ゼロトラストとは ゼロトラストは、クラウド環境やモバイル環境で組織を保護するためのフレームワークで、基本的にどのユーザーやアプリケーションも信頼すべきではないという概念です。ゼロトラストの重要な原則である最小特権アクセスに従い、ユーザーのアイデンティティーや場所、エンドポイントのセキュリティ態勢、リクエストされているアプリやサービスなどのコンテキストに基づいて、各フェーズでポリシー チェックを行いながら信頼を確立します。

ゼロトラスト アーキテクチャーとは

ゼロトラストとは「何も信頼しない」を前提に、最小特権アクセスによる制御と厳格なユーザー認証によって確立されたコンテキストに基づいて、セキュリティ ポリシーを適用するサイバーセキュリティ戦略です。適切に調整されたゼロトラスト アーキテクチャーを用いることで、ネットワーク インフラの簡素化、ユーザー エクスペリエンスの向上、そしてサイバー脅威に対する防御力の強化が可能になります。

ゼロトラスト アーキテクチャーでは、「決して信用せず、常に確認せよ」という原則に従います。Forrester Researchに当時在籍していたJohn Kindervag氏が初めてこの言葉を使用し、それ以降定着しています。ゼロトラスト アーキテクチャーは、ユーザーの役割や場所、デバイス、リクエストしているデータなどのコンテキストに基づいてアクセス ポリシーを適用し、不適切なアクセスや環境内での水平移動をブロックします。

効果的なゼロトラスト アーキテクチャーを確立するには、企業環境のユーザーとトラフィックの可視化と制御(暗号化されているものも含む)、環境内の領域間のトラフィックの監視と検証、そして生体認証やワンタイム コードなどのパスワード以外の強力な多要素認証などが必要です。

ゼロトラスト アーキテクチャーでは、ネットワーク上の場所はリソースのセキュリティ態勢にとって最も重要な要因とはみなされません。固定的なネットワーク セグメンテーションではなく、データ、ワークフロー、サービスなどがソフトウェア定義のマイクロセグメンテーションによって保護されるため、データ センター内であっても、分散型のハイブリッド環境やマルチクラウド環境内であっても、セキュリティを維持できます。

ゼロトラスト セキュリティの仕組み

ゼロトラストの基本的な概念はシンプルで、すべてのものは基本的に悪意があるとみなします。これは、1990年代から使用されている集中型データ センターと安全なネットワーク境界に基づいて構築されたネットワーク セキュリティモデルとは大きく異なります。このようなネットワーク アーキテクチャーは、承認されたIPアドレス、ポート、プロトコルに依存してアクセス制御を確立し、ネットワーク内で信頼できるものを検証します(通常はリモート アクセスVPN経由で接続するユーザーも含む)。

一方、ゼロトラストでは、たとえそれが境界線内にあるものだとしても、すべて悪意のあるトラフィックとして扱います。例えば、従業員はフィンガープリントやアイデンティティーなどの一連の属性によって検証されるまで、通信がブロックされます。アイデンティティーベースのポリシーにより、パブリック クラウド、ハイブリッド環境、コンテナー、オンプレミスのネットワーク アーキテクチャーなど、ワークロードがどこで通信していても、強固なセキュリティが追随します。

保護は環境に依存しないため、アプリケーションとサービスが異なるネットワーク環境間で通信していても、ゼロトラストによってアプリケーションとサービスが保護されるため、アーキテクチャーの変更やポリシーの更新は必要ありません。ゼロトラストは、あらゆるネットワーク上でビジネス ポリシーを用いてユーザー、デバイス、アプリケーションを安全に接続し、安全なデジタル トランスフォーメーションを実現します。

ゼロトラストはマーケティング用語として間違って使用されている。ベンダは「ゼロトラスト」という語をセキュリティのすべてソリューションに当てはめてしまっているため、マーケティングで混乱が生じている。 2019年、Gartner

