ゼロトラストの歴史の概要：エンタープライズ セキュリティの進化における主要なマイルストーン

なぜゼロトラストなのか

ITセキュリティの専門家の多くは、ゼロトラストはエンタープライズ セキュリティとネットワークやリソースの保護に対する考え方を根本的に変えるものであるとし、優れたアイデアを生み出すだけでなく、優秀な人材を結び付け、生産性を高める革新的なツールへのアクセスを許可するものと考えています。

しかし、ゼロトラスト モデルがサイバーセキュリティにおいてどれほど革命的であるかを理解するには、ゼロトラスト アーキテクチャーの概念が、数十年来の考え方を根本的に覆すものへと進化した経緯を理解する必要があります。

ゼロトラストの発展の歴史における重要なターニングポイントを、簡単に解説します。

ゼロトラストの歴史における重要なターニングポイント

1987年 - Digital Equipment Corporation (DEC)のエンジニアがファイアウォール技術に関する最初の論文を発表し、以降数十年にわたる「城と堀」モデルにおけるネットワークセキュリティの考え方の先駆けとなる

2001年 – IEEE Standards Associationがネットワークアクセス制御(NAC)用の 802.1Xプロトコルを公開する

2004年 - Jericho Forumが設立され、非境界化の原則が紹介される

2007年 - 国防情報システム局(DISA)がソフトウェア定義の境界の「ブラックコア」モデルを発表するも、浸透には至らず

2009年 – 「オーロラ作戦」を受け、セキュリティアーキテクチャの在り方を再構築すべくGoogleのBeyondCorpが設立される

2010年 - アナリストのJohn Kindervag氏がForrester Research Groupの論文で「ゼロトラスト」という用語を生み出す

2013年 - Cloud Security Allianceの、SPAに依存するソフトウェア定義の境界は技術的な限界により失敗に終わり、Jericho Forumは非境界化を「事実」と宣言し解散する

2017年 – Gartnerが、「継続的でアダプティブなリスク/トラストのアセスメント(CARTA)」をリスク管理フレームワークとして策定する

2019年 – Gartnerがセキュア アクセス サービス エッジ(SASE)の概念を発表する

2020年 - NISTが、ゼロトラスト アーキテクチャー(ZTA)を確立するための統一フレームワークとしてSP 800-207を公開する

2021年 – Gartnerが、SASEのセキュリティ コンポーネントをセキュア サービス エッジ(SSE)という新しい市場カテゴリーとして指定する

2022年 - 米国政府の行政管理予算局が、2024年までにすべての政府機関にゼロトラスト原則の採用を命じる

 

802.1Xおよびネットワーク アクセス制御

802.1Xプロトコルは、ワイヤレス デバイスのネットワーク アクセス制御(NAC)を規制する規格として2001年に発表されました。ワイヤレス デバイスの導入が進むことで、厳密に定義された企業の境界の概念が複雑化し、組織はこれらのデバイス使用の増加に対処する必要性に迫られていました。

802.1Xサプリカント(クライアント)は、接続を許可する前にネットワークがエンドポイントを認証できるようにするためのものでしたが、すべてのデバイスが802.1Xに対応していたわけではありませんでした。プリンターやIoTシステムなどの接続デバイスの存在により、この方法は不正なネットワーク アクセス問題に対する一般的な解決策として機能しなかったのです。

 

Jericho Forumが描いた未来のための大胆な解決策

2003年に、ヨーロッパのテクノロジー リーダーのグループが「城と堀」のネットワーク アーキテクチャーに内在する問題を認識し、ネットワークの壁をなくす方法について議論を始めました。

2004年にはJericho Forumとして知られるワーキンググループを招集し、「非境界化」のアイデアを導入して、境界のないネットワークを管理するためのベストプラクティスの基礎となる、一連の「規則」を世界に発信しました。

 

単なる流行語に留まらないゼロトラスト

2010年、ForresterのアナリストJohn Kindervag氏は「No More Chewy Centers: Introducing The Zero Trust Model of Information Security (内部セキュリティの脆弱性を解消：情報セキュリティのゼロトラスト モデルについて)」と題する論文を発表しました。これは単なる流行語には留まらず、新しい接続モデルを設計する際に不可欠となる考え方をITセキュリティ業界に提唱するものでした。

