ゼロトラストの理解：原則、導入、そしてサイバーセキュリティ強化のためのメリット（テスト）
ゼロトラストアプローチとは何でしょうか？ゼロトラストアプローチは、システムから信頼を排除することでネットワークを攻撃から守るセキュリティモデルです。信頼がないため、すべてのユーザーはアクセスしたいリソースやデータごとに認証が必要となります。
ゼロトラストの原則
ゼロトラストの原則は、従業員からベンダー、顧客まで、場所やネットワークに関係なく、すべてのユーザーによる安全なアクセス制御と監視の必要性を強調するセキュリティコンセプトです。ゼロトラストは「決して信頼せず、常に検証する」という原則に基づいています。組織は各ユーザーの身元を確認し、悪意のある行動がないかユーザーの行動を継続的に監視する必要があります。
ゼロトラストの原則を知らない組織は、財務的、法的、評判面でのリスクにさらされます。財務的リスクには、データ侵害による損失、規制当局からの罰金、評判回復や顧客信頼の再構築にかかるコストが含まれます。法的リスクには、顧客やベンダー、その他の当局からの訴訟、GDPR違反やデータプライバシー違反による罰金などが含まれます。最後に、評判面でのリスクには、ブランドイメージの毀損、顧客ロイヤルティの低下、ステークホルダーからの信頼喪失などが挙げられます。
ゼロトラストはどのように機能するのか？
ゼロトラストセキュリティ
は、いかなるデバイス、ユーザー、エージェントにもシステムリソースへのアクセスを暗黙的に信頼しないセキュリティアプローチです。システムリソースへのアクセスは、許容される認証情報による認証と認可を通じてのみ許可されます。
ゼロトラストは、重要なデータ、資産、アプリケーション、サービス（DAAS）をマイクロペリメータやセグメンテーションゲートウェイを活用して保護することに重点を置いています。これらのセキュリティツールは、DAASの近くにセキュリティ対策を配置し、保護対象面をできる限り集中させます。
保護対象面を特定できたら、その面を通過するデータの流れや、その背後の流れを把握できます。これにより、データがセキュリティサービスや自社インフラ内でどのように移動するかをより深く理解できます。
最も重要なのは、ゼロトラストセキュリティの実装です。企業は、米国国立標準技術研究所（NIST）が発行した重要なセキュリティ文書、NIST Special Publication 800-207: Zero Trust Architectureを参考にできます。この文書は、ゼロトラストの原則を理解し実装するためのフレームワークを示しています。
NIST SP 800-207で示されているゼロトラストアーキテクチャの主な原則は以下の通りです。
- すべてのサービスとデータソースをリソースとして扱う: システムのあらゆる側面や、そのセキュリティエコシステム内での位置を当然視しないこと。これにはソフトウェア、クラウドサービス、モバイルデバイス、ワークステーション、データストレージプラットフォームが含まれます。
- ネットワークの場所に関係なく、すべての通信を保護する: 内部ネットワークのいかなる部分も安全だとみなさず、リソースが接続または通信するあらゆるポイントで保護策を講じます。
- アクセスをセッション単位で制限する: ユーザーやデバイスに信頼性を示させるため、すべてのリソースに対する認証・認可目的でのマルチセッションアクセスを排除します。
- 動的なポリシー属性を活用したアクセス制御: ロールベースアクセス制御（RBAC）は、リソースへのアクセス権を決定する一般的な方法です。ゼロトラストポリシーでは、デバイスの特性、日時、行動属性などに基づく制限を組み込むため、属性ベースアクセス制御（ABAC）も活用すべきです。
- すべての資産を継続的に監視する: NISTは、データ、ソフトウェア、ハードウェアを問わず、すべての資産を定期的に監視し、知らぬ間に資産が改ざんされる事態を防ぐべきだと提案しています。
- 常に厳格なIDアクセス管理を徹底する: システムは、いかなるアクセスも許可する前に、厳格な認証・認可制御を強制しなければなりません。
- 評価と最適化: 継続的な監視は、アクセス制御、セキュリティ、ネットワークプライバシーの最適化に貢献します。
ゼロトラストネットワークとは？
ゼロトラストネットワーク（ZTN）は、組織内のすべてのユーザー、システム、ネットワークが潜在的に信頼できないと仮定する高度なセキュリティモデルです。「決して信頼せず、常に検証する」という原則に基づき、すべてのユーザーとデバイスに固有のIDと認証情報が割り当てられ、すべての通信が認証を通じて保護されます。
企業はゼロトラストネットワークを導入することで、脅威をより迅速に検知し、攻撃の成功確率を低減できます。「信頼された」アクセスという概念を排除することで、攻撃対象領域を縮小し、内部から外部まで追加の防御層を提供します。
