ゼロトラストサイバーセキュリティ：原則と実装

要点： ゼロトラストセキュリティは、ネットワーク内のすべてが安全であるという時代遅れの前提を置き換えるもので、すべてのユーザー、デバイス、接続が継続的に検証され、クラウド接続環境でのブリーチのリスクを大幅に削減します。

ゼロトラストサイバーセキュリティとは何か

従来のネットワークセキュリティは単純な考えに基づいていました。周囲内のすべてを信頼し、エッジで脅威をブロックするというものです。ファイアウォール、VPN、侵入検知システムは企業リソースの周りにデジタル堀を形成していました。ユーザーやデバイスがゲートを通過すると、彼らは自由に移動できました。

そのモデルはもはや機能しません。クラウドコンピューティング、リモートワーク、モバイルデバイスがネットワーク周囲を完全に崩壊させました。従業員はコーヒーショップの個人用ラップトップから機密データにアクセスしています。サードパーティのベンダーは内部システムに直接接続しています。単一のエンドポイントに侵入した攻撃者は、組織全体に横方向に移動できます。

ゼロトラストサイバーセキュリティはこの現実に真正面から対処します。ネットワーク内のすべてが安全であると仮定する代わりに、ゼロトラストはすべてのアクセスリクエストを潜在的に敵対的として扱います。すべてのユーザー、すべてのデバイス、すべての接続は、リソースへのアクセス前にその正当性を証明する必要があります。脅威環境の広範な見方については、当社のサイバーセキュリティハブをご覧ください。

NIST Special Publication 800-207[1]はゼロトラストアーキテクチャを実装するための決定的な連邦フレームワークです。アクセス制御モデル、デプロイパターン、トラストアルゴリズムについて詳しく説明しています。National Institute of Standards and Technologyによって公開され、ゼロトラスト戦略を計画する際にほとんどの企業が使用する基盤として機能します。

ゼロトラストは購入できる単一の製品ではありません。 これはセキュリティモデル、哲学、アーキテクチャアプローチであり、すべてのレベルでアクセスと信頼についての組織の考え方を変え形成します。

コアなゼロトラスト原則

次の表は、すべてのゼロトラストアーキテクチャを駆動する6つの基本原則をまとめています。

ゼロトラスト原則	実践的な意味
明示的な検証	ログイン時だけでなく、毎回すべてのユーザー、デバイス、リクエストを認証する
最小権限アクセス	特定のタスクに必要な権限のみを付与し、それ以上は付与しない
侵害を想定する	攻撃者がすでに内部にいるかのようにシステムを設計し、影響範囲を制限する
ネットワークセグメンテーション	ネットワークを分割して、侵害されたゾーンが横方向に広がらないようにする
多要素認証	すべてのアクセスポイントでパスワード以外の第2要因を要求する
継続的な監視	すべてのアクティビティをリアルタイムでログおよび分析して、異常を早期に検出する

各原則は他の原則を強化します。最小権限アクセスは、侵害されたアカウントが到達できるものを制限します。ネットワークセグメンテーションは、攻撃者が認証をバイパスした場合にダメージを抑えます。継続的な監視は、静的ルールでは検出できない異常な動作を検出します。一緒に、これらの原則は、ブリーチの成功のリスクを劇的に削減する重層化された防御を作成します。

ゼロトラストアーキテクチャコンポーネント

ゼロトラストアーキテクチャは、一緒に動作する複数の相互接続されたコンポーネントに依存しています。それぞれを理解することは、組織が現実的なデプロイメントを計画するのに役立ちます。

アイデンティティおよびアクセス管理（IAM）

IAMはゼロトラストの基礎です。Microsoft Entra ID（旧Azure AD）、Okta、Ping Identityなどのソリューションはリソースへのアクセス権を付与する前にユーザーのアイデンティティを検証します。すべてのアクセスリクエストはIAM層を通過し、アクセス許可または拒否を行う前にアイデンティティ、ロール、コンテキストを評価します。強力なアイデンティティおよびアクセス管理の実践は、認証情報の回収とアカウント乗っ取り攻撃の防止にも役立ちます。

