クラウドサービスの一般化やリモートワークの普及に伴って、昨今「ゼロトラスト」というセキュリティのあり方が注目を浴びています。情報漏洩やデータ改ざんなどのセキュリティ事故につながる脅威は、外部からのものとは限りません。内部対策も徹底するためには、社内・社外のどこにでも脅威が存在し得ることを想定して「ゼロトラストセキュリティ」を構築する必要があります。
そこで今回は、クラウドサービスが一般的になる中で、認証の際にゼロトラストの概念に基づいてセキュリティ強化を図る方法を解説します。
ゼロトラストの背景
まずは、ゼロトラストの考え方から整理していきましょう。ゼロトラストの理念を理解するためには、これまで重視されていたセキュリティのかたちやあり方を見たうえで、ゼロトラストの必要性を知ることが大切です。
ゼロトラストについて
ここで、ゼロトラストの意味を確認しておきましょう。ゼロトラストはセキュリティ理念であり、意味は「どんなものもどんな場所も信頼しない」ことです。つまりゼロトラストとは、あらゆる脅威を想定してセキュリティ対策を強化しようとする考え方です。
これまでのセキュリティは、組織の外部から来る脅威への対策がメインである「境界型」が一般的でした。
近年クラウドサービスが世の中に浸透したことで、どのような業務を行う際にも開けたネットワークの利用が不可欠になりました。これによって、今までのセキュリティのあり方では、外部・内部の脅威に対するセキュリティ対策が不十分であることが浮き彫りになったのです。
その結果、2019年頃からあらゆる脅威を想定して防御・認証を行うゼロトラストセキュリティの構築が重視されるようになりました。ゼロトラストセキュリティは、クラウドサービスやリモートワークが普及した現代にマッチするセキュリティのあり方といえます。
ゼロトラストの3つの原則
ゼロトラストを理解するためには、以下の3原則を知ることが不可欠です。
- 内部を信頼しない
- 最小権限
- 常時認証
ゼロトラストが重視されるようになった背景に、内部対策の甘さに対する指摘があります。昨今、内部からの情報漏洩によってセキュリティ事故が起こるケースが増えています。「何も信頼しない」ことを原則としているため、内部における不審な動きも厳重にチェックすることになります。
ゼロトラストセキュリティを構築するためには、管理権限・アクセス権限を必要最小限にとどめておくことも重要です。そのうえで常にログイン認証などを行い、それを省略しないことも大切です。
ゼロトラスト認証の実現
強固なセキュリティを実現するためにゼロトラストの考え方を適用するなら、ユーザー認証においてもゼロトラスト化を行う必要があります。
ここからは、ゼロトラストの考え方を反映した認証システムの例を見ながら、実現のための具体的なポイントを整理していきましょう。
ゼロトラストにおける認証
ゼロトラストセキュリティの構築においては、認証をより厳重にする必要があります。例えば、以下のポイントを意識した認証が考えられます。
- 多要素認証
- アクセスごとに認証を行う
多要素認証とは、複数の要素を組み合わせて認証を行うことです。IDとパスワードだけで認証するのではなく、指紋や顔など体の一部をログイン情報として登録し、認証を行う生体認証を取り入れることで、セキュリティはより強固になります。
また、多要素認証はデバイスや利用環境の変化に応じて行われることもあります。別のデバイスやネットワークから容易にログインできてしまうと、セキュリティ上のリスクを高めることになります。
また、アクセスのたびに認証を行うことも大切です。前回の認証を記憶し、次の認証を省略してしまうと、不正アクセスを招く恐れがあるためです。IDやパスワードなどの情報を記憶させるオートコンプリート機能の脆弱性を突く情報セキュリティインシデントも、近年は問題視されています。これらのポイントを実施し認証を複雑化することが、ゼロトラスト認証になります。課題はさまざまありそれらについても後述していきます。
ゼロトラスト認証はどう実現するか
ここからは、ゼロトラスト認証はどのように実現するのが望ましいのか、またその課題となっていることを見ていきましょう。
ゼロトラスト認証を実現するためには、単に認証システムを厳重にして強化すればよいというわけではありません。
そもそも、ゼロトラストセキュリティを構築すること自体、簡単なことではありません。
導入に莫大なコストがかかることや、その他のサービスとの連携はどうするのか、導入前にあらかじめ確認しておくべきことはたくさんあります。
また、認証を強化すると、生産性が下がるという課題もあります。アクセスするたび複雑な認証をクリアしなければならないとなると、それに費やす時間と手間は業務の妨げになります。
したがって認証セキュリティを強化するためには、認証を効率的に管理できるサービスの導入が重要なポイントになります。その中でも、クラウドサービスとしてログインセキュリティを提供するIDaaSの導入は、ゼロトラストセキュリティの実現に向けた確かなステップになる可能性があります。導入することで、アクセスコントロールやロギングなどのセキュリティ機能が利用でき、ログインセキュリティを確保しながら認証の効率化が図れます。
HENNGE Oneが実現するゼロトラスト認証
ゼロトラスト認証は、昨今重要性が叫ばれるゼロトラストセキュリティの構築に欠かせない要素の一つです。認証システムの脆弱性が、情報漏洩などのインシデントにつながる可能性は十分あります。それらを防ぐためにも、多要素認証やアクセスごとの認証といった厳重な認証システムは不可欠です。
HENNGEが提供するHENNGE Oneは、あらゆるクラウドサービスへの認証を管理し、業務効率化を促すセキュリティシステムを持ちます。多要素認証などの認証システムによって、クラウドサービスにおけるゼロトラスト認証を実現します。ログインセキュリティを強化する際は、HENNGE Oneの導入をぜひご検討ください。
