「ゼロトラスト」の基本を解説
◆目次
『ゼロトラスト』の必要性が指摘される背景には、攻撃対象の拡大としてIoT（Internet of Things）デバイスの普及やリモートワークの浸透など攻撃の入り口となる「アタックサーフェス」急増と情報資産やITインフラなどのオンプレミス環境からクラウドへの移行が進んだことがあげられます。
サイバー犯罪の急増により新たな攻撃手法が台頭する現代社会。今回は「ゼロトラスト」に関するセキュリティリスクや対策トレンドを解説します。
「ゼロトラスト」と従来型の違い
ゼロトラストは、「アクセスゲートウェイのSASE（Secure Access Service Edge）への統一」「情報資産をクラウド集約して一括管理」「情報資産へアクセスするデバイスの識別管理」「必要最小限の利用ツール・サービスへの転換」を図ってセキュリティーの網羅性を高め、集約化を図ること
従来型オンプレミス環境を対象としたセキュリティ対策は、社内ネットワークと外部ネットワーク（インターネット）の間に境界を設け社内ネットワークを守る「境界防御モデル」が主流。近年ハイブリッドクラウドやマルチクラウドの環境が当たり前で「内と外」という境界はあいまいになったため「（情報資産へアクセスする）全端末」を境界と捉えて防御する必要性が生じました。
従来の境界防御壁を何層にもする「多層防御」から、アタックサーフェスとなる複数「面」を防御する「多面防御」へ転換、端末管理のセキュリティポリシーを動的に変更でき常時可視化と制御が実施できるアーキテクチャを必要とします。
ゼロトラストの位置付け
参考となるのが米国政府の取り組み。米国行政管理予算局（OMB）は2022年米国政府のゼロトラストアーキテクチャ（ZTA）戦略骨子を示し各省庁に2024年度末までにセキュリティ基準と目標の達成を求め、大枠でエンドポイント側とクラウド側での両者共通の施策に言及。
エンドポイントでは動的な「Cyber Hygiene」（サイバーハイジーン）の強化、クラウド側では機密データへのアクセス監査や認証・許可・暗号化の実施がそれぞれ求められ、共通施策としてリアルタイム性・網羅性と自動化による対応が重要視されています。
日本国内のゼロトラスト
日本ではデジタル庁が「CRSA」（Continuous Risk Scoring and Action）アーキテクチャの導入を推奨。常日頃からリスク診断とその対処を目的とし、組織の「未然対応能力や事故対応能力」の向上を目指しています。
具体的には「インシデント対応支援」「脆弱（ぜいじゃく）性対応支援」「リスク評価スコア変動対応」「進捗管理」「運用改善施策の検討」といった分野でのユースケースを想定しています。
日本国内のセキュリティ施策の課題で指摘されているのが『視野の狭さ』『場当たり的対応』。インシデントが発生してからその場凌ぎの『穴』をふさぐ対策に終始して統一感のないセキュリティ施策になっていること。
その結果、セキュリティ対策チームが複数立ち上がったり、大量の個別セキュリティ対策製品が導入されてしまったりといった「サイロ化」が加速し、高度に悪質化するサイバー攻撃に対応できていません。
この課題の解決にはセキュリティ教育の充実を始め計画的なセキュリティ対策立案・対処といった組織的取り組みが重要です。
お問い合わせはこちら
費用やスケジュール・サービス詳細に関するご不明点や疑問点などもお気軽にお問合せください。原則翌営業日までにご回答しておりますが、内容によりお時間がかかる場合も…
PlatSupplyConsulting 