ゼロトラストは、セキュリティにおいて「何も信頼しない」という前提で対策を講じる考え方です。ゼロトラストへの注目が高まっているなか、自社に導入したいと考えている方も多いのではないでしょうか。
本記事では、ゼロトラストとは何なのか、ゼロトラストを導入するメリットや注意点、ゼロトラストを実現するソリューションなどについて解説します。ぜひ参考にしてください。
ゼロトラストとは
ゼロトラストとは、「何も信頼しない」ことを前提としたセキュリティにおける概念です。 2010 年に米国の調査会社 Forrester Research 社によって提唱されました。
従来のセキュリティは「内部は安全だが外部は危険」という前提のもとでセキュリティ対策を行う「境界型防御」の考え方が主流でした。一方でゼロトラストでは、内部ネットワークと外部ネットワークを区別することなく、保護する情報資産に関するものすべてに対して検証を行います。
ゼロトラストが求められる理由
近年は多くの企業でテレワークやクラウドサービスの普及が進みました。これにより利便性が向上した反面、セキュリティリスクが懸念されています。
たとえば、社内で許可されていないアプリケーションやクラウドサービスの利用、私用端末の利用などによる情報漏えい、マルウェア感染などのセキュリティインシデントが増加しました。また、内部からの情報流出も頻発しています。これらは企業の信用に関わる重要な問題ですが、従来の境界型防御の対策では防ぎきれません。
このような環境の変化に伴い、セキュリティの考え方をアップデートして十分な対策を行うことが求められています。そこで、社内外問わず「何も信頼しない」ことが前提のゼロトラストが注目されているのです。
ゼロトラストを導入するメリット
ゼロトラストの導入によって得られる主なメリットとして、次のようなものがあります。
- あらゆる場所から安全にアクセスできる
- 私用端末を安全に利用できる
- 情報漏えいのリスクを減らせる
- セキュリティ管理を効率化できる
それぞれ詳しく見ていきましょう。
あらゆる場所から安全にアクセスできる
ゼロトラストはネットワーク内外から社内のシステムや情報にアクセスする際、その都度厳重に認証を行うため、どのような場所からでも安全にアクセスできます。オフィスだけでなく自宅や外出先からでも安全に社内ネットワークを通じて業務ができるため、多様な働き方の実現が可能です。
また、テレワークやシェアオフィスの活用などが進めば、居住地を問わずに優秀な人材を確保できます。さらに生産性や従業員満足度の向上といったメリットも生まれるでしょう。
私用端末を安全に利用できる
多くの企業で BYOD （ Bring Your Own Device ＝私用端末の業務利用）が採用されています。しかし、従来の境界型防御ではマルウェア感染などのセキュリティリスクが高く、利用を制限するケースもありました。
ゼロトラストの考え方では会社で支給している端末だけでなく、 BYOD 端末に対しても厳重なセキュリティチェックや認証を行います。適切なセキュリティポリシーが適用されるため、私用端末からでも安全に業務を行うことが可能です。
情報漏えいのリスクを減らせる
ゼロトラストではネットワークのみならず、デバイスやアプリケーションなどさまざまな方向からセキュリティ対策を講じるため、情報漏えいや不正利用のリスクを大幅に軽減できます。また、外部からの通信だけでなく内部からの通信に対しても対策を行うため、内部の関係者による情報漏えいの防止にも効果的です。
さらにゼロトラストはアクセス権限を厳密にコントロールします。ユーザーごとに必要最小限のアクセス権限を与えることで、さらにリスクを最小化することが可能です。
セキュリティ管理を効率化できる
ゼロトラストの高度なセキュリティ体制を実現するには、次の章で紹介するソリューションを取り入れることが一般的です。手動での作業を自動化したり、異常な動きに対して迅速に検知・対応したりできるようになるため、セキュリティ管理を効率化できます。
また、従来のセキュリティ対策では複数の対策機器を個々に運用する必要がありましたが、ゼロトラストではクラウド環境を活用してこれらを一元管理することが多いです。これにより異なるセキュリティツールを一箇所から効率的に管理でき、運用の手間を大幅に削減できることもメリットとして挙げられます。
ゼロトラストを実現するためのソリューション
ゼロトラストを実現するためには、適切なソリューションを導入することが効果的です。代表的なソリューションとしては、次のようなものがあります。
- EDR （ Endpoint Detection and Response ）
- MDM （ Mobile Device Management ）
- IAM （ Identity and Access Management ）
- SWG （ Secure Web Gateway ）
- CASB （ Cloud Access Security Broker ）
それぞれどのような役割があるのか、詳しく見ていきましょう。
