今日のリモートワークや絶え間ないサイバー脅威を考えると、従来の「城と堀」的なセキュリティ・アプローチでは必ずしもうまくいかない。ゼロ・トラストは、より徹底した代替案である。
ゼロ・トラストとは、どこから来たかにかかわらず、すべてのアクセス要求を潜在的脅威として扱うサイバーセキュリティの枠組みである。システムを保護するために、厳格な身元確認と継続的な検証を行う。ネットワーク内部の人間でさえも、自動的に信頼されることはない。
盲目的な信頼を捨て、適切な人（とデバイス）だけがネットワークとシステムにアクセスできるようにするための絶え間ない監視に置き換えます。単に攻撃者をブロックするだけでなく、ネットワーク内外の常時保護が必要なのだ。
ゼロ・トラスト・セキュリティとは何か？
ゼロ・トラスト・セキュリティは、信頼を前提としないモデルである。アクセスを完全かつ常時制御するネットワークを構築する方法である。アクセスを許可すべきかどうかを決定するために、デバイスの健康状態やユーザーの行動といったリアルタイムのデータに依存する。
それは、ある部屋から別の部屋に移動するたびに、たとえすでに中に入っていたとしてもIDをチェックする警備員のようなものだと考えてほしい。ゼロ・トラスト認証では、すべてのユーザーが同じように扱われる。初回接続か200回目接続かは関係ない。私たちが今生きている世界に合わせた、思い込みのないセキュリティなのだ。
ゼロ・トラストと従来のセキュリティとの比較
ゼロ・トラスト・セキュリティはすべてを検証する。従来のセキュリティは、ネットワークの境界を信頼していた。従来のモデルは、城壁に囲まれた都市のように運用され、ゲートをくぐれば信頼されたことになる。ゼロ・トラストはそれを覆す。攻撃者がすでに侵入している可能性を想定し、すべてのリクエストを検証するだけでなく、JIT/JEA（Just-In-Time and Just-Enough-Access）権限で権限を制限する可能性もある。
ゼロ・トラスト・セキュリティ・モデルは、常時チェックを行うもので、過去に信頼されたデバイスやユーザーから脅威が発生する可能性があることを想定し、より強固なものとなっている。ネットワークに参加（または再参加）する前に、すべての接続をリアルタイムで検証する必要がある。
ゼロ・トラスト・モデルのCore 原則
ゼロ・トラスト・セキュリティ・モデルは、3つの大きなアイデアに基づいて構築されている：明示的に検証すること、可能な限り最小限の特権アクセスを使用すること、そして常に侵害が起こる可能性を想定すること。
まず、リアルタイムのコンテキストを使って認証情報をチェックする。位置情報、デバイスの健康状態、ユーザーの行動などの情報を検証し、分析することができる。次に、ユーザーが業務に必要な最低限のアクセス権を与えます。そして最後に、攻撃者はすでに内部にいる可能性があるという前提で動作するため、厳重な管理と迅速な検出が組み込まれる。
これらの原則は単なるガイドラインではなく、ガードレールである。ゼロ・トラストは単なるバズワードではない。デジタル空間を安全に保つためのスマートな方法であり、高いセキュリティを必要とする多くの組織で採用されている。米国のサイバーセキュリティに関する大統領令14028号は、ゼロ・トラスト・アーキテクチャを義務付け、"安全なクラウドサービス、ゼロ・トラスト・アーキテクチャ、多要素認証と暗号化を特定の期間内に導入すること "を要求した。
継続的検証の実際
ゼロ・トラストでは、認証は1回限りのものではない。常に行われる。ユーザーのすべての動きは、デバイスのステータス、位置情報、ログイン履歴などを使ってコンテキストと照合される。システムが侵害された場合、アクセスはリアルタイムで縮小またはシャットダウンされる。
それは意識することだ。ユーザーやシステムがどのように振る舞うかを観察し、より広い視野を保つことで、ゼロ・トラストは何が正常かを把握し、何かが正常でないときには迅速に行動する。
ゼロ・トラスト・アーキテクチャとネットワーク・アクセス
ゼロ・トラスト・アーキテクチャ（ZTA）は、ゼロ・トラスト・インフラをコンセプトから現実のものにする方法です。ZTAは、このモデルの中核となるセキュリティ原則をデジタル環境全体に適用する技術的バックボーンです。
このセットアップの重要な部分は、ZTNA（Zero Trust Network Access）である。ZTNAはネットワーク全体を開放する代わりに、ユーザーに必要なアプリに直接、安全な1対1の接続を提供する。これは、オールアクセス・パスを、必要なドアだけを（必要な間だけ）開けるスマート・キーに置き換えるようなものだ。
「私たちはサイバーセキュリティという問題全体を、一口大の小さな塊に分解します。そして最も素晴らしいことは、それが無停止であるということです。私が一度に犯すことのできる最大のミスは、プロテクト・サーフェス1つだけです」。- ジョン・キンダーヴァグ、ゼロ・トラストの生みの親
