最近注目されている「ゼロトラスト」。導入しようという企業も少なくないはずです。ゼロトラストは、従来のセキュリティモデルが有効ではなくなってきている現代において、有効なセキュリティモデルとして注目を浴びています。今回は、そんなゼロトラストを導入しようと思って検討されている企業の担当者の方に向けて、ゼロトラストとはそもそもどのようなものなのか、従来のセキュリティモデルとはどのように違うのか、導入するメリットや実現するための要件などをご紹介していきます。
ゼロトラストについて
まずは、ゼロトラストとはどのようなものなのか、従来のセキュリティモデルとは何が違うのか、考え方などについて確認していきましょう。
これまでのセキュリティの考え方
ゼロトラストというセキュリティモデルが誕生するまでは、セキュリティの考え方として、「信頼できる内部ネットワーク」という考えがあり、自社内で構築されているネットワークであれば安全という考えが定着していました。そのため、外部からのアクセスについては信用せずに脅威と考え、内部ネットワークにアクセスするためのファイアウォールや、VPNを利用して安全に社内ネットワークにアクセスするという方法をとっていました。
これらの考え方を「境界型セキュリティ」と呼んでおり、社内にある端末やネットワークは安全であるという前提のもと、セキュリティ対策がなされてきました。
ゼロトラストの考え方
一方、ゼロトラストの考え方は、社内や社外という考えを持たず、「すべての通信にリスクがありどのアクセスも信用しない」という考えを持っており、ゼロトラストの言葉通り「何も信頼しない」という考えを持ちます。従来のセキュリティ対策の考えとは全く異なり、内部のネットワークや端末であっても「安全」という前提を捨て、「安全ではない」前提で全ての端末やネットワークトラフィックを検証するというアプローチ方法になります。
具体的には、全てのネットワーク通信経路の暗号化や、多要素認証の活用、ユーザー認証や各種デバイスのログ監視など、全ての通信や端末において監視を行うという方法になります。
ゼロトラストを導入する企業増加の背景
なぜ、このようなゼロトラストを導入検討する企業が多くなってきたのでしょうか。ここからは社会の変化など、ゼロトラストを導入する企業の増加背景について見ていきましょう。
クラウドサービス利用の増加
ゼロトラスト導入増加のポイントの一つとして、クラウドサービス利用の増加が挙げられます。SaaSなどを含めたクラウドサービスが世の中に広まり、多くの企業や消費者がクラウドサービスを利用するようになりました。
企業のおいても、さまざまなクラウドサービスを利用して業務が回っており、現在ではクラウドサービスなしでは業務が回らないといったことも起きているでしょう。そのような社会の中、社内外から多くのアクセスが集まり、企業の重要なデータのセキュリティ対策を強化していく必要が出てきたことが、ゼロトラスト導入を検討する企業が増えた理由の一つになるでしょう。
情報漏洩の多発
ネットニュースやTVニュースなどで日ごろから取り上げられている「情報漏洩問題」。これらは大きな企業だけではなく、中小企業においても決して無視できない問題です。大きな企業こそ情報漏洩のニュースが大きな話題となりますが、東京商工リサーチの調べによると、2012年～2022年の間に1090件もの情報漏洩や情報紛失が発生しています。
※株式会社東京商工リサーチ
https://www.tsr-net.co.jp/data/detail/1197322_1527.html#:~:text=%E8%AA%BF%E6%9F%BB%E3%82%92%E9%96%8B%E5%A7%8B%E3%81%97%E3%81%9F2012,%E3%81%99%E3%82%8B%E3%82%B9%E3%82%B1%E3%83%BC%E3%83%AB%E3%81%AB%E5%BA%83%E3%81%8C%E3%81%A3%E3%81%9F%E3%80%82
このことから、情報漏洩を防ぐことは大企業だけではなく中小企業においても必要であり、セキュリティ強化を図る必要性を感じ、ゼロトラスト導入に注目されているのでしょう。
テレワークの増加
新型コロナウイルスの流行や、働き方改革などからテレワークを導入する企業が多くなったことも、ゼロトラスト導入の後押しをしている社会現象と言えるでしょう。テレワークが増加したことで、社内へのネットワークに社外の端末やネットワークからアクセスするようになり、社内外問わずに全てのネットワークやアクセスをチェックする必要性が出てきたと言えるでしょう。