ゼロトラストネットワークはゼロトラストアーキテクチャ（ZTA）とは異なり、ZTNはネットワーク全体のデータセキュリティと通信に焦点を当てています。一方、ZTAはIDおよびアクセス管理により重点を置いています。どちらのモデルもマイクロセグメンテーションによる攻撃対象領域の縮小を目指しますが、ゼロトラストネットワークはマイクロセグメント間の安全な通信を重視し、ゼロトラストアーキテクチャはアクセス制御を重視します。
ゼロトラストセキュリティモデルとは？
ゼロトラストセキュリティモデルは、いかなるユーザー、デバイス、アプリケーションも信頼しないセキュリティモデルです。すべてのトラフィックはデフォルトで信頼されず、IDと認証情報を証明できた場合のみネットワークへのアクセスが許可されます。これは、ユーザーの本質だけでなく、デバイスやアプリケーションのセキュリティ状況も検証することを求めるサイバーセキュリティアプローチです。
企業がゼロトラストセキュリティモデルを導入することで、ネットワークに追加の防御層を設け、すべての外部からのトラフィックを検証してからアクセスを許可できます。このモデルは、ユーザーの身元を検証し、信頼できる存在のみにアクセスを認可することで、悪意のある攻撃者を抑止し、データ侵害やその他のサイバー攻撃のリスクを低減します。さらに、ゼロトラストセキュリティモデルはGDPRなどのデータプライバシー規制への準拠を支援し、従来の境界型セキュリティモデルよりもコスト効率に優れています。
ゼロトラストを推進する技術
ゼロトラストアーキテクチャの効果的な導入を支える新しい、あるいは新興の技術がいくつか登場しています。主なものは以下の通りです。
人工知能（AI）と機械学習（ML）
は、この技術主導の変革で中心的な役割を果たしています。AIとMLは、ユーザーの行動パターンを巧みに分析し、通常とは異なる挙動を特定することで、重大な被害が生じる前に潜在的なセキュリティ侵害や脅威を検知します。AIとMLは各インタラクションから学習し、脅威への迅速かつ的確な対応を可能にするため、ゼロトラストモデルにおける堅牢な第一防衛線となります。
マイクロセグメンテーションソリューション
も、ゼロトラスト技術の中核を担い、ネットワーク内での不正な横移動を阻止します。ネットワークをより小さなセグメントに分割することで、仮に1つのセグメントが侵害されても脅威が全体に拡大するのを防ぎます。これにより被害の範囲が大幅に減少し、攻撃者がシステム内を自由に移動することを阻む追加の防御層となります。
ユーザー中心の領域では、
多要素認証（MFA）
がゼロトラストモデルにおける厳格な対策として活用されています。MFAは、認証時に複数の証拠を要求することで、認証済みユーザーだけでなく潜在的な脅威も抑止します。この機能により不正アクセスの確率が大幅に低減し、機密データの整合性維持に重要な役割を果たします。
さらに、
クラウドベースのセキュリティソリューション
は、リモートワークが急速に普及する現代において、従来のオフィスベースの環境からリモート環境への移行を、データや組織ネットワークのセキュリティを損なうことなく実現します。クラウドベースのセキュリティツールはスケーラブルでコスト効率が高く、どこからでもアクセス可能なため、ゼロトラスト戦略の実装において人気の選択肢となっています。
ゼロトラストのユースケース
今日のデジタル社会では、悪意のある攻撃者がますます巧妙化しているため、ゼロトラストは不可欠です。
ゼロトラストには主に3つの代表的なユースケースがあります。
- クラウドアクセスの保護: ゼロトラストはクラウドアプリケーションやサービスへのアクセスを保護するために活用できます。IDおよびアクセス管理（IAM）や多要素認証（MFA）技術を活用することで、クラウドサービスやアプリケーションへのアクセスを試みるユーザーを安全に認証し、認可されたユーザーだけがアクセスできるようにします。
- ネットワーク防御: ゼロトラストは、認証・認可されたユーザーやデバイスだけがネットワークやそのサービスにアクセスできるようにし、ネットワーク内外の全トラフィックの可視性を高めることで、潜在的な侵害発生時に迅速な対応を可能にします。
- データ保護: ゼロトラストは、機密データや重要データを不正アクセスから守ります。暗号化技術を活用することで、保存中や転送中のデータを保護し、認可されたユーザーのみがアクセスできるようにします。企業はロールベースアクセス制御やデータ損失防止（DLP）ソリューションを通じて、この安全なアクセスを徹底できます。
ゼロトラストアーキテクチャのベストプラクティスとメリットとは？