ゼロトラスト モデルの基本原則

ゼロトラストは、ユーザーのアイデンティティー、セグメンテーション、安全なアクセスについての概念にとどまらず、サイバーセキュリティのエコシステムを構築するための戦略といえます。その中心には、以下の3つの理念があります。

1. すべての接続を終了：ファイアウォールなどの技術は、配信されるファイルを検査する「パススルー」アプローチを採用しています。悪意のあるファイルが検出されても、多くの場合警告は手遅れとなってしまいます。効果的なゼロトラスト ソリューションはすべての接続を終了し、暗号化されたトラフィックを含むすべてのトラフィックが送信先に届く前にインライン プロキシー アーキテクチャーでリアルタイムに検査するため、マルウェアやランサムウェアなどの侵入を防止できます。
2. きめ細かなコンテキストベースのポリシーでデータを保護：ゼロトラスト ポリシーは、ユーザーのアイデンティティー、デバイス、場所、コンテンツの種類、要求されたアプリケーションなどのコンテキストに基づいて、アクセス要求と権利を検証します。ポリシーは適応性を備えているため、ユーザー アクセスはコンテキストが変化するたびに継続的に見直されます。
3. 攻撃対象を排除することでリスクを低減：ゼロトラスト アプローチでは、ユーザーは必要なアプリやリソースに直接接続し、ネットワークには接続しません(ZTNAを参照)。ユーザーとアプリ間またはアプリ間で直接接続するため、水平移動のリスクが排除され、侵害されたデバイスが他のリソースに感染することを防ぎます。さらに、ユーザーやアプリはインターネットから見えないため、検出や攻撃の対象になることはありません。

ゼロトラスト アーキテクチャーを採用するメリット

現在のクラウド環境は、個人識別情報(PII)、知的財産(IP)、財務情報などの業務上重要な機密データを盗み出して、破壊したり身代金を要求したりするサイバー犯罪者にとっては格好のターゲットとなりえます。　

完璧なセキュリティ戦略というものはなく、データ侵害が完全に消滅することはありませんが、ゼロトラストは現時点で最も効果的な対策法の1つです。完璧なセキュリティ戦略というものはなく、データ侵害が完全に消滅することはありませんが、ゼロトラストは現時点で最も効果的な対策法の1つです。

言うまでもなく、ゼロトラスト セキュリティ モデルはクラウド セキュリティの最も効果的な手段です。クラウド、エンドポイント、データのスプロール化が急激に進む今日のIT環境では、適切に検証されていない接続を信頼しない機能は不可欠です。また、可視性が強化されることで、管理者レベルからCISOに至るまで、ITとセキュリティをより簡単なものにできます。

ゼロトラストのユース ケース

1. ビジネスと組織のリスクの低減

ゼロトラスト ソリューションは、認証や承認の要件など、事前に定義された信頼の原則を満たす不変のプロパティーであるアイデンティティーの属性によって検証されるまで、すべてのアプリケーションやサービスの通信を停止します。

したがってゼロトラストは、何がネットワーク上にあるのか、またそれらの資産がどのように通信しているのかを明らかにすることでリスクを低減します。ベースラインが確立されると、ゼロトラスト戦略は、過剰にプロビジョニングされたソフトウェアやサービスを排除し、通信しているすべての資産の「認証情報」を継続的に検証することで、リスクをさらに低減します。

2. クラウドやコンテナー環境に対するアクセス制御の提供

アクセス管理と可視性の喪失は、セキュリティ担当者がクラウドへの移行に関して最も恐れていることです。クラウド サービス プロバイダー(CSP)のセキュリティが強化されているにもかかわらず、ワークロードのセキュリティは企業とCSPとの間で責任を共有するものとなっています。とはいえ、CSPのクラウド内で与えられる影響の範囲は限られています。

ゼロトラスト セキュリティ アーキテクチャーでは、通信しているワークロードのアイデンティティーに基づいてセキュリティ ポリシーが適用され、ワークロード自体に直接結び付けられます。これにより、IPアドレス、ポート、プロトコルなどのネットワーク構造の影響を受けずに、保護が必要な資産にセキュリティを可能な限り近づけることができます。セキュリティはワークロードとともに移動し、環境が変化しても常に一定の状態を保ちます。