このモデルは、「ネットワーク内に存在することは必ずしも信頼に値することにはならない」という考え方が前提となっています。 境界に代わり、アイデンティティーとそれを検証できるかどうかが、アクセスを許可するか否かを判断する中核的な基準に据えられています。しかし、この段階までは企業の環境自体に根本的な変化はありませんでした。ネットワークは依然として「すべてかゼロか」、そして「内側か外側か」という構造をとっていたのです。

 

企業の境界を超えるBeyondCorp

サイバーセキュリティの分野ではよくあることですが、脅威アクターの存在がネットワーク セキュリティの新しい進化のきっかけとなりました。中国人民解放軍がAkamai、Adobe、Juniper Networksを含む米国のハイテク企業に対して大規模なサイバー攻撃を実施し、GoogleはこれにBeyondCorpで対応しました。

Googleによると、この対応策の意図は、アクセス制御をネットワーク境界から個々のユーザーにシフトさせることで、従来型のVPNを必要とせずに事実上あらゆる場所から安全に作業できるようにすることでした。こうして、ネットワーク内外の区別をなくすという、純粋なゼロトラストが登場したのです。

しかし、Googleが挑んだ問題は困難なものでした。他の組織がゼロトラスト ネットワークを自ら実現する道を切り拓くことを試みていたにもかかわらず、2010年当時には、これはまだほとんどの企業が実現できない戦略だったのです。

 

米国当局がゼロトラストの価値を認識

2020年、米国国立標準技術研究所(NIST)は、ゼロトラスト アーキテクチャーに関するNISTのSP 800-207の規格に対する見解を見直しました。

NISTが改めたサイバーセキュリティに関する本見解では、リソースの保護に加え、信頼は暗黙的に付与されるべきではなく、継続的に評価する必要があるという前提に焦点が当てられていました。つまり、境界による制約と仮想プライベート ネットワークの概念が取り払われたのです。

その本質は、ゼロトラストがどのように機能するか、そしてなぜそれが以前のアプローチからの脱却を意味するかを理解する鍵となります。SP 800-207の規格では、ゼロトラストのための重要な原則と前提が規定されており、その中で最も重要なのは以下の3つの点です。

1. どのリソースも本質的に信頼しない
2. すべての通信をネットワークの場所に関係なくセキュリティで保護する
3. すべてのリソース認証と承認は動的に行い、アクセスを許可する前に厳しく適用する

これがゼロトラストの考え方を劇的に変化させたとすれば、進化のターニングポイントは2022年に発行された米国行政管理予算局(OMB)のM-22-09の覚書だと言えます。これによってにわかに、ゼロトラストは少なくとも米国連邦政府機関が関係する範囲において絶対的な存在となりました。

さらに、その影響はより広範囲に及びました。2021年に発生した、国務省、財務省、国土安全保障省、商務省、エネルギー省などの連邦機関を危険にさらしたサプライチェーン攻撃の影響もあり、最高指導層の支持を得たゼロトラストの手法は米国政府のお墨付きも得たのです。

 

さらなる進化を遂げるゼロトラスト

米国政府から支持を得たゼロトラストの原則ですが、そこで進化が終わることはありませんでした。ゼロトラスト アーキテクチャー(ZTA)に対するZscalerのアプローチは、NISTのZTAのフレームワークおよびGartnerのSSEの定義に厳密に従うだけでなく、ゼロトラストの概念における以下の3つのポイントに着目し、これらの標準を超えるものとなっています。

1. すべてのトラフィックをゼロトラスト原則で扱う
2. アイデンティティとコンテキストは常に接続性よりも優先されること
3. アプリケーションだけでなく、アプリケーション環境自体も権限のないユーザーには非公開にする

ゼロトラストへの最新のアプローチやエンタープライズ セキュリティの進化に必要な次のマイルストーンをZscalerがどのように達成するのかについては、「ゼロトラストの歴史：エンタープライズ セキュリティの進化における主要なマイルストーン」を参照してください。

また、本トピックに関するGreg SimpsonとのLinkedIn Liveプレゼンテーションの録画もご覧ください。