多要素認証（MFA）

MFAはユーザーが少なくとも2つの独立した要因を通じてアイデンティティを証明することを要求します。知っているもの（パスワード）、持っているもの（ハードウェアトークンまたは電話）、または持っているもの（生体認証）です。Microsoftは、MFAが自動化されたアカウント侵害攻撃の99.9%をブロックすることを報告しています。MFAはゼロトラストデプロイメントにおいて交渉の余地がありません。

マイクロセグメンテーション

ネットワークを単一の信頼されたゾーンとして扱う代わりに、マイクロセグメンテーションはそれを小さな分離されたセグメントに分割します。各セグメントは独自のアクセスポリシーを適用します。攻撃者が1つのセグメントを侵害した場合、他のセグメントに横方向に移動することはできません。VMware NSX、Illumio、Cisco ACIなどのツールはスケール時にマイクロセグメンテーションを有効にします。

エンドポイント検出と応答（EDR）

ゼロトラストはネットワークに接続するすべてのデバイスへの可視性を必要とします。CrowdStrike Falcon、SentinelOne、Microsoft Defender for EndpointなどのEDRソリューションは、デバイスの健全性を継続的に監視し、悪意のある動作を検出し、コンプライアンスポリシーを適用します。コンプライアンス外になったデバイス（古いOS、欠落したパッチ）は、機密リソースへのアクセスから自動的にブロックされます。

セキュリティ情報およびイベント管理（SIEM）

SIEMプラットフォームは環境全体からログを集約し、分析を適用して異常を検出します。Splunk、Microsoft Sentinel、IBM QRadarなどのソリューションは、ゼロトラストが要求する継続的な監視を提供します。リアルタイムアラートと自動応答プレイブックは、セキュリティチームが数日ではなく数分以内に脅威に対処するのに役立ちます。

ポリシーエンジンおよびポリシー管理者

ゼロトラストアーキテクチャの心臓に、ポリシーエンジンがあります。このコンポーネントはすべてのアクセスリクエストを定義されたポリシー（ユーザーロール、デバイスの健全性、位置、時刻、リスクスコア）に対して評価し、リアルタイムトラスト決定を行います。ポリシー管理者はその後、適切な実行ポイントに接続を許可またはブロックするよう指示することで、その決定を適用します。

ゼロトラストと従来の周囲セキュリティ

ゼロトラストとレガシーアプローチの対比を理解することで、組織が変更を行う理由が明確になります。

要因	従来の周囲セキュリティ	ゼロトラストセキュリティ
信頼モデル	ネットワーク内のすべてを信頼	何も信頼しない。すべてを検証
アクセス範囲	認証後の幅広いネットワークアクセス	粒度の高いアプリケーション単位のアクセス
検証頻度	ログイン時に1回	継続的、リクエストごと
横方向移動のリスク	高い — 攻撃者は内部に入ると自由に移動	低い — マイクロセグメンテーションがブリーチを阻止
リモートワーク対応	すべてのトラフィックをVPN経由でルーティングが必要	分散アクセスへのネイティブ対応
可視性	限定的な内部トラフィック監視	すべての接続にわたる完全な可視性

VPN接続後に幅広いネットワークアクセスを許可する従来のVPNベースのアプローチとは異なり、ゼロトラストネットワークアクセス（ZTNA）はユーザーのロールが必要とする特定のアプリケーションへのアクセスのみを許可します。暗号化のためにプライバシー重視のVPNに依存している組織は、各ユーザーが実際に到達できるものを制御するために、その上にZTNAを重ねることができます。VPNは暗号化されたトンネルを処理します。ゼロトラストは認可と継続的な検証を処理します。

ゼロトラストアーキテクチャの実装方法

ゼロトラストの実装は一夜にしてのプロジェクトではありません。ほとんどの組織は12～24か月の間にフェーズでそれを採用しています。これが実践的でステップバイステップのアプローチです。

