するのが難しくなっており、企業でも従業員が単に社内ネットワークに接続するだけでは、十分なセキュリティの確保が難しくなっています。
ゼロトラストは、このような問題を解決するために、すべてのユーザーやデバイスを「信頼できないもの」として扱い、信頼性が証明されるまでアクセスを許可しないアプローチを採用しています。
ゼロトラストは、「信頼せず、常に確認する」という考え方に基づいたセキュリティモデルです。ゼロトラストの主な構成要素は、以下の通りです。
1 . 明示的な検証
すべてのユーザーやデバイスは、リソースにアクセスする前に、自分の身元と意図を証明する必要があります。
2 . アクセス管理
ユーザーやデバイスへは、タスクを実行するために必要な最小限の権限のみが与えられます。もし、ユーザーのアカウントが侵害された場合、攻撃者はそのユーザーが持つ権限と同じ範囲のアクセスしか得られません。
3 . 多要素認証
多要素認証は、アイデンティティおよびアクセス管理（IAM）の重要な機能です。特に、マルチファクター認証は、万が一認証情報が盗まれたり漏洩した場合でも、自動的にサービスへのアクセスを許可しないようにする重要な仕組みです。
4 . マイクロセグメンテーション
ネットワークはより小さなセグメントに分割され、セグメント間の情報の流れは厳密に管理されます。これにより、ネットワーク内の一つのエンティティが侵害された場合でも、攻撃者がネットワーク内で不正に移動することが制限されます。
5 . デバイスとエンドポイント継続的な監視・分析によるセキュリティ
全ネットワーク内の相互作用は、不正アクセスや関連リスクを検出するために、継続的に監視しておく必要があります。ゼロトラストモデルでは、ネットワーク内のすべての相互作用と挙動を監視し、不審な動きに対してリアルタイムで反応します。
6 . 暗号化とデータ保護
ゼロトラストでは、すべてのデータが保存時や転送時に暗号化されることを前提としています。これにより、攻撃者がデータにアクセスした場合でもそのデータを使用できないようにし、「データ漏洩」の範囲を制限します。
ゼロトラストは、現在多くの組織で普及している、分散型環境に最適なセキュリティのパラダイムです。様々なケースに活用されており、以下に事例をいくつか挙げていきます。
・リモートワーク
コロナ禍以降、リモートワークを導入する企業も増え、急速に分散型ワークモデルへの移行が進んでいます。ゼロトラストネットワークによって、従来のVPN構造がなくても、どこからでも安全に企業リのソースにアクセスできるようになります。
・クラウドセキュリティ
多くの組織がクラウドやクラウドネイティブのメリットを理解しながらも、機密データをクラウド上に保管することに抵抗を感じている人がいるのも事実です。ゼロトラストネットワークアプローチは、データへのアクセスについて「誰でも」「どのネットワークからでも」厳しい認証と検証を要求することを保証し、クラウドの利用に対する安心感や信頼性を提供します。
▼ 関連記事 ▼
クラウドとは？コンピューティングやサービスの意味と一緒に解説
・M&A（合併と買収）
企業間での合併や買収が行われる場合にゼロトラストモデルを活用することで、統合されたシステムのセキュリティリスクを最小化することができます。特に、新しいデータが異なるネットワークやユーザーに加わることで生じるリスクを防ぐことができます。
・DevOps環境のセキュリティ
ゼロトラストは、開発チームと運用チームがクラウド環境やコードリポジトリに安全にアクセスできるようにし、内部／外部どちらの脅威からもソフトウェア開発環境を保護します。
▼ 関連記事 ▼
【DevOps】開発部門と運用部門の連携で、スピーディーなシステム開発を実現
ゼロトラストを実装するための一般的な例は、以下のとおりです。
・リスクベースのアプローチを採用する
重要な資産やユーザーを優先し、最も高いセキュリティが必要な部分に焦点を当てます。リスク評価を使用して、より強力なゼロトラスト制御が必要なネットワークの部分を特定します。
・多要素認証（MFA）の強化
多要素認証は、アクセスを許可する前に追加の確認を求めることで、セキュリティをより一層強化することができます。
・マイクロセグメンテーション
ネットワークを明確なセクションに分割することで、露出を減らし、機密ゾーンへのアクセスを制限します。このアプローチは、攻撃者がネットワークの一部を制御した場合でも、脅威が広がるリスクを減らすことができます。
・継続的な監視／監査
リアルタイムの監視を行うことで、ネットワーク活動の記録を保持することができます。AIや機械学習によるデータ処理を活用して、異常な動作を特定し、潜在的なセキュリティ脅威に対して、迅速に対応します。
・最小限のアクセス権限を付与する
ユーザーやデバイスは、必要なリソースにのみアクセスできるようにします。リソースへのアクセスの定期的なレビューを実施し、例外が発生していないことを確認します。
・エンドポイントのセキュリティ保護
ネットワークに接続するすべてのデバイスに対して同様のセキュリティ基準を適用し、ソフトウェアやパッチを常に最新の状態にします。
ゼロトラストは強固なセキュリティフレームワークを提供するために作られましたが、以下のような課題も残っています。
・複雑性
ゼロトラストを実装するには、既存のセキュリティの大規模な見直しが必要で、これには高額なコストや長期にわたるシステム停止が発生する可能性があります。また、レガシーシステムがある場合、無駄な複雑性が生じることがあります。
・ユーザー体験
ゼロトラストモデルでは、認証や検証が適切に実装されていない場合、ユーザーにとって負担となる可能性があります。そのため、セキュリティと使いやすさのバランスをうまく取ることが求められます。
・拡張性
大企業では、多様で複雑なネットワークに対してゼロトラストの要件を維持することが難しい場合があります。ただし、適切に計画すれば、ゼロトラストのモビリティを広範な施設やクライアントに拡大することも可能です。
・レガシーシステムとの統合
古いシステムには、ゼロトラストの実装に必要な、認証やセグメンテーションが欠けている場合があります。そのため、完全なカバレッジを実現することが不可能な場合もあります。
ゼロトラストは、ランサムウェアやサイバー攻撃の巧妙化が進み、内部クラウド、ハイブリッド、リモートワークの採用が加速する現代の企業において、欠かせないセキュリティフレームワークとして認識されています。
将来的には、人工知能（AI）と機械学習（ML）の急速な発展など様々なイノベーションとともに進化し、インシデントや脅威の検出／回復作業が、より効果的かつ自動化されると期待されています。また、ゼロトラストは5G、IoT、エッジコンピューティングといった技術革新や進展との相乗効果も生むと予測されています。
プライバシーやセキュリティフレームワークが進化を続ける中、ゼロトラストは、GDPR、HIPAA、SOC 2などのコンプライアンス要件の中心的な役割を果たしていくでしょう。
ゼロトラストは、現代のIT環境を保護するための主要なセキュリティフレームワークとなっています。身元の証明、最小権限のアクセス、継続的な監視に重点を置くことで、組織が内部／外部の脅威から重要なリソースを保護できるようにします。
導入には負担や課題がありながらも、ゼロトラストフレームワークの導入や実装をした組織は、長期的に見ると、得られる利益がリスクを上回ることが確認されています。
ゼロトラストをフレームワークとして採用することで、組織はセキュリティを強化するだけでなく、ますます分散化を進め、クラウドベースの環境において、安全に運用するための柔軟性も提供することができるでしょう。
