これまで企業内の情報セキュリティ対策においては、外部からの不正なアクセスを遮断する「境界型防御」という手法が主流でした。しかし現在では、IT技術の発達やテレワークの普及とともに、この手法が不安視されるようになっています。本記事では、新しいセキュリティ対策として政府も注目している「ゼロトラスト」について解説します。
日本政府も適用するゼロトラスト
「ゼロトラスト（Zero Trust）」は、日本語に直訳すると「ひとつも信頼しない」という意味になります。これはつまり、業務で使用しているデバイスやネットワーク、ユーザーに至るまで一切を信頼せず、等しく適切に管理・確認することを表します。
例えば情報漏えいは「マルウェアに感染したデバイスの利用」や「ネットワークを利用した盗聴」「ユーザーのデータ持ち出し」などさまざま要因によって起こるものです。ゼロトラストでは、こうしたセキュリティに関わるすべてのプロセスを信頼せず、適切に監視・管理・チェックを行い、インシデントや事故の発生を防ぎます。
この手法が誕生する前は、社内外をファイアウォールで分けて内側のみを防御する、いわゆる「境界型防御」が主流とされていました。しかし、クラウドサービスの台頭により、外部サーバーに企業情報を置くことが増えたため、もはや従来の境界型防御ではセキュリティ対策として不十分になりつつあったのです。
そうした事情もあり、近年では社内・社外を問わずすべてのアクセスに対し認証を行う、ゼロトラストが注目を集めています。直近では、2021年7月に発表された「政府機関等のサイバーセキュリティ対策のための統一基準群（令和3年度版）」において、ゼロトラスト要素が追加されていることで話題となりました。
「政府情報システムにおけるゼロトラスト適用に向けた考え方」とは
内閣府では、政府情報システムでゼロトラストを適用するにあたり、導入から運用までの取り組みを「政府情報システムにおけるゼロトラスト適用に向けた考え方」としてPDF文書にまとめています。ここでは、その取り組みと考え方について細かく解説していきます。
作成目的
政府情報システムでは、新しいデジタル・ガバメントの作成や働き方改革の推進により、パブリッククラウドの利用や、府省LANの外部における利用、などを考えています。そのために新しいシステム構築を行うことになりますが、それに併せてセキュリティシステムも一新しなければなりません。
しかし、外部からの情報基盤へのアクセスやパブリッククラウドを使用するには、今までの境界型防御ではセキュリティ対策に限界があります。そこで、新しいセキュリティ対策として、ゼロトラストの採用が提案されたのです。
現状の境界型セキュリティにおける課題点
政府では、境界型防御のセキュリティ対策の限界として、以下の課題点を挙げています。
- 境界部分のセキュリティの限界
- 情報遮断の限界
- 生産性の低下
- 運用負荷の増大
- 内部犯行によるリスク
境界型防御では、「外部からの攻撃を、内-外の境界線でいかに防ぐか」が重要です。境界となる壁は城壁のようなものですが、逆に犯罪者たちは、そうした城壁の抜け穴を必死で探します。現在の技術でセキュリティの穴を完全に埋めることは難しく、組織化された犯罪者集団にかかれば簡単に突破されてしまうこともあるのです。これは境界部分のセキュリティの限界と言えます。
近年はIT技術が発達したことにより、暗号化技術やマルウェアが複雑になっています。そのため、侵入してくるマルウェアや情報流出の検出がより困難になっているのです。これらの問題を100%解決したとしても、ネットワーク・ユーザー・情報などさまざまなものに制限をかけなければいけません。そうなると業務の生産性が低下する可能性もあります。
さらに内部犯行のリスクもあるため、情報漏えいの観点からいうと100%問題を防ぐことは困難でしょう。また、外部との情報が遮断されることで、アップデートやセキュリティパッチの適用が難しくなってしまい、運用負荷の増大も懸念されます。
政府情報システムにおけるゼロトラストの適用