EDR （ Endpoint Detection and Response ）
EDR とは、端末の異常を検知するシステムです。端末がマルウェア攻撃などを受けた際に、迅速に検知・隔離を行います。またログ監視による攻撃経路の特定や影響範囲の調査、検知したマルウェアの駆除、端末の復旧などの機能も備えています。
従来は監視が難しかった私用端末の異常検知も可能です。 EDR の導入により端末の異常検知・対応が迅速になることで、ネットワーク内のほかの端末への被害拡大も防ぎます。
MDM （ Mobile Device Management ）
MDM とは、組織内のスマートフォンやタブレットといったモバイル端末のセキュリティを強化するためのシステムです。遠隔からモバイル端末を一元管理し、アプリのインストールやセキュリティポリシーの適用などを行います。 OS などのソフトウェアのアップデートも管理画面からまとめて行えるため、各社員による作業は必要ありません。
またモバイル端末を紛失した場合に、リモート操作によってロックをかけたりデータを消去したりすることも可能です。紛失・盗難による情報漏えいや不正利用を防ぐために役立ちます。
IAM （ Identity and Access Management ）
IAM とは、ユーザー認証を行うシステムです。従来、ネットワークやシステムなどへアクセスする際には、 ID とパスワードを使うケースが一般的でした。しかしこの場合、サイバー攻撃により ID とパスワードが漏えいするといったリスクがあります。
そこで、 IAM では ID とパスワードによる認証だけでなく、ロケーションや使用するアプリケーションの正当性、デバイスのセキュリティ状態などを検証してアクセス管理を行います。また生体情報などを含めた多要素認証によって本人確認を強化できるため、より安全性の高い認証が可能となります。
SWG （ Secure Web Gateway ）
SWG とは、ネットワーク内で発生する端末の不正を監視するためのシステムです。 EDR では、 PC やタブレットなどといった端末自体を管理しますが、 SWG はインターネット通信をチェックするという役割があります。
たとえばユーザーが不審な URL や IP アドレスへのアクセスを試みると、ブロックして保護します。また、インターネットからダウンロードするファイルや、アクセスする Web ページにマルウェアが含まれていないか、リアルタイムでスキャンすることも可能です。
CASB （ Cloud Access Security Broker ）
CASB とは、クラウドセキュリティを強化するためのシステムです。従業員のクラウドサービスの利用状況を可視化し、許可されていないサービスへのアクセスといった不審な動きを検知します。また、クラウドサービスへのアクセスをコントロールしたり、特定のアプリケーションのインストールを禁止したりといったルールを設定することも可能です。
ゼロトラストを導入する際の注意点
ゼロトラストを導入することでさまざまなメリットが得られます。しかし、導入する際には次の 2 点に注意しましょう。
- 導入には時間とコストが必要
- 生産性・利便性が低下するおそれがある
導入前に、マイナス面をどうカバーするかを検討することが大切です。
導入には時間とコストが必要
ゼロトラストの導入には、時間とコストがかかります。ゼロトラストの「何も信頼しない」という考え方を実現するには、すべてのアクセスで認証を行ったり、ネットワークを常に監視したりとやるべき対策が多いからです。従来のセキュリティモデルよりも対応すべきことが増えるため、体制を整えるには時間とコストがかかります。
リスクを回避するためにある程度の投資は必要ですが、ただやみくもに取り組むのではなく、目的を明確にしたうえで無駄なコストはかけないよう心掛けることが大切です。費用対効果をよく検討し、自社に適したシステムを選びましょう。
生産性・利便性が低下するおそれがある
ゼロトラストの導入の仕方によっては、従業員の生産性や利便性が低下するおそれがあります。たとえば多要素認証やアクセス制限の導入により、業務に必要な情報へのアクセスがしにくくなるケースなどです。
そのため、強固なセキュリティ対策が必要な情報の選別を行うことが重要です。すべてに対して同様の対策を行うのではなく、それぞれのリスクレベルに応じた対策を行うことで、セキュリティを確保しながら利便性も維持できるでしょう。
ゼロトラストは多様な働き方に対応する次世代のセキュリティモデル
ゼロトラストとは「何も信頼しない」という考え方を前提としたセキュリティモデルです。テレワークやクラウドサービスの利用が広く普及したことで、ゼロトラストへの関心が高まっています。
ゼロトラストを導入することで、どこからでも社内システムへ安全にアクセスできる、情報漏えいのリスクを軽減できる、セキュリティ管理の効率化につながるなど多くのメリットが得られます。
ただし、コストや利便性の面でデメリットも存在します。事前にデメリットをカバーする方法も検討したうえで、導入を進めてみてはいかがでしょうか。
