リソース > セキュリティ用語集 > ゼロトラストとは

ゼロトラストとは

ゼロトラストとは

ゼロトラストは、クラウドやモバイルの世界で組織のセキュリティを確保するためのフレームワークであり、デフォルトではどのユーザやアプリケーションも信頼すべきではないとしています。重要なゼロトラストの原則である最小権限のアクセスに従い、ユーザのアイデンティティや場所、エンドポイントのセキュリティ体制、要求されているアプリやサービスなどのコンテキストに基づいて、各ステップでのポリシーチェックと合わせて信頼を確立します。

 

ゼロトラストの定義

ゼロトラストとは、信頼があるという前提ではなく、最小権限のアクセス制御と厳格なユーザ認証によって確立されたコンテキストに基づいて、セキュリティポリシーを適用するサイバーセキュリティ戦略です。最適に調整されたゼロトラストアーキテクチャは、ネットワークインフラの簡素化、ユーザエクスペリエンスの向上、そしてサイバー脅威に対する防御力の向上につながります。

 

ゼロトラストアーキテクチャの説明

ゼロトラストアーキテクチャでは「決して信頼せず、常に検証する」という原則に従います。Forrester Researchに当時在籍していたJohn Kindervag氏が初めてこの言葉を使用し、それ以降定着しています。ゼロトラストアーキテクチャは、ユーザの役割や場所、デバイス、要求しているデータなどのコンテキストに基づいてアクセスポリシーを適用し、不適切なアクセスや環境内での水平移動をブロックします。

効果的なゼロトラストアーキテクチャを確立するには、暗号化されているものも含め、企業環境のユーザとトラフィックの可視化とコントロール、環境内の領域間のトラフィックの監視と検証、そして生体認証やワンタイムコードなどのパスワード以外の強力な多要素認証の方法が必要です。

重要なのは、ゼロトラストアーキテクチャでは、リソースのネットワークの場所がセキュリティーポスチャの最大の要因ではなくなっていることです。固定的なネットワークセグメンテーションではなく、データ、ワークフロー、サービスなどがソフトウェア定義のマイクロセグメンテーションによって保護されるため、データセンタ内であっても、分散型のハイブリッド環境やマルチクラウド環境内であっても、どこでもセキュリティを維持できます。

 

ゼロトラストセキュリティの仕組み

ゼロトラストの基本的なコンセプトはシンプルで、すべてのものを悪意があると仮定します。これは、1990年代から採用されてきた、データセンタの集中管理とネットワークの境界の安全性を前提としたネットワークセキュリティモデルとは大きく異なるものです。これらのネットワークアーキテクチャは、承認されたIPアドレス、ポート、プロトコルに依存してアクセス制御を確立し、ネットワーク内で信頼されているもの(通常リモートアクセスVPN経由で接続しているすべてのユーザが含まれます)を検証します。

一方、ゼロトラストでは、たとえそれが境界線内にあるものだとしても、すべて悪意のあるトラフィックとして扱います。例えば、従業員は、指紋やアイデンティティなどの一連の属性によって検証されるまで、通信がブロックされます。アイデンティティベースのポリシーにより、パブリッククラウド、ハイブリッド環境、コンテナ、オンプレミスのネットワークアーキテクチャなど、ワークロードがどこで通信していても、より強固なセキュリティが追随します。

保護は環境に依存しないため、アプリケーションとサービスが異なるネットワーク環境間で通信していても、ゼロトラストによってアプリケーションとサービスが保護されるため、アーキテクチャの変更やポリシーの更新は必要ありません。ゼロトラストは、あらゆるネットワーク上でビジネスポリシーを用いてユーザ、デバイス、アプリケーションを安全に接続し、安全なデジタルトランスフォーメーションを実現します。

ネットワーク上の場所に基づく特権をなくすことにより、過剰な暗黙の信頼を排除し、明示的なアイデンティティベースの信頼に置き換えます。
Gartner、「Market Guide to Zero Trust Network Access」、2020年6月
ゼロトラストはマーケティング用語として間違って使用されています。ベンダは「ゼロトラスト」という言葉をセキュリティのすべてのソリューションにあてはめてしまっているため、マーケティングで混乱が生じているのです。
Gartner、2019年

