ゼロトラストの概念における3つの重要な進歩：

802.1Xサプリカント(クライアント)は、接続を許可する前にネットワークがエンドポイントを認証できるようにするためのものでしたが、すべてのデバイスが802.1Xに対応していたわけではありませんでした。プリンターやIoTシステムなどの接続デバイスの存在により、この方法は不正なネットワークアクセス問題に対する一般的な解決策として機能しなかったのです。

Jericho Forumが描いた未来のための大胆な解決策

2003年に、ヨーロッパのテクノロジーリーダーのグループが「城と堀」のネットワークアーキテクチャーに内在する問題を認識し、ネットワークの壁をなくす方法について議論を始めました。

2004年にはJericho Forumとして知られるワーキンググループを招集し、「非境界化」のアイデアを導入して、境界のないネットワークを管理するためのベストプラクティスの基礎となる、一連の「規則」を世界に発信しました。

単なる流行語に留まらないゼロトラスト

2010年、ForresterのアナリストJohn Kindervag氏は「No More Chewy Centers: Introducing The Zero Trust Model of Information Security (内部セキュリティの脆弱性を解消：情報セキュリティのゼロトラストモデルについて)」と題する論文を発表しました。これは単なる流行語には留まらず、新しい接続モデルを設計する際に不可欠となる考え方をITセキュリティ業界に提唱するものでした。

このモデルは、「ネットワーク内に存在することは必ずしも信頼に値することにはならない」という考え方が前提となっています。境界に代わり、アイデンティティーとそれを検証できるかどうかが、アクセスを許可するか否かを判断する中核的な基準に据えられています。しかし、この段階までは企業の環境自体に根本的な変化はありませんでした。ネットワークは依然として「すべてかゼロか」、そして「内側か外側か」という構造をとっていたのです。

企業の境界を超えるBeyondCorp

サイバーセキュリティの分野ではよくあることですが、脅威アクターの存在がネットワークセキュリティの新しい進化のきっかけとなりました。中国人民解放軍がAkamai、Adobe、Juniper Networksを含む米国のハイテク企業に対して大規模なサイバー攻撃を実施し、GoogleはこれにBeyondCorpで対応しました。

Googleによると、この対応策の意図は、アクセス制御をネットワーク境界から個々のユーザーにシフトさせることで、従来型のVPNを必要とせずに事実上あらゆる場所から安全に作業できるようにすることでした。こうして、ネットワーク内外の区別をなくすという、純粋なゼロトラストが登場したのです。

しかし、Googleが挑んだ問題は困難なものでした。他の組織がゼロトラストネットワークを自ら実現する道を切り拓くことを試みていたにもかかわらず、2010年当時には、これはまだほとんどの企業が実現できない戦略だったのです。

米国当局がゼロトラストの価値を認識

2020年、米国国立標準技術研究所(NIST)は、ゼロトラストアーキテクチャーに関するNISTのSP 800-207の規格に対する見解を見直しました。

NISTが改めたサイバーセキュリティに関する本見解では、リソースの保護に加え、信頼は暗黙的に付与されるべきではなく、継続的に評価する必要があるという前提に焦点が当てられていました。つまり、境界による制約と仮想プライベートネットワークの概念が取り払われたのです。

その本質は、ゼロトラストがどのように機能するか、そしてなぜそれが以前のアプローチからの脱却を意味するかを理解する鍵となります。SP 800-207の規格では、ゼロトラストのための重要な原則と前提が規定されており、その中で最も重要なのは以下の3つの点です。

どのリソースも本質的に信頼しない
すべての通信をネットワークの場所に関係なくセキュリティで保護する
すべてのリソース認証と承認は動的に行い、アクセスを許可する前に厳しく適用する

これがゼロトラストの考え方を劇的に変化させたとすれば、進化のターニングポイントは2022年に発行された米国行政管理予算局(OMB)のM-22-09の覚書だと言えます。これによってにわかに、ゼロトラストは少なくとも米国連邦政府機関が関係する範囲において絶対的な存在となりました。

さらに、その影響はより広範囲に及びました。2021年に発生した、国務省、財務省、国土安全保障省、商務省、エネルギー省などの連邦機関を危険にさらしたサプライチェーン攻撃の影響もあり、最高指導層の支持を得たゼロトラストの手法は米国政府のお墨付きも得たのです。

さらなる進化を遂げるゼロトラスト

米国政府から支持を得たゼロトラストの原則ですが、そこで進化が終わることはありませんでした。ゼロトラストアーキテクチャー(ZTA)に対するZscalerのアプローチは、NISTのZTAのフレームワークおよびGartnerのSSEの定義に厳密に従うだけでなく、ゼロトラストの概念における以下の3つのポイントに着目し、これらの標準を超えるものとなっています。