Jimmy Nilsson 著
今日のサイバーセキュリティについて会話をすると、大抵の場合においてゼロトラストが話題に挙がるようになりました。 この傾向を後押ししているのが、リモートワークによる労働環境の分散や、それによって高まるデータ漏えいの脅威、そしてニューノーマルへの適応などの課題です。
バズワードに捉えれがちなゼロトラストですが、この戦略を正しく実践できれば、リスクベースの適応型保護が業務全体に適用され、重要な防御戦略にもなり得ます。 「デフォルトで拒否」や「決して信用せず、常に確認」といった表現がされるように、ゼロトラストではあらゆるトラフィックを信用に値しないものとして扱います。
サイバー攻撃のリスク低減、データ保護の強化、コンプライアンスの向上などの明確なメリットだけでなく、ゼロトラストは企業が全社的にセキュリティ強化へ取り組む際の方法を変え、より効果的なものにしていく可能性を秘めているのです。 また、ゼロトラストによって新たなビジネスの創出や収益の機会も得られます。
現在、政府および企業におけるゼロトラストモデルの導入が進んでおり、採用の流れも強まりつつあります。 最先端の取り組みとしてゼロトラストが一般的に受け入れられているのは、「セキュリティ被害は避けられないもの」であり「起こるか起こらないかの問題ではなく、いつか必ず被害を受けるもの」という認識が広まっているからです。
つまり、ゼロトラストが広く受け入れられるのは当然のことなのです。 実際、ゼロトラストは経済的損失の抑制に役立つ、優れたモデルです。 1回のデータ侵害で発生する平均被害額は、アメリカで940万ドルに上り、2022年だけで見ても世界的に平均440万ドルの損失が出ています。1回のデータ侵害でここまで大きな被害が生じることは、もはや言うまでもないでしょう。1
ゼロトラストが正しく実施された場合、企業のサイバーセキュリティ、ユーザーエクスペリエンス、そして生産性を向上させるだけでなく、被害や損失のリスクも低減するだろうとキンドリルは考えています。 ゼロトラストの実行に際して企業が留意すべき考え方は3つあります。
1. 視点を変える
そもそもゼロトラストに該当しないものがあると、ステークホルダー全員に共有することが重要です。 ゼロトラストは、特定のポリシー、製品名、専用ツールではなく、 はたまた技術スタックでもありません。 つまり、テクノロジーソリューションはゼロトラスト全体のほんの一部に過ぎないのです。
ではゼロトラストとは一体何なのか。ゼロトラストは「思考の転換」です。 これまでセキュリティは、部門ごとにサイロ化されていました。ある部門はIDの検証を担当し、別の部門はエンドポイントのセキュリティ、そしてまた別の部門はファイアウォールを担当する、というようなイメージで運用されていました。 それに対して、ゼロトラストは全社的に適用されるものであり、以下の5本の柱から成り立っています。
- ID
- デバイス
- ネットワーク
- アプリケーション
- データ
ゼロトラストを機能させるには、関係部門同士で連携し、強固かつ柔軟なセキュリティ網を構築しなくてはなりません。 長年にわたり、担当者たちはサイロ型の多層防御セキュリティアーキテクチャーを構築していたことでしょう。しかし、現在ゼロトラストで必要とされているのは、相互接続型の多層防御セキュリティアーキテクチャーへの方向転換です。
この方向へシフトしていくには、次の3つを詳しく検討する必要があります。
- セキュリティへのアプローチ
- セキュリティへの投資方法
- ゼロトラストの5つの柱を網羅する連携的なアプローチの実践方法
例：リモートアクセス
リモートアクセスを想定して考えてみましょう。 月曜日の朝、ある従業員がコロラド州デンバーの自宅から、ニューヨークにある自社のネットワークにログインしたとします。 ログイン後に行う最初の業務は、組織のクラウドに保存されているフォルダーおよびその中にあるファイルの確認です。
従来の境界型システムでは、従業員の位置情報または簡単な2要素認証だけで社内ネットワークへアクセスでき、さらに重要なアクセス権も取得できていました。 もちろん、操作している従業員はリモートワーク中なので、位置情報ベースの認証ではなく、簡単な2要素認証しか求められないでしょう。
その場合、同じ認証情報を使ってのログインがたった1時間後にアイルランドのダブリンで行われたとしても、2要素認証の条件が満たされていれば、アクセス権が付与されてしまいます。 一方でゼロトラストだと、アクセス権が自動で付与されるようなことはありません。
ゼロトラストで認証までのシナリオをどのように塗り替えるのか