これまで政府情報システムのセキュリティは、境界型防御によって構築されていました。これらをすべてゼロトラストに移行するには、予算的な問題もあるため、段階的に数年かけて移行する運びとなります。また、境界型防御は「フェイルセーフ」として残しつつ、ゼロトラスト運用との並行的な運用も視野に入れられています。これらの観点から、以下のような段階的な取り組みが提案されました。
- パブリッククラウドはシステムによって利用の可・不可を分ける
- システムのほとんどをクラウド化し、ネットワークセキュリティへの依存を最小化する
- エンドポイントのセキュリティを強化する
- セキュリティ対策もクラウド化する
- 認証・認可などの動的管理は一元化する
政府の取り組み事例
政府情報システムをクラウドサービスに移行するにあたり、重要データをパブリッククラウドで扱わないこととしています。これは、パブリッククラウドにも情報漏えいの危険性が少なからず存在するためです。
そして、コミュニケーション系システムの移行を最優先として、全体的なクラウド化を推進します。こうすることで全体のセキュリティレベルを統一し、防衛すべき部分を最小化するのが狙いです。併せてエンドポイントのセキュリティ対策として推奨されているのが、「MDM」「EDR」「SOC」「SIG」といった対策法です。これらはセキュリティ対策のクラウド化にも直結します。
また、ゼロトラストでは認証・認可といった管理の一元化が求められます。しかし政府情報システムはすでに縦割り構造となっているため、一元化の実現は困難であるというのが実情です。そこで、これを実現するためにシステムの全体的な構築が検討されています。
ゼロトラストが重要視される背景
クラウドサービスの発達やサイバー攻撃の増大など、ゼロトラストが利用されるようになった要因はさまざまにあります。その中でも大きな一因となっているのは、コロナ禍によるテレワークの発達です。
近年では、新しい働き方としてテレワークの導入が盛んになりました。しかし、テレワーク環境においては、以下のようなトラブルの発生も懸念されます。
- 認証を通過したユーザーが第三者の可能性がある
- ユーザーのデバイスがマルウェアに感染している可能性がある
- 公衆Wi-Fiなどを利用するとセッションが盗まれる危険性がある
ゼロトラストでは、こうしたトラブルへの対処として多要素認証などを用います。また、セッションの検閲や情報権限の付与によって、不正なアクセスや盗聴被害を防ぐことが可能です。さらに証明書の発行を用いれば、アクセスしている端末を認識し、信頼できないデバイスからの通信は遮断してしまえます。
ゼロトラストモデルをスムーズに導入するには
ゼロトラストの導入に際しては、高いセキュリティの基に外部からのアクセスを行えるようにしなければいけません。そのためには、IDaaSのようなサービスを導入して、IDとパスワードの一元化が必要となります。認証時には多要素認証などを用いて、ユーザーが内部の人間かどうかをしっかりと判断できるようなシステムの構築も求められます。
さらにユーザーがアクセスする際は、都度ログを取って監視できるようにしましょう。こうすることで不審な動きを感知可能となるほか、不測の事態が生じた際もログをたどって原因を追究していけます。
また、デバイスがマルウェアに感染してしまう可能性もあるため、エンドポイントセキュリティの対策も欠かせません。ウイルス対策ソフトや前述したMDM、ESRといったツールの導入が必要でしょう。
まとめ
社会的にクラウド利用やテレワーク化が進む中、企業の機密情報を保護するためには、社内外を問わずすべてのアクセスに対し高セキュリティで対応しなければいけません。そのためには、外部ユーザーの認識やID・パスワードの管理といった、ゼロトラストに基づくさまざまなセキュリティ対策の実施が必要です。
そこで、これらを可能にするツールとしておすすめしたいのが、HENNGE提供の「HENNGE One」です。HENNGE Oneではデバイス証明書を用いた多要素認証が可能なため、外出先からアクセスするユーザーが自社の従業員であるかどうか、しっかりと判別可能です。
複数のクラウドを利用している場合でも、シングルサインオン機能によって複数サービスの認証を統一できます。また、多要素認証によって認証のセキュリティをより高めることも可能です。ゼロトラスト運用をお考えの方は、ぜひHENNGE Oneの導入をご検討ください。
