ゼロトラストとは？
ゼロトラストは、10年以上前にForrester ResearchのJohn Kindervag氏によって最初に考えられたコンセプトです。ゼロトラストは、現在のクラウドとモバイルの世界で組織を安全に保護する特定の能力を可能にするフレームワークです。ゼロトラストアプローチの重要な原則とは最小限のアクセス権限のみを与えることであり、どのようなユーザまたはアプリケーションも基本的に信頼すべきでないということを想定しています。ゼロトラストはあらゆる段階のゴールキーパーとして機能するポリシーにより、ユーザのアイデンティティとコンテキスト（ユーザの場所、エンドポイントのセキュリティポスチャ、要求されているアプリやサービスなど）に基づいて、初めて信頼が確立されます。モバイルユーザが、管理対象外のデバイスを利用しインターネット経由でビジネスアプリケーションに接続するようになったことで、ゼロトラストセキュリティに対するニーズが高まりました。接続、デバイス、ネットワークを信頼できない場合、ゼロトラストは素晴らしいアイディアのように聞こえますが、「ゼロトラスト」という言葉の実際の意味を完全に理解していなければ、効果的に導入することは困難です。そこで、その意味をよく理解することにしましょう。
ゼロトラストの定義
ゼロトラストとは、信頼を前提とすることなく、最小限の特権によるアクセスコントロールと厳格なユーザ認証によって確立されたコンテキストに基づいて、セキュリティポリシーを適用するサイバーセキュリティ戦略です。正しく調整されたゼロトラストアーキテクチャによりネットワークインフラ全体がシンプルになり、ユーザエクスペリエンスが向上し最終的にはサイバー脅威からの保護が強化されます。
ゼロトラストアーキテクチャの説明
ゼロトラストに基づくアーキテクチャは、「決して信頼せず、常に検証する」という原則に従い、ユーザの役割や場所、デバイス、要求するデータなどのコンテキストに基づいてアクセスポリシーを適用し、データ環境における不適切なアクセスや水平移動をブロックします。効果的なゼロトラストアーキテクチャを確立するには、暗号化されているものも含め、企業環境のユーザとトラフィックの可視化とコントロール、環境内の領域間のトラフィックの監視と検証、そして生体認証やワンタイムコードなどのパスワード以外の強力な多要素認証の方法が必要です。
ゼロトラストによる企業の近代化
ゼロトラストのコンセプトの中核は、「すべてが敵であると仮定する」というシンプルなものです。これは当然のように聞こえるかもしれませんが、この考えは、一元化されたデータセンタや安全なネットワーク境界上に築かれた、企業ネットワークのセキュリティモデルとは著しい対照をなしています。1990年代初めから、企業はエンドポイントベースのコントロールを利用して境界を保護するネットワークアーキテクチャを構築してきましたが、これは承認されたIPアドレス、ポート、プロトコルに基づいてアクセスコントロールを確立し、アプリケーション、データ、ユーザを評価してネットワークの内部での通信を信頼するというものです。このモデルでは、安全な境界の外側にいるユーザがVPNを使用して内部ネットワークへのリモートアクセスを確立し、一度内部に入れば信頼されたことになります。
これに対して、 ゼロトラストアプローチ は既に境界の内側にあるトラフックを含めすべてのトラフィックを敵対的なものとして扱います。例えば、 ワークロード が一連の属性、つまり 指紋認識やIDによって識別されない限り、その個人を信頼せず通信がブロックされます。アイデンティティベースのポリシーにより、 パブリッククラウド、ハイブリッド環境、コンテナ、 オンプレミス のネットワークアーキテクチャなど、ワークロードがどこで通信していても、より強固なセキュリティが一緒に移動します。保護は環境非依存のため、アプリケーションとサービスは、 ゼロトラストアプローチ を使用して複数のネットワーク環境をまたがって通信する場合でも、アーキテクチャ的な変更やポリシーの更新は必要なく、安全に保護されます。
つまり、ゼロトラストセキュリティはビジネスポリシーに基づいてユーザー、デバイス、アプリケーションを任意の ネットワークにセキュアに接続します。
ゼロトラストの基盤
ゼロトラストは、 ユーザーアイデンティティ、リモート ユーザー アクセス、 ネットワーク セグメンテーションのように、単一のテクノロジーによるアプローチではありませんZero Trustは戦略であり、 サイバーセキュリティ エコシステムを構築するための基盤です。 その中心となるのは、3つの理念です：
- 全ての接続を遮断する： ファイアウォールなどの多くのテクノロジーは「パススルー」アプローチを使用しており、ファイルは検査されると同時にその受信者に送信されます。悪意のあるファイルが検出された場合はアラートが送信されますが、手遅れになるケースが頻発します。これに対して、ゼロトラストは全ての接続を遮断し、エンドポイントに到達する前に未知のファイルを保持し検査することができます。プロキシアーキテクチャ上に構築されたゼロトラストはインラインで動作し、暗号化トラフィックを含めた全てのトラフックをラインスピードで検査し、データと脅威の詳細な解析を実行します。
- コンテキストに基づいた きめ細かい ポリシーに基づくデータ保護： ゼロトラストは、アクセス権の検証のために 、ユーザーアイデンティティ とデバイスの態勢を適用し、ユーザー、デバイス、要求されているアプリケーション、さらにコンテンツの種類を含めたコンテキストに基づく きめ細かい ビジネスポリシーを使用します。ポリシーは アダプティブであり、ユーザーの場所やデバイスといったコンテキストが変化しても、 ユーザーアクセス 権限は継続的に再評価されます。