ゼロトラストモデルを構成する原則を基本的に理解していても、このアーキテクチャを実際に導入するのは別問題です。これらの原則が自社のITシステムやインフラ、ビジネス目標にどのように適用されるかを検討する必要があります。
ゼロトラストアーキテクチャの導入には、いくつかのステップがあります。
- DAASの近くに保護対象面を定義し、セキュリティリソースの過剰な分散を避ける。 この文脈で「近く」とは何か混乱するかもしれません。アクセス制御やセキュリティ対策は、広範かつ不要な技術やリソース全体をカバーすべきではありません。必要な場所に明確で限定的かつターゲットを絞った保護対象面を設けることで、トラフィックやシステムアクセスをより適切に制御し、必要に応じて境界セキュリティを調整できます。
- データ取引やフローを追跡する：インフラ内の異なる部分を横断するすべての情報の流れを含みます。NISTによれば、ネットワーク内の情報が安全だと決して思い込むべきではありません。ゼロトラストアーキテクチャには、ネットワーク全体、特に保護対象面に関連するデータの流れを追跡するための制御が必要です。
- 「キップリングメソッド」に基づいたセキュリティおよびゼロトラストポリシーの策定。 キップリングメソッドは、ラドヤード・キップリングの詩に由来し、セキュリティインフラについて問いかける普遍的な質問（誰が？何を？いつ？どこで？なぜ？どのように？）を定義します。このアプローチを用いることで、幅広い役割や属性、その他の詳細な制御を網羅したゼロトラストポリシーを構築できます。
- 継続的な監視・保守計画を策定し、実施する。 NIST SP 800-207は、監視と最適化をゼロトラストアーキテクチャの一部とすることを推奨しています。データ駆動型の監査ログや監視ツールを活用すれば、既存リソースでもゼロトラスト原則を実装できます。既存リソースが侵害されていない、あるいは進化する脅威に対して安全だと決して思い込まないことが重要です。
ゼロトラストの実装アプローチ全体を理解するには、NIST SP 800-207に記載されたコンプライアンス対応の高レベルなアーキテクチャガイドラインが参考になります。
もちろん、ゼロトラストアーキテクチャには主にセキュリティとコンプライアンス面で多くのメリットがあります。
- セキュリティ: ゼロトラストの原則は、特に認可や認証に関するセキュリティの隙間を埋めます。ユーザー、デバイス、リソースのいずれも暗黙的に信頼されないため、攻撃者が悪用できる攻撃対象面が減少します。持続的標的型攻撃（APT）のような攻撃がシステム内で拡大する経路も制限されます。
- コンプライアンス: いくつかの連邦および防衛関連のコンプライアンス基準では、ゼロトラストアーキテクチャが推奨または要求されています。さらに、サイバーセキュリティに関する大統領令では、すべての連邦機関や請負業者にゼロトラストセキュリティへの移行が求められています。これらの原則を先んじて実装することで、コンプライアンス体制の強化につながります。
ゼロトラストメールアーキテクチャとは？
ゼロトラストメールアーキテクチャ（ZTEA）は、組織のメールシステム基盤にゼロトラストの原則を適用するメールセキュリティフレームワークです。これは、ユーザーや企業資産、機密データを悪意のある攻撃者から守り、組織と外部パートナー間の安全なコミュニケーションを実現することを目的としています。ゼロトラストアーキテクチャは、内部・外部のいずれからも不正アクセスを防ぐことに重点を置いたサイバーセキュリティ戦略です。
ゼロトラストメールアーキテクチャは、この考え方をさらに発展させ、組織外に送信されるメールにも追加のセキュリティ層を設けます。これには、すべてのメールの暗号化、メールの送受信権限の制御、内部・外部メールアカウント双方への認証強化が含まれます。
ゼロトラストメールアーキテクチャは、PIIやPHI、知的財産などの機密情報を外部と共有する際にも情報を保護します。すべてのメールを暗号化することで、意図した受信者のみが機密情報にアクセスできるようにします。さらに、どのユーザーがメールを送受信できるかを制御し、強力な認証を徹底することで、悪意のある攻撃者がメールシステムへアクセスするのを防ぎます。
また、ゼロトラストメールアーキテクチャは、EU一般データ保護規則（GDPR）などのデータプライバシー規制への準拠にも役立ちます。たとえば、GDPRでは個人データを安全に保管し、認可された担当者のみがアクセスできるようにすることが求められています。ゼロトラストメールアーキテクチャを導入することで、送受信者の制御、メールの暗号化、認証の徹底により、これらの要件を満たすことができます。
ゼロトラスト導入のステップ
ゼロトラストアーキテクチャの導入は大きな取り組みです。ゼロトラストアーキテクチャやより広範なゼロトラスト哲学の構築を決断する前に、以下の推奨事項を検討してください。