ゼロ・トラストとVPN
VPNは、ネットワーク全体へのトンネルを作る。一度誰かが侵入すれば、多くの場合、実際に必要な以上にアクセスされてしまう。これは大きなセキュリティ・リスクだ。ZTNAはより徹底的で、継続的に管理されており、上述のステップを実施している。
要するに、VPNはオール・オア・ナッシングであり、ニュアンスや余分なコントロールの余地は必ずしも多くない。ZTNAはジャスト・イン・タイムで十分なのだ。
ゼロ・トラスト・セキュリティ・フレームワークの主な構成要素
ゼロ・トラストは単一の製品でもプラグ・アンド・プレイのソリューションでもない。それは、お客様の環境のあらゆる部分に触れる、重層的で進化するアプローチです。このフレームワークは、リスクを低減し、アクセスをインテリジェントにロックダウンするために連携するいくつかの主要なコンポーネントの上に成り立っています：
- Identity - アクセスを要求しているのは誰か？
- デバイス - 彼らが使っているデバイスは安全か？
- ネットワーク - リクエストはどこから来ているのか、トラフィックは信頼できるのか。
- アプリケーションとワークロード - 彼らは何に、なぜアクセスしようとしているのか？
- データ - 保護、共有、移動されるデータは何か？
- 可視性と分析 - システム全体で何が起きているのか？
- 自動化とオーケストレーション - レスポンスはどのようにトリガーされ、どのようなポリシーが適用されるのか？
Identity 確認とデバイス認証
ゼロ・トラストのすべては、信頼から始まる。それはアイデンティティとデバイスの検証から始まる。ユーザーは、多要素認証（MFA）を使って自分が誰であるかを証明しなければならない。これは、フィッシングやクレデンシャル盗難に対する重要な防御線である。しかし、本人確認だけでは十分ではない。デバイスも重要である。
会社指定のノートパソコンか、それとも適当なスマートフォンか。パッチが適用され最新の状態か、それとも侵害の兆候があるか？デバイス・ポスチャーのチェックでは、セキュリティ設定、OSのバージョン、デバイスが管理対象か不正端末かなどを調べます。
ユーザーが未知のデバイスや危険なデバイスからログインした場合、アクセスを拒否または制限することができる。何かがおかしい、あるいは行動にわずかでも変化があれば、ZTNAはステップアップ検証を開始したり、接続を完全に遮断したりすることができる。
ゼロ・トラスト・セキュリティで使用される技術
ゼロ・トラスト・インフラは、アイデアを機能的に維持する一連のスマートで適応可能なテクノロジーによって支えられている。MFA、暗号化、脅威検知を含むこれらのツールは、すでに述べたセキュアな環境を作り出すために連携する。
ゼロ・トラストを可能にするコア・テクノロジーのいくつかを紹介しよう：
- 多要素認証（MFA）：パスワード以上のもので本人であることを確認し、重要な第二の保護レイヤーを追加する。
- マイクロセグメンテーション：ネットワークを隔離されたゾーンに分割することで、あるエリアでの侵害がシステム全体に広がらないようにする。
- 暗号化：適切なキーがないと読み取れないようにすることで、機密データを保護する。
- リスクベースのアクセス制御：行動、場所、デバイスの状態などの要因に基づいてアクセスを動的に調整します。
- リアルタイムの脅威検知：AIとアナリティクスにより、不審な動きが発生した瞬間に検知し、自動的に対応します。
暗号化とデータ保護
ゼロ・トラスト環境では、データは最優先で保護される。データは、保存時および転送時に暗号化されるべきです。つまり、データがストレージに置かれていても、ネットワーク経由で転送されていても、ロックダウンされます。ゼロ・トラストのセキュリティ・モデルにおける暗号化とは、たとえ誰かに傍受されたとしても、実際にはそれを読むことができないことを意味する。
しかし、暗号化だけでは十分ではありません。ポリシーの実施により、適切なユーザーとアプリのみが機密情報にアクセスできるようにします。これには、セキュアなプロトコル（HTTPSやTLSなど）の使用、データ分類ルールの実施、誰が、いつ、何に、どのようにアクセスしたかの追跡などが含まれます。
つまり、あなたのデバイスがゼロ・トラスト環境に接続した場合、特定のアプリやプログラムにしかアクセスできないことがわかる。
ゼロ・トラストの使用例
ゼロ・トラスト・モデルは、巨大企業や最高機密環境のためだけのものではない。その原則は業界やユースケースを問わず適用され、今日のクラウドベースの世界では特に有用である。ここでは、ゼロ・トラストが本当に輝くシナリオをいくつか紹介しよう：
- リモートワーカーとクラウドアプリの保護 - 従業員が自宅、喫茶店、または外出先で仕事をしていても、Zero Trustは必要なものだけにアクセスし、それ以上にはアクセスしないようにします。