3. データ侵害のリスクの軽減

最小特権の原則に従って、すべてのエンティティーは悪意があるとみなされます。「信頼」が付与される前にすべてのリクエストが検査され、ユーザーとデバイスが認証されたのち、権限が評価されます。この「信頼」は、ユーザーの場所やアクセスするデータなどのコンテキストの変化に応じて、継続的に再評価されます。

侵害されたデバイスや他の脆弱性からネットワークやクラウド インスタンスに侵入できたとしても、信頼されていない攻撃者はデータにアクセスしたり、データを盗んだりすることはできません。さらに、ゼロトラスト モデルでは「1つの安全なセグメント」が作られ、水平移動する手段がないため、攻撃者はどこにも行くことができません。

4. コンプライアンス戦略のサポート

ゼロトラストは、インターネットからすべてのユーザーとワークロードを不可視の状態にするため、露出されたり悪用されたりすることはありません。このような不可視化により、プライバシーに関する基準や規制(PCI DSS、NIST 800-207など)に準拠していることを簡単に証明でき、結果として監査時の指摘事項が少なくなります。

ゼロトラストのマイクロ セグメンテーションを実装することで、規制対象と非規制対象のデータを分離するためのきめ細かな制御を用いて、特定の種類の機密データ(支払いカードに関するデータ、データ バックアップなど)の周囲に境界線を設けることができます。監査中またはデータ侵害が発生した場合、マイクロセグメンテーションは、フラット ネットワーク アーキテクチャーに多く見られる過剰な特権アクセスと比較した際により優れた可視性と制御を提供します。

ゼロトラストを始めるには

ゼロトラスト アーキテクチャーを設計するにあたって、セキュリティ部門や IT部門は最初に、次の2つの質問について考える必要があります。

1. 何を保護しようとしているのか。
2. 誰から保護しようとしているのか。

どのような戦略を取るかによって、アーキテクチャーの設計方法が決まります。それに続いて、技術やプロセスをその戦略に基づいて確立することが最も効果的なアプローチであり、その逆ではありません。

Gartnerは、ゼロトラスト ネットワーク アクセス(ZTNA)フレームワークにおいて、サービスとして提供されるゼロトラストを活用することを推奨しています。また、ゼロトラストを広範囲に導入する前に、最も重要な資産から始める、あるいはテスト ケースとして重要度の低い資産から始めるなど、段階的なアプローチをとることもできます。出発点を問わず、最適なゼロトラスト ソリューションを用いることで、リスクの削減とセキュリティ制御において瞬時にメリットを得られます。

ゼロトラスト ソリューションとしてZscalerを選択すべき理由

Zscalerはクラウドで誕生し、クラウドを使用する組織向けに構築された、ゼロトラスト プラットフォームを提供する唯一のサイバーセキュリティ ベンダーです。さらに、業界で最も権威のあるアナリスト レポートやランキングにおいて常にリーダーの1社として評価され、革新的なパートナーや顧客の支持を得ています。

これはすべて、当社の主力プラットフォームであるZscaler Zero Trust Exchangeの成果です。

Zscaler Zero Trust Exchange

Zscaler Zero Trust Exchange™は、ゼロトラスト上に構築されたクラウド ネイティブのプラットフォームです。最小特権の原則に基づいて、ユーザーの場所、デバイスのセキュリティ態勢、通信されるコンテンツ、要求されているアプリケーションなどのコンテキストを通じて信頼を確立します。信頼が確立されると、従業員はどこにいても、ネットワークに直接配置されることなく、高速かつ信頼性の高い接続を得ることができます。

Zero Trust Exchangeは、世界150拠点以上のデータ センターで運用されています。ユーザーの近くでサービスを提供できるよう、ユーザーがアクセスするクラウド プロバイダーやアプリケーションとの共同設置を行っています。これにより、ユーザーと接続先の経路が最短となり、総合的なセキュリティと優れたユーザー エクスペリエンスを提供できます。