テレワークやクラウドを業務で安全に使うためには、従来の境界型のセキュリティ対策では不十分であるとの認識が広まっています。さらにサイバー攻撃の高度化や複雑化に対しても同様です。ゼロトラストは、このような問題を解決する、セキュリティ対策の新しい技術として注目を集めています。
この記事では、ゼロトラストの概要やメリットなどについて詳しく解説します。
ゼロトラストとは
ゼロトラストとは、「社内外すべての通信を信頼しない」という考え方に基づくセキュリティの新しい概念です。社外からのアクセスを要求するユーザーだけでなく、社内のユーザーに対しても、厳格なID管理と、動的なアクセス制御によりセキュリティを担保します。IDに与えられた権限に応じて、社内の限られた領域へのアクセスを許可したり、なりすましが疑われる場合にはアクセスを遮断したりといった対応をとります。
ゼロトラストの具体的な要素としては、
- 動的なアクセス管理
- マイクロセグメンテーション
- 認証の多要素・多段階化
- エンドポイントの検証
といったものがあります。
動的なアクセス管理とは、一度認証に成功したユーザーに対しても、認証後もユーザーの振る舞いを継続的に監視し、リスクの高い活動を行った場合にアクセスを制限するなどの対応をとることです。
マイクロセグメンテーションとは、ネットワークやシステムを最小構成に分けて、お互いに行ったり来たりをしにくくする機能のことです。
また認証の多要素・多段階化は、従来のIDとパスワードによる認証に加えて、別の要素での認証を追加したり、二重に認証を要求したりするなどの機能を追加することです。
さらにゼロトラストを構成する各端末であるエンドポイントに対しても、動作しているプロセスを監視し、脅威を検知するなどの検証を常時行います。
ゼロトラストが注目される理由とは
そもそもゼロトラストとは、2010年にForrester Research社により提唱された概念ですが、日本では2019年になってからセキュリティ業界で急速に注目を集める言葉となりました。これはなぜでしょうか。
テレワークの一般化
大きな理由の一つに、テレワークの普及があります。2019年4月より働き方改革関連法案の一部が施行されましたが、テレワークはその施策の一つです。また2020年から猛威を振るっているコロナ対策も、テレワークを普及させる要因となっています。
テレワークでは、社内のパソコンやタブレットなどを社外や自宅に持ち出して仕事をすることが一般的です。しかし業務で必要なシステムやアプリケーションは、社内の業務でも社外の業務でも変わることはありません。そのような事情のため、社内と社外のネットワークの境界が曖昧になってきました。
内部不正による情報漏えい対策
また社内ネットワークにあるコンピュータであっても、100%の信頼はできなくなっています。情報処理推進機構が公開している「情報セキュリティ10大脅威 2020」において、「内部不正による情報漏えい」が企業での脅威の第2位とされており、社内ネットワークの信頼性が揺らいでいることを表しています。
そこで、従来の境界による防御ではなく、社内と社外の通信を区別しないゼロトラストによる防御が広まってきました。
クラウド活用の普及
さらにデジタルワークプレイスや、クラウドによるセキュリティリスクの高まりなども無視できません。もはや業務で必要な重要なデータが、社内のネットワークにあるとは限られないからです。
多くの企業がクラウドを利用し、その効果を実感していることからも、今後もクラウドの活用は進んでいくものと思われます。それに伴い、ゼロトラストを採用する企業が増えていくことが予想されます。
ゼロトラストのメリット
新しいセキュリティ対策としてのゼロトラストには、具体的にどのようなメリットがあるのでしょうか。
従来は防げなかった攻撃にも対応
ゼロトラストの導入により、従来では防げなかったサイバー攻撃にも対応できます。
従来の境界型のセキュリティシステムは、社外と社内の間を防御するだけのセキュリティ対策でした。社外と社内を区別して、不正な通信を遮断するというものです。この境界型のセキュリティシステムでは、一度社内に入ったユーザーやデータは安全で信用できるものであるという前提条件が必須でした。
言い換えると、社内に侵入したユーザーや情報は、たとえ不正なものであっても制限をかけることができなかったのです。
しかしゼロトラストでは、社内と社外に区別するのではなく、全通信について認証を実施します。これにより、社外からの不正な通信に加えて、社内の不正な通信も防ぎやすくなります。
柔軟なアクセスを可能とする
新型コロナウイルスへの対策として、テレワークが急速に普及しました。ゼロトラストはテレワークのような場所にとらわれない柔軟な通信についても効果的なセキュリティ対策となります。
ゼロトラストは、デバイスやユーザーの居場所に関わらず、全ての通信に対して認証を要求するセキュリティ対策です。そのため、ゼロトラストを採用していれば、いつでもどこでも自社システムへの接続が可能になります。さらに、多要素認証などで認証基盤を強化すれば、サイバー攻撃の発生時にも突破されにくい仕組みとして構築できます。特に社内に存在するシステムや、クラウド上にあるシステムを業務で利用するときに効果的です。
ゼロトラストの検討が必要なサイバー攻撃とは
それではゼロトラストの検討が必要なサイバー攻撃とは具体的にどのようなものでしょうか。これから3つの事例を取り上げてご紹介します。
内部不正による情報漏洩
ゼロトラストにより、会社に所属している社員による、機密情報の持ち出しや悪用を防ぐことができます。具体的には、機密情報を保存しているサーバーへのアクセスを監視し、たとえ社内からのアクセスであったとしても、全てのログイン要求に認証を要求すれば、サーバーにログインした者の特定が可能です。
自社において、ゼロトラストによるセキュリティ対策を実施しているというアナウンスをするだけでも、不正に対する抑止力となります。
マルウェアの感染と拡大
ゼロトラストによるセキュリティ対策の要となる考え方に、エンドポイントの保護があげられます。エンドポイントとは、わかりやすく言えば従業員が使用しているパソコンやタブレットなどのデバイスです。
ゼロトラストでは、たとえ社内にあるデバイスであっても信用しません。例えば社内にあるパソコンにマルウェアが感染し、そのデバイスから社外への不正な通信が行われようとしても、ブロックさせることが可能です。
さらにそのデバイスがマルウェアに感染したことを検知した場合、そのデバイスをネットワークの別の場所に隔離させて、あらゆる通信を制限させることも可能となります。
クラウドへの不正なアクセス
インターネット上に存在することが前提のクラウドサービスへの不正なアクセスもゼロトラストの導入で防御できます。ゼロトラストでは全てのアクセスについて認証を要求します。
このゼロトラストの機能を、クラウドサービスに応用すれば、クラウド上にあるデータに対する不正アクセスも防御できます。
まとめ
サイバー攻撃の高度化や複雑化に伴い、従来の境界型のセキュリティ対策では不十分となった現在、ゼロトラストの導入は非常に効果的です。またテレワークの普及やクラウドの活用も、ゼロトラスト導入のインセンティブとなります。
ゼロトラストの導入にもコストも技術力も必要ですが、もし自社においてゼロトラストの導入を検討しているのであれば、まずはセキュリティの専門家に相談してみることをおすすめします。
