現代のITシステムが高度化していることは明らかです。サイバーセキュリティを取り巻く環境が複雑化し、脅威も増しているため、企業はITインフラの保護を優先しなければなりません。企業ネットワークの専門家には、会社のデータを確実に保護するため、サイバーセキュリティに関する専門知識が求められています。
Forrester Researchは2010年、ゼロトラストモデルと呼ばれる、広く知られたセキュリティフレームワークを発表しました。多くの企業がゼロトラストフレームワークを利用してネットワークセキュリティを維持・管理しています。ゼロトラストについて少しでも知っていれば、その数多くのメリットにより、世界中の企業でますます普及していることが分かるでしょう。
ゼロトラストアプローチが自社にメリットをもたらすと考えるなら、ゼロトラストネットワークモデルを構築する方法を、ステップ・バイ・ステップで解説します。
ゼロトラストモデルの概要
ゼロトラストセキュリティモデルは、ゼロトラストネットワークアクセス（ZTNA）またはゼロトラストアーキテクチャ（ZTA）とも呼ばれます。これは、さまざまな認証手段とネットワークアクセス試行の監視を通じて信頼を確立することに重点を置く、主要なITセキュリティフレームワークです。
ゼロトラストと従来のネットワークセキュリティモデルの大きな違いの1つは、その名の通り、ゼロトラストでは企業ネットワークにアクセスしようとするユーザーをデフォルトでは信頼しない点です。むしろ、すべての従業員、顧客、サードパーティーベンダーは、ネットワークにアクセスする前に身元を特定し、検証しなければなりません。
ゼロトラストの基本理念は「決して信頼せず、常に検証する」です。ユーザーのデバイスが企業ネットワークに接続している場合や、過去に検証を受けている場合でも、再度検証されるまでネットワークへのアクセスを許可してはなりません。
すべてのアクセス要求は、オープンネットワークから発信されたものとして扱われます。ユーザーにアクセスを許可する前に、認証、認可、暗号化を経なければなりません。
関連記事：ネットワーク管理の主要ソリューション
ゼロトラストネットワーク用語
Ciscoは自社のウェブサイトで、ゼロトラストに関連する有用な用語をいくつか定義しています。ゼロトラストへの理解を深めるため、以下の用語とその意味を確認しましょう。
- 保護対象サーフェス：保護が必要な、ネットワーク内のあらゆる資産。
- ソフトウェア定義ネットワーク：ゼロトラストネットワークはソフトウェア定義であり、ソフトウェアによって実装された、あらかじめ定められた一連のルールとポリシーに従います。
- 最小権限アクセス：ユーザーのアクセスを制限し、ネットワーク上の特定のアプリケーション、データ、サービスだけにアクセスできるようにする運用。
- SMS認証：ユーザーにSMSコードを送信し、本人確認とネットワークへのアクセスを行う、広く使われている認証方法。
- 2FA/MFA認証：同様に、二要素認証（または多要素認証）では、ユーザーが特定の情報や属性を提示して本人確認を行い、ネットワークリソースにアクセスできるようにします。
- マイクロセグメント：マイクロペリメーターによって保護された、大規模ネットワーク内の小規模ながら安全な領域。
- セグメンテーションゲートウェイ：大規模ネットワーク内の特定のマイクロセグメントを保護するファイアウォールの一種。
- きめ細かな適用：ネットワーク上で特定のアクションを実行する際に認証を要求する、ゼロトラストの運用方法。
要するに、ゼロトラストモデルでは、大規模ネットワークは常にサイバーセキュリティ侵害のリスクにさらされていると想定します。最終的な目標は、すべてのユーザーに認証を要求し、攻撃者がネットワークに侵入する可能性を低減することです。
関連記事：企業ネットワークにおける7つの課題
ゼロトラスト防御の6つの主要領域
ゼロトラストモデルには、いくつかの重要なセキュリティカテゴリーが含まれます。以下に、ゼロトラスト防御の6つの主要領域と、それぞれの概要を示します。
- ID：企業は組織全体で、ユーザー個人のIDを確認・認証しなければなりません。
- エンドポイント：ユーザーを確認するだけでなく、ネットワーク内で接続されるすべてのデバイスも認証する必要があります。これはコンプライアンスとセキュリティに役立ちます。
- アプリ：ITチームは社内アプリケーションを管理し、アクセスとユーザーの操作を制御する必要があります。
- データ：ゼロトラストを導入する企業は、境界ベースのデータセキュリティから、データドリブンの保護へ移行します。ITチームは、企業のゼロトラストポリシーに基づいてアクセスを制限・暗号化できます。
- インフラ：組織は、異常が発生した場合にアラートを受け取り、最小アクセス権限の原則を適用することで、ネットワークインフラを保護できます。
- ネットワーク：この防御領域では、ネットワーク上のすべてのユーザーとデバイスが認証され、デフォルトでは信頼されないことを確実にします。