ステップ1：保護対象面をマッピング

最も重要なデータ、アプリケーション、資産、およびサービス（DAAS）を特定します。膨大で常に拡大している攻撃面とは異なり、保護対象面は小さく明確に定義されています。ここから開始します。

ステップ2：トランザクションフローをマッピング

ネットワーク全体のトラフィックの移動方法を文書化します。どのユーザーがどのアプリケーションにアクセスしているか、どのデバイスから、どのパスウェイを通じてアクセスしているかを理解します。理解していないフローにはポリシーを適用できません。

ステップ3：保護対象面周囲のアーキテクチャを構築

次世代ファイアウォール、IAMソリューション、マイクロセグメンテーションツールを保護対象面周囲にデプロイします。ポリシーエンジンをすべてのアクセス決定の中心に配置します。NIST SP 800-207は3つのデプロイメントモデルを概説しています。デバイスエージェント/ゲートウェイ、エンクレーブベース、リソースポータルベースです。既存のインフラストラクチャに基づいて選択します。

ステップ4：粒度の高いアクセスポリシーを作成

キプリングメソッドを使用して粒度の高いアクセスポリシーを定義します。アクセスをリクエストしているのは誰ですか？どのアプリケーションにアクセスしていますか？いつアクセスしていますか？どこに位置していますか？なぜアクセスが必要ですか？どのように接続していますか？これらの6つの質問は、すべてのポリシールールの基礎を形成します。

ステップ5：どこでも多要素認証をデプロイ

すべてのアクセスポイントにMFAをロールアウトします。特権アカウントを優先し、その後すべてのユーザーに拡張します。ハードウェアセキュリティキー（YubiKey、Google Titan）はフィッシングに対する最強の保護を提供します。

ステップ6：継続的な監視と分析を有効化

SIEMおよびEDRソリューションをデプロイして、すべてのトラフィックをリアルタイムで監視します。通常の動作のベースラインを確立して、異常が即座にアラートをトリガーするようにします。一般的な脅威パターンに対する自動応答プレイブックを確立します。

ステップ7：反復と拡大

最も機密性の高い資産から開始し、ゼロトラスト制御を外側に拡張します。各フェーズにはテスト、検証、ポリシーの改善が含まれるべきです。ゼロトラストは目的地ではなく、継続的な改善のプロセスです。

一般的なゼロトラストユースケース

リモートおよびハイブリッド労働力

自宅、コワーキングスペース、またはクライアントサイトから従業員が働いている組織は、ゼロトラストから直ちに利益を得られます。すべてのトラフィックを中央VPNを通じてルーティングする代わりに、ZTNAソリューションは各ユーザーとデバイスを独立して検証します。これにより、レイテンシが削減され、同時にセキュリティが向上します。

クラウドファースト組織

AWS、Azure、Google Cloudにわたってワークロードを実行している企業は、複数の環境にまたがる一貫したアクセス制御が必要です。ゼロトラストポリシーはネットワーク境界ではなく、ユーザーとワークロードに従います。

規制産業

HIPAA対象の医療機関、PCI DSSおよびSOXで規制される金融機関、FedRAMPに従う政府機関はすべて、厳密なアクセス制御と監査証跡を必要としています。ゼロトラストは設計上、その両方を提供します。

サードパーティと契約者のアクセス

ベンダーと契約者は特定の内部システムにアクセスする必要があることがよくあります。ゼロトラストは彼らが必要とするリソースのみに、彼らが必要とする期間だけのアクセスを許可し、すべてのアクションの完全ログを記録します。

買収と合併

2つの組織がマージされると、ネットワークを統合することで大きなリスクが生じます。ゼロトラストにより、各環境は独立したアクセス制御を維持しながら、アプリケーション単位でクロスオーガニゼーションのアクセスを選択的に許可できます。

ゼロトラストはあなたの組織に適していますか？

ゼロトラストサイバーセキュリティは一時的なトレンドではありません。これは組織がデータ、アプリケーション、ユーザーを保護する方法についての根本的な転換です。古い周囲ベースのモデルは脅威が壁の外にとどまると仮定していました。今日では、クラウドコンピューティング、リモートワーク、およびアイデンティティ盗用や認証情報回収などの急速に洗練された攻撃により、その仮定は組織に深刻なリスクをもたらします。