- ユーザー、デバイス、エンドポイントを特定し、インベントリを作成する
- データアクセスやリスク管理のためのポリシーと手順を策定する
- 認証および暗号化技術を導入する
- ネットワークをマイクロペリメータに分割し、各セグメントへのアクセスを制御する
- システムを継続的に監視し、リアルタイムで脅威を検知する
たとえば、企業がネットワークにログインする際に多要素認証を利用することで、ユーザー名、パスワード、場合によっては認証コードの入力を求め、アクセスを許可します。
組織はどのようにゼロトラストアーキテクチャを実装するのか？
ここで紹介したベストプラクティスやNIST SP 800-207のガイドラインに従えば、ゼロトラスト実装のコンセプトは比較的明確です。しかし、システム全体の視点でゼロトラストを考えると、作業がより困難に感じられるかもしれません。
システム内でゼロトラストを実際にイメージする良い方法は、まず1つの重要なDAASから始めることです。
- 自社インフラ内でゼロトラストセキュリティの対象となるべき、あるいは対象となるDAASを特定する
- キップリングメソッドを活用してゼロトラストポリシーを策定する：
- 誰がこのリソースにアクセスすべきか？
- 何を（ソフトウェア、データなど）アクセスしているのか？
- どこで通常および安全な状況下でアクセスするのか？
- いつアクセスするのか（勤務時間中のみ、限定的な時間帯など）？
- なぜ正当な業務利用のためにアクセスが必要なのか？
- どのように（ローカルワークステーション、モバイルデバイスなど）アクセスするのか？
- これらの質問からゼロトラストポリシーを構築し、そのポリシーに基づいてセキュリティおよびID・アクセス管理（IAM）構成を策定する。この構成は、ユーザー体験やシステムの使いやすさを損なうことなく、セキュリティポリシーを反映する必要があります。
- 資産の周囲に限定的な保護対象面を設け、決定したセキュリティおよびIAM構成に従ってポリシーを実装する。
Kiteworksはゼロトラストセキュリティで機密コンテンツを保護
ゼロトラストアーキテクチャは多くのセキュリティ分野で主流となりつつあり、その傾向は今後さらに強まる見込みです。国家サイバーセキュリティに関する大統領令が施行され、ゼロトラスト原則の導入がますます求められるようになっています。
Kiteworksの登場です。Kiteworksのプライベートデータネットワークは、CISAゼロトラストモデルに準拠し、組織が保有・共有する機密コンテンツを包括的に保護します。
Kiteworksは、あらゆる機密コンテンツの送受信経路に対し、堅牢な暗号化と保護対策を提供することでゼロトラストセキュリティを支えます。これにはメール、ファイル共有、ウェブフォーム、SFTP、マネージドファイル転送などが含まれます。
Kiteworksの顧客は、ネストされたフォルダレベルごとに個別の役割で最小権限アクセス制御を設定できます。これには、コンテンツや構造、権限の管理、読み書きによる共同編集や同時編集、ウォーターマーク付きの閲覧専用、ダウンロード、ブラインドアップロードなどが含まれます。
また、組織単位や役割単位でドメインブロック、ジオフェンシング、機能権限などのポリシーを設定できます。これにより、アクセスが厳格に制御・監視され、ゼロトラストセキュリティがさらに強化されます。
Kiteworksはまた、セキュリティポリシーを一元的に定義・適用できるため、各データ交換がSSO、MFA、AV、ATP、DLPなどを含めて徹底的にセキュリティ審査され、単一の統合ポイントで管理できます。
さらに、Kiteworksの強化された仮想アプライアンスアーキテクチャにより、Kiteworks自身や地方・連邦の法執行機関を含め、誰もお客様の鍵やコンテンツにアクセスできません。
ゼロトラストセキュリティモデルを支えるKiteworksの追加機能には、次のようなものがあります。
- 包括的なデータインベントリの追跡
- 高可用性とコンテンツのレプリケーション
- 可視性の向上と監査ログ
- セキュリティ自動化とオーケストレーションの効率化
- ロールベース制御による強力なガバナンス
総じて、Kiteworksを導入する組織は、データの可視性・制御・セキュリティを大幅に向上させ、サイバー脅威のリスクを低減し、事業継続性を確保できます。
Kiteworksの詳細については、カスタムデモを今すぐご予約ください。
追加リソース
- ウェビナー ゼロトラスト戦略の最大のギャップにどう対応するか
- レポート 機密コンテンツ通信のプライバシーとコンプライアンスをベンチマーク
- ブログ投稿 プライベートデータネットワークとは？