- 第三者請負業者への安全なアクセスを可能にする - ネットワーク全体を開放することなく、外部ユーザーに正確で時間制限のあるアクセスを与えることができます。
- 内部脅威の管理 - 信頼されたユーザーであってもリスクをもたらす可能性があります。ゼロ・トラストでは、ユーザーがアクセスできる範囲を厳しく管理することで、ダメージを与える能力を制限しています。
シャドーITとアプリケーション・コントロール
シャドーITとは、IT部門の承認なしに出現する承認されていないツールやアプリのことで、大きなリスクをひそかにもたらす可能性がある。
Zero Trustを使えば、不正なクラウドサービスをブロックできる。監視によって早期に発見し、迅速に対処することが容易になります。可視化ツールは、ユーザーが想定していることだけではなく、実際に行っていることに光を当てます。
そこから先は、コントロールがすべてだ。アプリケーションへのアクセスを承認されたツールに制限することで、生産性を落とすことなく、クリーンで安全な環境を保つことができる。立ち入り禁止のエリアもあります。
ゼロ・トラスト・セキュリティの導入
ゼロ・トラストの実施には通常、以下のステップが含まれる：
- 手始めに、ユーザー、デバイス、アプリケーション、ワークロード、そしてそれらすべてを結びつけるデータなど、すべてを把握する。自分の環境に誰がいるのかを知る必要がある。
- そこから、典型的なワークフローとアクセスパターンをマッピングする。誰がいつ何を必要とするのか？これにより、意味のあるポリシーを定義するためのコンテキストが得られる。
- ポリシーが設定されたら、目標は可能な限り実施を自動化することだ。そうすれば、レスポンスは迅速で一貫性があり、人為的なミスがなくなる。
- ネットワークを設定したら終わりではなく、継続的にモニタリングすることで、異常が発生した瞬間にそれをキャッチすることができる。
実施開始までのステップ
通常、ID とデバイスの管理から始めるのがよい。優れたゼロ・トラスト・アーキテクチャの最初のステップには、強力な多要素認証と、適切な権限を確保するためのネットワークのセグメンテーションが含まれる。
多要素認証を導入し、パスワード・ポリシーを強化し、デバイスの健全性をアクセス方程式の一部とする。これにより、初日からすべてを総点検することなく、強固なセキュリティ基盤を構築することができる。
次に、ゼロ・トラストの原則を最も重要なアプリケーションに適用する。機密データを保持したり、日常業務を推進したりするアプリケーションだ。分岐する前に、まずそれらをロックする。ゼロ・トラスト・アーキテクチャには次世代ファイアウォール（NGFW）が含まれる場合があり、これによりゼロ・トラスト認証のためのネットワーク・セグメント化が容易になる。
そして、ネットワーク、ワークロード、データへと範囲を広げていく。さらに、すでに説明した暗号化やリアルタイムの脅威検知を重ね、徹底したセキュリティ・レベルを確保する。
ゼロ・トラストの戦略的利点
ゼロ・トラスト・モデルは、NIST 800-207のような主要な業界フレームワークと整合しており、最新であるだけでなく標準ベースであることを意味します。これにより、監査や評価におけるデューデリジェンスの証明が容易になります。また、アクセス制御を実施し、機密データを保護することで、企業がGDPRやHIPAAなどのデータプライバシー法を遵守するのに役立ちます。
もう一つのボーナスとして、サイバー保険に申し込む際の地位が実際に向上する可能性がある。保険会社はますます、プロアクティブでレイヤー化されたセキュリティモデルを求めるようになっている。ゼロ・トラストのセキュリティ対策は、そのようなボックスの多くを満たしている。
ビジネスと消費者のメリット
企業にとって、ゼロ・トラストは情報漏えいの潜在的損害を減らし、コストのかかる復旧作業を削減する。露出が少ないということは、何か問題が発生した場合の後始末が少なくて済むということです。また、環境全体の可視性が向上するため、不審なことが発生したときに盲目的になることもありません。誰が、いつ、何にアクセスしたかを把握できます。
もしあなたがビジネスを経営しているのであれば、このような安心感を得ることで、適切なセキュリティ対策を講じたという自信を深めることができる。
スケーラビリティも忘れてはならない。チームがリモートであろうと、完全なオンサイトであろうと、Zero Trustはビジネスや組織の規模に合わせてスケーリングします。これは、現代のチームが実際にどのように活動するかをサポートする、より強力で柔軟な保護につながります。
また、評判を損なう可能性のあるデータ漏洩を防ぐこともできる。66％の消費者が、 データ流出があった後はその企業を信用しないと回答しており、企業や組織が予防措置を講じることがより重要になっている。対策は簡単で、安全性を確保し、目を光らせ、必要がなければ電源を切ることだ。こうすることで、利点はそのままに、リスクを減らすことができる。