関連記事：IoTにおけるサイバー攻撃の封じ込め
ゼロトラストネットワークを構築する理由
ゼロトラストセキュリティが自社に適しているか疑問に感じているなら、現在のサイバーセキュリティ環境を分析することが重要です。
現在、ほぼすべての企業にとってサイバーセキュリティは最優先事項であり、その優先順位付けを裏付ける証拠もあります。N-ableの調査によると、同社の顧客の82％が、COVID-19パンデミックの発生以降、サイバー攻撃の試みが増加したと回答しています。サイバーセキュリティの脅威が頻度と強度を増し続ける中、企業にとってゼロトラストはますます不可欠になっています。
ゼロトラストには、主に3つのメリットがあります。セキュリティの強化、IT管理の簡素化、そして分散したネットワークインフラを企業が運用できることです。
ゼロトラストアーキテクチャの構築方法：不可欠な5つのステップ
サイバーセキュリティ体制を強化するために、企業がゼロトラストアーキテクチャを構築・導入する際の5つのステップを紹介します。
1. ネットワークをセグメント化する
まず、組織はネットワーク上のシステムとデバイスを分離しなければなりません。こうしたネットワークの各セグメントが、ほかのゼロトラストセキュリティコンポーネントの指針となります。
2. ユーザーとデバイスを特定する
次のステップでは、ネットワークへのアクセスが必要なユーザーとデバイスを特定します。多くの企業はこの段階でID・アクセス管理ツールを使用します。従業員の生産性を職場で維持するには、エンドユーザーにとって検証・認証プロセスがシンプルでシームレスでなければなりません。
3. ポリシーを定義・自動化する
組織はさまざまな評価と調査を実施し、どのゼロトラストポリシーが適切かを定義・決定する必要があります。
この段階で、検証プロセス、従業員ポリシー、ゼロトラストに関する一般的なガイドラインを策定します。企業のIT部門の負担を軽減するため、自動化技術の導入を検討する価値も常にあります。
4. アクセス制御を設定する
このステップでは、組織内のさまざまな従業員に対するアクセス制御を確立します。これらの制御により、特定のユーザーやデバイスに適切なアクセス権が自動的に付与されます。
この段階の主な目標は、従業員がアクセスできる、またはアクセスできないデータ、リソース、サービス、アプリケーションの種類を決定することです。つまり、制御を設定する際には最小権限アクセスを活用します。
5. ネットワーク監視とアラートを導入する
ゼロトラストアプローチを採用する場合、その有効性を継続的に監視・テストすることが重要です。企業の成長に伴い、モデルには調整が必要になる可能性があるため、柔軟性、適応性、拡張性を備えていることが重要です。さらに、セキュリティチームはネットワークの活動を監視し、異常や侵入の可能性を特定する必要があります。
ゼロトラストネットワーク構築に関するその他の考慮事項
上記の5つのステップを実行すれば、企業はゼロトラストネットワークモデルを整備できるはずです。ただし、この新しいフレームワークについては、ほかにも考慮すべき点があります。
ゼロトラストネットワークにおけるVPNの役割
特にリモートワーカーが増加する中で、企業が活用する一般的なツールに、仮想プライベートネットワーク（VPN）があります。多くのリモートワーカーは、主に会社の機密情報を保護する目的で、セキュリティ対策としてVPNを利用しています。
しかし専門家は、ゼロトラストネットワーキングが広く利用される結果、VPNは必然的に変化すると指摘しています。自社でVPNを利用し、ゼロトラストネットワークを構築している場合は、この点を念頭に置いてください。
潜在的な脆弱性と脅威
ゼロトラストネットワークはセキュリティを強化しますが、100％完全なネットワークソリューションではありません。ハッカーはますます巧妙化しているため、企業はサイバーセキュリティ業界の動向を常に把握する必要があります。ゼロトラストネットワークに関する潜在的な脅威を特定し、こうした動向に基づいてモデルに必要な変更を加えましょう。
従業員教育の重要性
新しいモデルにおけるもう1つの重要な要素は、従業員の意識です。サイバーセキュリティとゼロトラストの基本概念について従業員を教育することで、組織は警戒を維持しやすくなります。従業員はゼロトラストに関する具体的なポリシーと手順を知り、常に変化するIT環境において自分が果たす役割を理解する必要があります。
自社にメリットをもたらすゼロトラストネットワークを構築する
サイバー攻撃を経験したい企業はありません。特に、攻撃に伴うコストが上昇し続けている今、その思いはなおさらです。組織が従業員と会社の情報資産を保護するため、効果的なITセキュリティソリューションを導入することが重要です。
ゼロトラストネットワークの構築は、企業にメリットをもたらす可能性があります。上記のステップに従ってゼロトラストへの取り組みを始め、ビジネスにどのようなプラスの影響があるかを確認しましょう。