ゼロトラストを採用することは、継続的な検証、最小権限アクセス、ネットワークセグメンテーション、多要素認証、およびリアルタイム監視にコミットすることを意味します。これはテクノロジーへの投資と、組織がアクセスをどのように付与および管理するかについて再考する意思を必要とします。

見返りは実質的です。ブリーチリスクの削減、より強いコンプライアンス態勢、ネットワークアクティビティへのより良い可視性、および組織とともに拡張されるセキュリティモデルです。

最も重要な資産から開始します。トラフィックフローをマッピングします。MFAとIAMをデプロイします。ネットワークをセグメント化します。すべてを監視します。前方へのすべてのステップは、最も重要な脅威への露出を削減します。

Sources

1. NIST Special Publication 800-207

よくある質問

ゼロトラストサイバーセキュリティを簡単に言うとどういう意味ですか？

ゼロトラストは、企業ネットワーク内でも、どのユーザー、デバイス、接続も デフォルトでは信頼されないという意味です。すべてのアクセスリクエストは明示的に検証され、必要な最小限の権限のみが付与され、すべての時間継続的に監視されます。これは、従来の「周囲内のすべてを信頼する」という古いモデルに置き換わるもので、クラウドコンピューティングとリモートワークがその周囲を消し去る際に失敗します。NIST SP 800-207はそれを実装するための決定的な連邦フレームワークです。

ゼロトラストの6つのコア原則は何ですか？

6つの原則は、明示的な検証、最小権限アクセス、侵害を想定する、ネットワークセグメンテーション、多要素認証、および継続的な監視です。それぞれが他を強化します。最小権限アクセスは侵害されたアカウントが到達できるものを制限し、セグメンテーションは横方向の拡散を封じ込め、継続的な監視は静的ルールが見逃す異常を検出します。一緒に、それらは単一の製品や設定ではなく、防御の重層化を形成します。

従来のVPNが提供しないゼロトラストはどのような脅威から保護しますか？

従来のVPNはトンネルを暗号化しますが、接続されると幅広いネットワークアクセスを許可するため、1つの認証情報を盗まれた攻撃者はネットワーク全体を横方向に移動できます。ゼロトラストネットワークアクセス（ZTNA）はユーザーのロールが必要とする特定のアプリケーションへのアクセスのみを許可し、すべてのリクエストを再検証します。これは横方向の移動、認証情報の回収、およびアカウント乗っ取りを直接制限し、周囲のみの防御が見逃す攻撃です。

ゼロトラストはブリーチ後の横方向移動をどのように制限しますか？

ゼロトラストは攻撃者がすでに内部にいると想定し、その前提でデザインされています。マイクロセグメンテーションはネットワークを分離されたセグメントに分割し、VMware NSX、Illumio、Cisco ACIなどのツールを使用して、1つのセグメントを侵害しても他へのアクセスは許可されません。これを最小権限アクセスと継続的な監視（SIEMプラットフォーム経由）と組み合わせると、侵害されたアカウントやエンドポイントのリスク範囲が縮小されます。

ゼロトラストネットワークアクセス（ZTNA）とは何ですか？VPNとどう異なりますか？

ZTNAはユーザーのロールが必要とする特定のアプリケーションへのアクセスのみを許可し、接続後に提供される幅広いネットワークアクセスではなく。組織は既存のプライバシー重視VPNの上にZTNAを層状化できます。VPNは暗号化されたトンネルを処理し、ゼロトラストは認可と継続的なリクエストごとの検証を処理し、VPNのみのアクセスが残す隙間を閉じます。

ゼロトラストはMFAに置き換わるのか、それとも一緒に機能するのか？

MFAはゼロトラストの必須コンポーネントであり、置き換わるものではありません。Microsoftは、MFAが自動化されたアカウント侵害攻撃の99.9%をブロックすることを報告しており、すべてのアクセスポイント全体で交渉の余地がありません。ゼロトラストデプロイメントは特権アカウントからMFAをロールアウトしパイロット開始し、その後すべてのユーザーに拡張します。多くの場合、YubiKeyやGoogle Titanなどのハードウェアセキュリティキーはより強いフィッシング耐性を提供するために使用されます。