ゼロトラストモデルの基本原則

ゼロトラストは、ユーザのアイデンティティ、セグメンテーション、安全なアクセスについての概念にとどまらず、サイバーセキュリティのエコシステムを構築するための戦略といえます。その中心には、以下の3つの理念があります。

  1. すべての接続を終了:ファイアウォールなどのテクノロジは、送信されてくるファイルを検査する「パススルー」アプローチを採用しています。悪意のあるファイルが検出されても、多くの場合警告は遅れてしまいます。効果的なゼロトラストソリューションはすべての接続を終了させ、暗号化されたトラフィックを含むすべてのトラフィックが送信先に届く前に、インラインプロキシアーキテクチャでリアルタイムに検査し、マルウェアやランサムウェアなどの侵入を防止します。
  2. きめ細かなコンテキストベースのポリシーを用いたデータの保護:ゼロトラストポリシーは、ユーザのアイデンティティ、デバイス、場所、コンテンツの種類、要求されたアプリケーションなどのコンテキストに基づいて、アクセス要求と権利を検証します。ポリシーは適応性があり、ユーザのアクセス権限はコンテキストの変化に応じて継続的に見直されます。
  3. 攻撃対象を排除することでリスクを低減:ゼロトラストアプローチでは、ユーザは必要なアプリやリソースに直接接続し、ネットワークには接続しません(ZTNAを参照)。ユーザからアプリ、アプリからアプリへの直接接続により、水平移動のリスクを排除し、侵害されたデバイスが他のリソースに感染することを防ぎます。さらに、ユーザやアプリはインターネットからは不可視化されており、発見されたり攻撃されたりすることはありません。

ゼロトラストアーキテクチャを採用するメリット

今日のクラウド環境は、個人識別情報(PII)、知的財産(IP)、財務情報などの業務に重要な機密データを盗み、破壊し、身代金を要求するサイバー犯罪者にとって魅力的なターゲットとなり得ます。

完璧なセキュリティ戦略はなく、データ侵害が完全になくなることはありませんが、ゼロトラストは今日の最も効果的な戦略の一つです。ゼロトラストは、攻撃対象領域を減らし、サイバー攻撃の影響を軽減するほか、侵害への対応にかかる時間やコストを削減します。

言うまでもなく、ゼロトラストセキュリティモデルはクラウドセキュリティの最も効果的な手段です。今日のIT環境ではクラウド、エンドポイント、データの急速な普及を考えると、適切に検証されていない接続を信頼しない機能は不可欠です。さらに、可視性の向上により、管理者レベルからCISOに至るまで、ITとセキュリティの管理を簡素化することができます。

Cybersecurity Insidersの2019年ゼロトラスト導入レポート

レポートを読む(英語)
ゼロトラストレポートのアイコン

ホワイトペーパー:ネットワークアーキテクト向けZTNA導入ガイド

ガイドを読む
ゼロトラストガイドアイコン

Gartner ゼロトラストネットワークアクセスに関するマーケットガイド

レポートを読む
ゼロトラストレポートのアイコン

ゼロトラストのユースケース

1. ビジネスと組織のリスクを低減する

ゼロトラストソリューションは、すべてのアプリケーションやサービスが、認証や承認の要件など、事前に定義された信頼の原則を満たす不変のプロパティであるアイデンティティの属性によって検証されるまで、通信を停止します。

したがって、ゼロトラストは、何がネットワーク上にあるのか、またそれらの資産がどのように通信しているのかを明らかにすることにより、リスクを低減します。ベースラインが確立されると、ゼロトラスト戦略は、過剰にプロビジョニングされたソフトウェアやサービスを排除し、通信しているすべての資産の「認証情報」を継続的にチェックすることで、リスクをさらに低減します。

 

2. クラウドやコンテナ環境へのアクセス制御を提供する

アクセス管理と可視性の喪失は、セキュリティ担当者がクラウドへの移行に関して最も恐れていることです。クラウドサービスプロバイダー(CSP)のセキュリティが強化されているにもかかわらず、ワークロードのセキュリティは企業とCSPの共通の責任です。とはいえ、CSPのクラウド内で与えられる影響の範囲は限られています。