ゼロトラスト導入のメリット
次に、ゼロトラスト導入のメリットについて見ていきましょう。
安心してテレワークができる
ゼロトラストを導入することで、従来の「信頼できる内部ネットワーク」に頼らず、全てのネットワークトラフィックを検証するアプローチとなるため、セキュリティリスクを低減することができます。
そのため、企業や組織が従業員にテレワークを許可する場合でも、セキュリティ上の心配が減ります。ゼロトラストを導入することで、従業員が自宅からでも安全にアプリケーションやネットワークにアクセスすることができ、不正アクセスや内部者による攻撃を防止することが可能です。
クラウドサービスも安心して利用できる
企業がクラウドサービスを利用している場合でも、全てのネットワーク・端末を監視するため、クラウドサービスを安心して利用できます。クラウドサービスは企業によっては切り離せないサービスもあると思いますので、安心・安全に利用できるというメリットがあるでしょう。
セキュリティ設定がシンプルになる
ゼロトラストのセキュリティ概念は「すべてのアクセスが信頼できない」という考えのため、セキュリティ設定が社内・社外問わず同じように認証を行う必要があるため、設定がシンプルになります。
従来のようにVPNやファイアウォールなど複雑な設定が必要なくなります。
インシデントの検出や原因特定が迅速になる
ゼロトラストを導入することで、不正アクセスやウイルスなどのチェック、セキュリティ違反を早期に発見できるため、セキュリティリスクに対して迅速に対応することができます。
ゼロトラスト実現の要件
次に、ゼロトラスト実現の要件について確認していきましょう。
ユーザー（人）
ゼロトラスト実現の要件には「ユーザー（人）」の要件が欠かせません。ユーザーへのアクセス権限の付与管理などユーザーの検証を行うことは必須条件と言えるでしょう。
ネットワークにアクセスするユーザーを識別することや、制御をすることで会社の資産を保護します。
デバイス
ユーザーと同じくデバイスもまたアクセス許可や認証などの管理が必要です。PCのみならずスマホやタブレットなどの端末も対象となります。
ユーザーと同様にネットワークにアクセスするデバイスを認証・制御することで、ウイルスが検知したデバイスを切りなハスなどの対処ができます。
ネットワーク
社内ネットワーク・社外ネットワーク問わず、ネットワークの管理、状況をリアルタイムに把握することも必要な要件となるでしょう。
これまでの「内部のネットワークは安心」という概念を外し、ネットワークの状態を把握するセッション管理機能や、SDP、SWGなどの技術が挙げられます。
データ
ネットワーク上でやり取りされるデータも要件に含まれます。データの分類分けを行い、常にアクセスされるデータとアクセスが不要なデータなどに分離することも必要です。
データが外に持ち出されたことを検知・操作ブロックをする対策や、データ転送の際に暗号化するなどの対策が必要です。
ワークロード
サーバーなどのコンピューターに掛かる業務量や負荷を表すもので、これらの管理もゼロトラスト導入実現の要件となるでしょう。CPUやメモリの使用率なども含まれます。
また、モバイルアプリケーションやSaaSアプリケーションなどの管理も行い、脆弱性の検知やウイルス脅威からの保護などが挙げられます。
可視化・分析
どのネットワークが利用されているのか、どの端末が使われているのか、誰がいつどこで利用しているのかなどを可視化することも必要です。
また、システムに何らかの問題が発生した際のセキュリティインシデントの管理や、ウイルスがどこから侵入したのかなどの分析も必要です。
自動化
これらのさまざまな要件をクリアするための仕組みを自動化し、セキュリティ機能が自動で稼働するようにすることは必要不可欠と言えるでしょう。
問題が発生した際にユーザーやデバイスのログを一つずつ確認していくといったことは不可能に近いため、自動化することは必須条件です。
まとめ
ここまで、ゼロトラスト導入について、どのような要件が必要なのか、そもそもゼロトラストはどのようなもので、従来のネットワークセキュリティとどう違うのかなどをご紹介してきました。ゼロトラスト導入に当たっては、SD-WANなどの導入も併せて検討されると良いでしょう。
コメント