基礎知識

ゼロトラストとは。考え方・構成要素・導入の進め方

ゼロトラストという言葉が広く使われるようになりました。製品名ではなく考え方です。この記事では、何を意味し、どう導入するのかを整理します。

ゼロトラストとは

ゼロトラストは、「社内は安全」という前提を置かない考え方です。

従来は、境界で守る方式でした。社内ネットワークの内側は信頼し、外との境界にファイアウォールを置く。内側に入れた通信は、基本的に許可されます。

この方式が機能しなくなった理由は3つあります。クラウドの利用でデータが社外にあること、社外で働く形が一般化したこと、そして侵入されれば内側では自由に動けてしまうこと。

ゼロトラストでは、すべての接続を検証します。社内からの通信であっても、誰が、どの端末から、何にアクセスするのかを毎回確認します。

3つの原則

考え方の中心にあるものを整理します。

• 明示的に検証する／利用者、端末、場所、時刻。複数の要素で判断する
• 最小権限で与える／必要な範囲だけ、必要な期間だけ許可する
• 侵害を前提とする／既に侵入されていると想定し、被害の拡大を防ぐ設計にする

3つ目が最も発想の転換を要します。防ぐことを完璧にはできない、という前提に立ちます。

したがって、侵入されたときにどこまで広がるかを制限する設計が重要になります。ネットワークを細かく分割し、横方向への移動を制限する方式です。

構成する要素

実装に必要な要素を整理します。

認証基盤。誰であるかを確認する仕組み。多要素認証が前提になります。中心となる要素です。

端末の管理。接続してくる端末が、安全な状態かを確認します。更新が適用されているか、管理下にあるか。

アクセス制御。誰が何にアクセスできるか。役割に応じて動的に判断します。

可視化と監視。誰が何にアクセスしたかの記録。異常な行動の検知。

これらは一度に揃えるものではありません。認証基盤から始め、段階的に整えるのが一般的です。

誤解されやすい点

この概念には、いくつかの誤解が伴います。

製品を買えば実現するという誤解。ゼロトラストは考え方であり、単一の製品ではありません。「ゼロトラスト製品」という表現は、その一部を担うものを指します。

VPNが不要になるという誤解。移行は段階的で、当面は併用されるのが実情です。

一度に全面導入するものという誤解。既存システムの制約もあり、対象を絞って進めるのが現実的です。

利便性が下がるという誤解。設計次第では、むしろ向上します。場所を問わず同じ手順で接続できるためです。

導入の進め方

段階的な進め方を示します。

①現状の把握。誰が、どこから、何にアクセスしているか。ここが分からないまま設計はできません。

②認証の強化。多要素認証の全社適用。最も効果が大きく、着手しやすい段階です。

③端末の管理。接続する端末の状態を把握し、条件を満たすものだけ許可します。

④アクセスの制御。重要な情報から順に、条件付きの制御を適用します。

⑤監視の整備。記録を取り、異常を検知できる状態にします。

②だけでも、不正アクセスの多くは防げます。完全な形を目指すより、効果の大きい部分から始めるのが実務的です。

費用と体制

導入にあたっての現実的な検討事項です。

費用は、利用者数に応じた課金が中心です。認証基盤や端末管理は、1人あたりの月額で計算されることが多くあります。

既存資産との兼ね合いも検討が必要です。既にMicrosoft製品を全社導入していれば、その枠組みの中で構成できる場合があります。

運用の体制。導入後、権限の申請と承認、端末の管理、記録の確認といった業務が発生します。誰が担うかを決めずに導入すると、形骸化します。

小規模な組織では、まず多要素認証と権限の整理だけでも十分な効果があります。

なぜいま必要か

この考え方が求められる背景を整理します。

働く場所が固定されなくなりました。社外から社内システムへ接続する形が常態化しています。

データが社外にあります。クラウドサービスの利用が広がり、守るべき情報が境界の外にも存在します。

攻撃の手口が変わりました。境界を突破するのではなく、正規の認証情報を盗んで内側から動く手口が増えています。この場合、境界での防御は機能しません。

従来の前提が成立しなくなったというのが、この考え方が広がった理由です。設計思想の転換であり、道具の入れ替えではありません。

既存システムとの共存

導入の障害になりやすいのが、古いシステムの存在です。

新しい認証方式に対応していないシステムがあります。多要素認証を適用できない、細かい権限制御ができない。

対処の方法はいくつかあります。手前に認証の仕組みを置いて中継する、そのシステムだけ従来の方式を残して隔離する、更新の機会に合わせて対応する。

すべてを一度に移行することは、多くの組織で不可能です。

現実的な方針は、対象を絞って段階的に進めることです。まず重要な情報を扱うシステムから適用し、残りは順次対応する。完全な形を待つより、効果の大きい部分を先に固めるほうが安全です。

導入の効果をどう測るか

投資判断のために、効果を示す必要があります。

直接的な指標。不正なアクセスの検知件数、権限の付与数、認証の失敗率。

業務面の指標。アクセス申請から許可までの時間、社外から接続する際の手順の数。利便性が改善する場合もあります。

体制面の指標。退職者のアカウント削除にかかる時間、権限の棚卸しの工数。

事故が起きなかったことは測れません。これがセキュリティ投資の難しさです。

したがって、防いだ被害額ではなく、管理状態の改善で説明するほうが実務的です。誰が何にアクセスできるかを把握できている状態そのものが、成果になります。