ゼロトラストセキュリティアーキテクチャでは、通信しているワークロードのアイデンティティに基づいてセキュリティポリシーが適用され、ワークロード自体に直接結び付けられます。これにより、IPアドレス、ポート、プロトコルなどのネットワーク構造の影響を受けずに、保護が必要な資産にセキュリティを可能な限り近づけることができます。保護機能は、ワークロードとともに移動し、環境が変化しても常に一定です。

 

3. データ漏洩のリスクを低減する

最小権限の原則に従って、すべてのエンティティは悪意があると想定されます。「信頼」が付与される前に、すべてのリクエストが検査され、ユーザとデバイスが認証され、権限が評価されます。この「信頼」は、ユーザの場所やアクセスするデータなどのコンテキストの変化に応じて、継続的に再評価されます。

侵害されたデバイスやその他の脆弱性を通じてネットワークやクラウドインスタンスに侵入した攻撃者は、信頼なしにはデータにアクセスしたり、データを盗んだりすることはできません。さらに、ゼロトラストモデルでは「1つの安全なセグメント」が作られ、水平移動する手段がないため、攻撃者はどこにも行くことができません。

 

4. コンプライアンス戦略をサポートする

ゼロトラストは、インターネットからすべてのユーザとワークロードを不可視の状態にするため、露出されたり悪用されたりすることはありません。このような不可視化により、プライバシーに関する基準や規制(PCI DSS、NIST 800-207など)に準拠していることを簡単に証明でき、結果として監査時の指摘事項が少なくなります。

ゼロトラストのマイクロセグメンテーションを実施することで、規制対象のデータと非規制対象のデータを分離するためのきめ細かな制御を用いて、特定の種類の機密データ(支払いカードデータ、データバックアップなど)の周囲に境界線を設けることができます。マイクロセグメンテーションは、監査時やデータ漏洩時に、多くのフラットなネットワークアーキテクチャの特権的なアクセスに比べ、優れた可視性と制御を提供します。

ゼロトラストアーキテクチャの図

ゼロトラストを始めるには

ゼロトラストアーキテクチャを設計する場合、セキュリティやITの担当部署はまず、次の2つの質問を考慮する必要があります。

  1. 何を保護しようとしているのか?

  2. 誰から保護しようとしているのか?

どのような戦略を取るかが、アーキテクチャの設計方法に影響を与えます。次に、最も効果的なアプローチはテクノロジとプロセスを戦略の上に重ねることです。その逆ではありません。

Gartnerは、ゼロトラストネットワークアクセスZTNA)フレームワーク内で、サービスとして提供されるゼロトラストを活用することを推奨しています。また、ゼロトラストを広範囲に導入する前に、最も重要な資産から始める、あるいはテストケースとして重要でない資産から始めるなど、段階的なアプローチをとることもできます。出発点はどこであっても、最適なゼロトラストソリューションは、リスクの削減とセキュリティコントロールにおいて、即座にメリットをもたらします。

 

ゼロトラストソリューションとしてZscalerを選択すべき理由

Zscalerはクラウドで生まれ、クラウド組織向けに設計された、ゼロトラストプラットフォームを提供する唯一のサイバーセキュリティベンダです。さらに、業界で最も権威のあるアナリストレポートやランキングにおいて常にリーダーとして評価され、革新的なパートナーや顧客の支持を得ています。

これはすべて、当社の主力プラットフォームであるZscaler Zero Trust Exchangeの成果です。

 

Zscaler Zero Trust Exchange

Zscaler Zero Trust Exchange™は、ゼロトラスト上に構築されたクラウドネイティブのプラットフォームです。最小権限の原則に基づいて、ユーザの場所、デバイスのセキュリティポスチャ、通信されるコンテンツ、要求されているアプリケーションなどのコンテキストを通じて信頼を確立します。信頼が確立されると、従業員はどこにいても、ネットワークに直接配置されることなく、高速かつ信頼性の高い接続を得ることができます。

Zero Trust Exchangeは、世界150拠点以上のデータセンタで運用されています。ユーザの近くでサービスを提供できるよう、ユーザがアクセスするクラウドプロバイダやアプリケーションとの共同設置を行っています。これにより、ユーザとアクセス先の経路が最短となり、総合的なセキュリティと優れたユーザエクスペリエンスを提供できます。

Zero Trust Exchangeの詳細については、こちらをご覧ください。

 

参考資料