- 攻撃対象領域 をなくすことによるリスクの低減：ゼロトラストは、ユーザーが必要とするアプリケーションやリソースにユーザーを直接接続し、ネットワークに接続させることはありません（ ZTNAをご覧ください）。1対1の接続（ユーザーとアプリ、アプリとアプリ）を可能にすることで、ゼロトラストは 水平方向の移動 のリスクを排除し、被害を受けたデバイスが他のネットワークリソースを感染させることを防止します。ゼロトラストを使用すると、ユーザーとアプリケーションはインターネットに対して不可視となり、発見されたり攻撃されたりすることはありません。
ゼロトラストセキュリティモデルを採用する理由
今日の クラウド環境 は、敵対的な場所である可能性があります。クラウド環境はビジネスに不可欠なアプリケーションをホストしており、個人を識別可能な情報（PII）、知的財産（IP）や財務情報のような 機密情報を窃取、破壊または人質に取って悪用しようとする ハッカー にとって、格好の攻撃対象となります。
完璧なセキュリティ戦略は存在せず、データ侵害が完全になくなることはありませんが、ゼロトラストはサイバー攻撃の攻撃対象を減らして被害の範囲（影響と深刻度）を限定することで、データ侵害への対応と後処理にかかる時間とコストを削減します。
ゼロトラストのメリット
1.ビジネスと組織のリスクを低減する
ゼロトラストは、全てのアプリケーションやサービスにはリスクが潜んでおり、アイデンティティ属性による 認証や承認要件といった、事前に定義された信頼（トラスト）の原則を満たすソフトウェアやサービス自体の不変の特性によって明確に検証されるまで、通信を禁止することを前提としています。
したがって、ゼロトラストは何がネットワーク上にあるのか、またそれらのアセットの通信方法を明らかにすることにより、リスクを低減します。さらに、ベースラインが生成されると、 Zero Trust戦略 は、オーバープロビジョニングされたソフトウェアとサービスを排除し、全ての通信アセットの「認証情報」を継続的に確認することでリスクを低減します
2.クラウドやコンテナ環境に対するアクセスをコントロールする
セキュリティ対策の最大の懸念は、クラウドへの移行と活用によって可視性が損なわれること、そして アクセス管理です。クラウドサービスプロバイダー（CSP）のセキュリティは進化しているものの、ワークロードのセキュリティはクラウドを使用する組織とCSPとが未だ責任を共有しています。とはいえ、プロバイダーが提供するクラウド環境でユーザーである組織が対応できるセキュリティには限界があります。
ゼロトラスト セキュリティ アーキテクチャを使用することで、通信している 従業員 のアイデンティティに基いて セキュリティポリシー が適用され、 ワークロード そのものに直接結びつけられます。このように、セキュリティは保護を必要としているアセットに可能な限り近い場所で実行され、IPアドレス、ポートやプロトコルといったネットワーク構造には影響されません。結果として、通信を試みるワークロードとともに保護が移動するだけでなく、環境が変化した場合でも保護状態は変わりません。
3.データ侵害のリスク低減を支援する
ゼロトラストは、最小限の権限付与の原則に基づいており、エンティティであるユーザー、デバイス、ワークロードはすべて敵対的であると想定されています。その結果、「信頼（トラスト）」が付与される前に全てのリクエストは検証され、ユーザーとデバイスの認証と権限の評価が行われます。そしてこの「信頼（トラスト）」は、ユーザーの場所またはアクセスされているデータといったコンテキストが変化する毎に再評価されます。
感染したデバイスや他の脆弱性を通じて、攻撃者がネットワークまたはクラウドインスタンスに足場を得たとしても、攻撃者は信頼されていないためアクセスやデータを窃取することはできません。「1つの安全なセグメント」を作成するゼロトラストモデルにより、攻撃者は水平方向に移動する能力もなく、どこへも行くことができません。アクセスは、常にロックされているのです。
4.コンプライアンスイニシアチブをサポートする
ゼロトラストは、インターネットからすべてのユーザーとワークロードを不可視状態にするため、危険にさらされたり悪用されたりすることはありません。この不可視性は、プライバシー基準や他の規制への適合証明を容易にするため、監査時に指摘を受ける事項が少なくなります。
加えて、 ゼロトラスト セグメンテーション （マイクロセグメンテーション）の実装により、規制対象のデータを他のデータと分離するきめ細かな制御を行って、特定の機密データ（PCIまたはクレジットカードデータ、データバックアップなど）の周囲に境界を作成することができます。監査時や データ侵害が発生した場合、Zero Trust セグメンテーション （マイクロセグメンテーション）戦略は、優れた可視性と過剰な特権アクセスを提供する複数のフラットな ネットワークアーキテクチャ にわたるコントロールを実現します
ゼロトラストを始めるには
ゼロトラストアーキテクチャの設計において、セキュリティとITチームは、「何を、保護誰からするのか？」というビジネスコンセプトにフォーカスする必要があります。 ゼロトラストアーキテクチャ はセキュリティソリューション全体の基盤となるものです。テクノロジーとプロセスは戦略の上位レイヤーに存在し、その逆ではないことに留意することが重要です。
ゼロトラストはサービスとしての提供が可能です。これは、ガートナーのゼロトラストネットワークアクセス（ZTNA）フレームワークでも推奨されています。また段階的に実装するも可能で、最も重要なアセットへの展開から始めることができます。あるいは、より広範な ゼロトラスト 実装の前に、それほど重要度の高くないアセットをテストケースとすることも可能です。出発点を問わず、 ゼロトラストセキュリティソリューション はリスク低減とセキュリティコントロールを通じて即座にメリットをもたらします。
参考：