ゼロトラスト環境にリモートアクセスを試みる際には、位置情報やログイン情報以外にもさまざまなものがチェックされます。 ゼロトラストモデルは静的なセキュリティポリシーではないため、可能な限り多くの情報をもとに分析します。そのためにも、あらゆるセキュリティテクノロジーが前述の5つの柱に連動して設計、導入されている必要があります。
先ほどのリモートアクセス例で再度見ていきましょう。デンバーの従業員がログインボタンをクリックし、特定のフォルダーに移動したとき、ゼロトラストアーキテクチャーでは従業員のIDだけでなくデバイス自体のセキュリティも分析します。 ゼロトラストアーキテクチャーでは次の内容を確認します。
- デバイスが社用デバイスであるか
- パッチは適用されているか
- IDに対して適切なセキュリティ管理が行われているか
- このIDが同じ時間、あるいは最近別の場所で使用されていないか
- どのようにデータ分析を活用すれば、このユーザーのトラフィックに不審なところがないかを調べられるか
ゼロトラストエコシステムは、以下のワークロードも精査します。
- ユーザーがアクセスしようとしているリソースに既知の脆弱性はあるか
- 脅威が実際に検出された場合、システムはどのように応答するようにプログラムされているか
- トラフィックを完全にシャットダウンすべきか、あるいは脅威拡大のリスクを冒すことなくアクセスを減らすことができるか
仮にアクティブな脅威が検出されなかったとしても、ゼロトラストでは継続的に警戒し続けます。 同時に、組織が認識、警戒すべき、広範囲に及ぶようなセキュリティ脅威があるかもチェックします。 さらにそのうえで、これらのプロセスがすべて最新の業界ルールや規制に準拠しているかを確認します。
セキュリティ全体にわたってこの確認をすべて済ませ、さらにテクノロジーやプロセスによる検証も完了してはじめて、この従業員にファイルへのアクセス権があるかをチェックします。 これこそが、ゼロトラストの基本構造です。
2. 段階的なゼロトラストへのアプローチ
厳しい言い方かもしれませんが、全社レベルですぐさまゼロトラスト戦略を実行しようとする企業は、まず失敗の運命をたどるでしょう。 ゼロトラストモデルの導入は、継続的なプロセスであり、段階的に取り組むべきものです。 ゼロトラスト導入をどこから始めるべきかは、企業ごとに異なるのはこのためです。
しかし、プロセス面に関して言えば、最初のステップはどの企業も同じで、まずは優先順位を決めます。 そしてリスクの観点から、自社にとって何が最も重要なのかを設定します。 これは、ゼロトラスト戦略を成功させるために重要かつ基本的な出発点です。
例えば、「会社は重要なテクノロジー変革を実施しようとしているか」 「セキュリティ侵害を受けやすい状態にあり、かつ重要なビジネスプロセスや機密データを抱えたITシステムはあるか」などを確認します。 この確認を通して、小さくても構わないのでプロセスの初期段階で成功体験を得ることが重要です。 そこで弾みがつけば、自分たちの会社に適した独自のロールアウト計画を、継続的に調整しながら、策定していけるようになります。
ゼロトラストに終わりはありません。 導入には月どころか年単位の時間がかかるので、ゼロトラストのわかりやすいメリットを常に意識させることがが重要です。 そのためお客様には、ゼロトラストを新たなビジネスチャンスとして活用するよう勧めています。
3. 新たなビジネスチャンスを創出
ゼロトラストは何なのかを理解するよう社内に促し、戦略的な導入アプローチを開始できれば、最も難しいパートは完了です。 これにより、セキュリティ戦略による恩恵を享受できるようになります。
ゼロトラストは新たなチャンスを切り拓く存在になり得ます。 チームは新しく、そしてより安全な方法で業務を遂行できるようになります。また、将来的に使い続けられるよう設計されるため、ますます巧妙化しているハッキング手段にも対応可能です。
ここで、エッジコンピューティングの例をあげましょう。 多くの企業では、ビジネス全体において新しい収益源を創出するために、さまざまなエッジソリューションを採用しています。 しかしながら、エッジの性質により、データはかつてないほどに分散化が進んでいます。 これは新しくて革新的なソリューションを構築するチャンスにつながることで、楽しみなことではありますが、 同時にセキュリティへの新たなアプローチも必要になります。 ここで登場するのがゼロトラストです。
ゼロトラストによる広範な制御と検証プロセスを適用することで、分散化した労働力およびコンピューターシステムは、どこにいても、より効率的に、より安全に、機密データの処理が可能になります。
Jimmy Nilsson は、キンドリルコンサルトのゼロトラスト担当マネージングディレクター兼グローバル・ドメイン・リーダーです。
