ゼロトラストセキュリティーとは？注目される背景や実現のポイント

ゼロトラストセキュリティーとは、データに対する全てのアクセスを信頼しないことを前提とした、セキュリティー対策の手法です。どのような人による、どのようなデバイスからのアクセスであっても、安全性が確認できるまで必ず検証を行うという特徴があります。そのため、検証の対象には社内からのアクセスも含まれます。これらの全てのアクセスの安全性を確かめることで、マルウェアの感染や情報漏えいから強固にデータを守れるのがメリットです。

ゼロトラストセキュリティーの手法は、2010年にアメリカのForrester Research社が提唱したものです。基本原則である「Verify and Never Trust」は、日本語に訳すと「決して信頼せず必ず確認せよ」という意味になります。たとえ企業ネットワークの内側からアクセスした場合でも、外側と同様に検証を行い、あらゆる脅威から情報資産を守ることが基本となっています。

ゼロトラストセキュリティーに対して、従来のセキュリティーモデルは「境界型」と呼ばれます。境界型セキュリティーモデルでは、社内からのアクセスは安全とみなす一方で、社外からのアクセスには危険が潜む可能性があると考えるのが特徴です。その原則は「Trust But Verify」であり、日本語に訳すと「信ぜよ、されど確認せよ」という意味になります。基本的に、検証の対象となるのはファイアウォールの外側からのアクセスのみで、内側からのアクセスに対しては十分な警戒態勢を取っていません。こうした境界型セキュリティーモデルによるアクセス制御では、新たな手口で企業の情報資産を狙う脅威を検知しにくい点が懸念されています。

近年ではテレワーク導入企業が多くなった反面、境界型セキュリティーモデルでは脅威へ対処しきれなくなっている状況です。テレワークの実施によって、社外ネットワークからのアクセスが増えました。リモート勤務する社員は、オフィス内のネットワーク以外からも社内データにアクセスするためです。同様に、普及が進むクラウドサービスにおいても、業務アプリケーションなどを例に、クラウド上で社内データを取り扱う機会が増えています。こうした背景から、セキュリティー対策を講じるべき境界があいまいになりつつあり、従来の手法では防御が難しいと考えられています。

ビジネスシーンで発生する情報漏えい事故は、社内に原因がある場合も少なくありません。企業ネットワークの外部に限らず、内部にもさまざまなセキュリティーリスクが潜んでいるのです。たとえば、自社の関係者による内部不正で発生する情報漏えい事故が問題視されています。なかには、データ流出を目的として意図的に持ち出しを行うケースや、私用PCやスマートフォンで作業をしようとしてデータを持ち出すケースもあります。業務へ私用デバイスを持ち込む「BYOD（Bring Your Own Device）」を推進している企業では、特に注意が必要です。

悪意のある第三者が企業ネットワークに侵入する手法は、年々巧妙化する傾向にあります。従来のセキュリティー対策では、高度なネットワーク攻撃への対応が難しいことから、より強固なセキュリティー体制が求められています。たとえば、マルウェアをはじめとしたセキュリティー攻撃の手口が、多様化および複雑化しました。利用者のデバイスにマルウェアを仕込むなど、企業ネットワークの内側から社内システムを攻撃する事例や、VPN装置の脆弱性を狙った攻撃の事例もあります。たとえ社内からのアクセスであっても信用せず、安全性を検証することが重要です。

ゼロトラストの観点から認証機能でチェックを強化し、「過去の認証結果に基づいて判断しない」という考え方をベースにした仕組みを設けるのが有効です。アクセスの度に認証を実施し、安全性が保証できるかどうか判断する運用が望ましいといえます。その際は、「多要素認証」の活用も多くなっています。多要素認証とは、ID・パスワードともう1つの要素を組み合わせる認証形式です。要素の例として、利用者の所持するスマートフォンが持つ情報のほか、指紋やワンタイムパスワードなどが挙げられます。

ネットワークに接続する端末や機器のセキュリティー強化には、エンドポイントセキュリティーの導入が有効です。ネットワークにアクセスする可能性がある全ての端末に対して、詳細なデバイス管理を行います。エンドポイントで発生したサイバー被害を最小限に抑えるために、専用のソフトウェアである「EDR（Endpoint Detection and Response）」を導入する手法が代表的です。端末の監視を自動化し、マルウェア感染や不正プログラムの実行を防ぎます。

ゼロトラストネットワークの構築では、エンドポイントからインターネットへの通信を制御するセキュリティー対策も重要です。ネットワークセキュリティーの導入により、「誰が」「どこに」アクセスできるかを設定できます。アクセス管理の強化によって、アクセス権を可視化し、不正アクセスの防止につなげられます。

社内ネットワークは、24時間365日体制で外部からのアクセスを監視できる状態にあるのが望ましいといえます。不正アクセスやインシデントが発生した際、すぐに対応する必要があるためです。監視・管理体制を強化し、早期に問題を発見できれば、被害を最小限に抑えられる可能性が高くなります。

PCやスマートフォンといった社内のIT資産を一元管理して、セキュリティーリスクを早期に検知するクラウドIT資産管理ツールです。デバイスの紛失や盗難の際は、遠隔操作で画面ロックやデータの初期化を実施できます。ほかにも、管理者がアップデート管理や違反デバイスの検知を一括で行えるため、セキュアな業務環境の維持におすすめです。