働き方の多様化が進むニューノーマル時代では、新しい時代に即したセキュリティ体制が求められています。そこで重要な役割を担うのが、「ゼロトラスト」の概念に基づくセキュリティモデルです。本記事では、ゼロトラストの概要や具体的なメリットについて詳しく解説します。ぜひ、自社のセキュリティ体制を整備する際の参考にしてください。
ゼロトラストの概要
「ゼロトラスト」とは、米国の調査会社Forrester Researchのジョン・キンダーバーグ氏が提唱した、ネットワークセキュリティの概念です。無を表す「zero」と、信頼を意味する「trust」をかけ合わせた用語で、「何も信頼しない」という前提に基づくセキュリティモデルを指します。
ネットワーク環境における社内・社外という境界の概念を捨て去り、すべてのリクエストに対してアクセス管理を徹底することで、組織の情報資産を脅威から保護するというのが、ゼロトラストの基本的な考え方です。
従来は「社内は安全で社外は危険」という考え方に基づき、社内ネットワークとインターネットの境界線上にファイアウォールやVPNなどのセキュリティ対策を施す、「境界防御型」が一般的でした。境界防御型のセキュリティモデルでは、守るべき情報資産は社内ネットワークの内部にあるとして、攻撃者を境界の内側に侵入させないことでセキュリティを担保します。
しかし近年では、クラウドサービスの普及やテレワーク制度の浸透とともに、ネットワークにおける内外の区別が希薄になっており、境界防御型では組織のセキュリティを担保するのが困難になりつつあります。ニューノーマル時代において、企業の情報資産をマルウェアや不正アクセスなどの脅威から保護するためには、従来とは異なる新しいセキュリティ体制が必要です。それゆえに、「Verify and Never Trust（決して信頼せずに検証する）」を前提とするゼロトラストセキュリティが求められているのです。
ゼロトラストが重要視される背景
ゼロトラストの考え方に基づくセキュリティモデルは、決して新しいものではなく、先述したジョン・キンダーバーグ氏によって2010年に提唱されました。そんなゼロトラストが近年になり注目を集めている背景には、「テレワークの普及」「マルウェアの増加」「人的ミスによる情報漏えい」の3つの要素が影響しています。
テレワーク/在宅ワークの普及
2020年3月11日、世界保健機関（WHO）のテドロス・アダノム事務局長は新型コロナウイルスをパンデミックと認定しました。これを受け、国内でも感染リスクを下げるべく不要不急の外出自粛が呼びかけられるとともに、テレワーク制度の導入やオンライン教育の実施が推奨されました。その結果、感染症対策として多くの企業がテレワーク制度を導入することとなります。
しかし、テレワーク環境では社外から社内ネットワークにアクセスする都合、内外の境界が曖昧になりやすく、従来の境界防御型ではセキュリティを担保しきれません。例えば、従業員がマルウェアに感染しているデバイスで社内ネットワークにアクセスした場合、社内全域にセキュリティインシデントが発生する恐れもあります。こうした課題を解決するためには、多要素認証を用いた本人確認やEDRによるデバイス認証など、ゼロトラストの概念に基づくセキュリティ対策が必要です。
マルウェア攻撃が増加している
近年、テクノロジーは目覚ましい速度で進歩しており、さまざまな産業がデジタル化の恩恵を受けて大きな発展を遂げました。その一方で、テクノロジーの進歩・発展に比例するかのように、サイバー攻撃も年々高度化・多様化しており、これまで以上に強固なセキュリティ体制の構築が求められています。
また、クラウドファーストが推進される現代では、クラウド環境特有の脆弱性を突くサイバー攻撃も増加しています。現代のこうした状況に、情報管理体制やシステム設定の不備なども相まって、マルウェアや不正アクセスによる情報漏えいインシデントが多発しているのです。
このような時代において、従来の境界防御型はもはや時代遅れのセキュリティモデルとなりつつあり、ゼロトラストに基づく高度なウイルススキャンやデバイス認証などが求められているのです。
ゼロトラストのメリットとは
最後に、ゼロトラストモデルの具体的なメリットについて見ていきましょう。主なメリットとして挙げられるのは、以下の3点です。
- セキュリティ強化が素早く可能
- テレワークに対応したデータ管理が可能
- 設定がシンプルである
セキュリティ強化が素早く可能
ゼロトラストセキュリティを実現するためには、多要素認証やエンドポイントセキュリティなどの機能を有するソリューションの活用が欠かせません。なかでも重要となるのは「SOAR （Security Orchestration, Automation and Response）」です。
SOARとは、組織内の各種セキュリティシステムと連携し、インシデントの検知・対処を自動化するセキュリティソリューションです。セキュリティ運用の自動化および効率化を実現するとともに、組織全体におけるセキュリティ体制の総合的な強化に寄与します。
テレワークに対応したデータ管理が可能
ゼロトラストに基づくセキュリティ体制では、従来のID管理やパスワード管理だけでなく、より厳重な多要素認証やエンドポイントセキュリティなどを実施します。このような施策によって、セキュアなテレワーク環境を整備できるため、遠隔勤務体制においても堅牢なセキュリティのもとでデータやファイルの保管・共有が可能です。
設定がシンプルである
従来の境界防御型のセキュリティモデルでは、社内ネットワークとインターネットの間にファイアウォールやVPNを設置することで、マルウェアや不正アクセスなどから情報資産を保護していました。しかし、このモデルではVPN接続によるアクセス権限や、IPアドレスによる制御といった複雑な設定が必要です。
その点、ゼロトラストに基づくソリューションは設定が比較的シンプルであるため、設定の手間にリソースを割くことなく、組織のセキュリティ体制を総合的に強化できます。
テレワークで発生する新たな課題
人的ミスによる情報漏えい
テレワーク制度の普及とともに増加傾向にあるのが、人的ミスによる情報漏えいインシデントの発生です。テレワークはニューノーマル時代に即した働き方として推奨されているものの、オフィス外で業務に取り組むという性質上、PCやUSBメモリの紛失・盗難が懸念されます。例えば、カフェやコワーキングスペースなどで作業した際、USBメモリを紛失してしまい、そこから従業員の個人情報や製品開発情報が流出するといった可能性も否定できません。
コンピュータセキュリティサービス企業McAfeeの調査によると、情報漏えいの原因ワースト5は上から順番に「管理ミス」「誤操作」「不正アクセス」「紛失・置き忘れ」「不正な情報持ち出し」となっています。つまり、「サイバー攻撃のような外部からの意図的な脅威よりも、内部の人的ミスによるインシデントが多数を占めている」ということがわかるでしょう。このようなヒューマンエラーによる情報漏えいインシデントを防止するためにも、ゼロトラストの考え方を応用して、決して信頼せずに検証する仕組みを構築する必要があります。
まとめ
ゼロトラストとは、「何も信頼しない」という前提に基づくセキュリティモデルであり、クラウド環境やテレワーク環境の安全性を確保するうえで欠かせないシステムです。近年ではクラウドサービスやテレワーク制度の普及とともに、ネットワークにおける内外の区別が希薄になりつつあり、もはや従来の境界防御型では、企業の情報資産をさまざまな脅威から保護するのは困難と言えます。
こうしたニューノーマル時代に即した堅牢なセキュリティ体制を構築するためには、ゼロトラストの概念に基づくセキュリティソリューションの活用が欠かせません。情報資産の安全性を高め、より効率的な運用を目指されている企業様には、「HENNGE One」の導入をおすすめします。
HENNGE Oneとは、ゼロトラストに基づくアクセス管理機能を備えたIDaaSです。ゼロトラストセキュリティを実現するのに必須の機能を提供する他、人的ミスによるインシデント対策としてメール誤送信対策やメールアーカイブ機能も備えています。ぜひ導入を検討してみてはいかがでしょうか。