ゼロトラストアーキテクチャを構築するために実際に使用されるツールは何ですか？

完全なスタックはアイデンティティ、エンドポイント、ネットワーク、監視にまたがります。IAMはMicrosoft Entra ID、Okta、またはPing Identityから来ます。EDRはCrowdStrike Falcon、SentinelOne、またはMicrosoft Defender for Endpointから来ます。マイクロセグメンテーションはVMware NSX、Illumio、またはCisco ACIを使用します。Splunk、Microsoft Sentinel、またはIBM QRadarなどのSIEMプラットフォームは、モデルが必要とする継続的な監視を提供します。

ポリシーエンジンとは何ですか？また、それはなぜゼロトラストの中心ですか？

ポリシーエンジンはゼロトラストアーキテクチャの中心に位置し、ユーザーロール、デバイスの健全性、位置、時刻、リスクスコアなどの要因に対してすべてのアクセスリクエストを評価し、リアルタイムな許可または拒否の決定を行います。ポリシー管理者はその後、その決定を実行ポイントに指示することでそれを適用します。NIST SP 800-207はこれをモデルのコア意思決定コンポーネントとして概説しています。

運用を中断せずにゼロトラストの実装を開始するには？

保護対象面をマッピングすることから開始します。これはネットワーク全体ではなく、小さなクリティカルデータ、アプリケーション、資産、サービスのセットです。その後、トランザクションフローをドキュメント化して、誰が何にアクセスし、どこからアクセスするかを理解します。NIST SP 800-207はデバイスエージェント/ゲートウェイ、エンクレーブベース、リソースポータルベースの3つのデプロイメントモデルを概説しているため、既存インフラストラクチャに合致するものを選択してから外側へ構築できます。

ゼロトラストアクセスポリシーを設定するためのキプリングメソッドとは何ですか？

キプリングメソッドは6つの質問を中心にした粒度の高いアクセスポリシーを構築します。誰がアクセスをリクエストしているか、どのアプリケーションにアクセスしているか、いつ、どこに位置しているか、なぜアクセスが必要か、どのように接続しているか。これら6つの質問はポリシーエンジンによって適用されるすべてのポリシールールの基礎を形成し、幅広いロールベースのネットワークアクセスをリクエストごとの文脈的決定に置き換えます。

ゼロトラストの本格的なロールアウトには実際にどのくらい時間がかかりますか？

ほとんどの組織は、単一のプロジェクトではなく12～24か月にわたるフェーズでゼロトラストを採用します。シーケンスは以下の通りです。保護対象面をマップし、トランザクションフローをドキュメント化し、その周囲にアーキテクチャを構築し、キプリングメソッドで粒度の高いポリシーを作成し、どこでもMFAをデプロイし、SIEMおよびEDR監視をアクティブ化してから、繰り返して拡大します。各フェーズには次のアセットグループへの拡張前に、テスト、検証、ポリシー改善が含まれます。

ゼロトラストはヘルスケアや金融などの規制産業で必要ですか？

はい。HIPAAの対象となるヘルスケア組織、PCI DSSおよびSOXで規制される金融機関、FedRAMPに従う政府機関はすべて、継続的検証とアプリケーションごとのログを通じてゼロトラストが設計上提供する厳密なアクセス制御と完全な監査証跡を必要とします。サードパーティベンダーと契約者も、彼らが必要とする特定のリソースと期間のみへのアクセスに限定されます。

デバイスがゼロトラストの下でコンプライアンスチェックに失敗した場合、どうなりますか？

CrowdStrike Falcon、SentinelOne、Microsoft Defender for EndpointなどのEDRソリューションはデバイスの健全性を継続的に監視し、古いOSを実行したり、パッチを欠落させたりするなどコンプライアンス外にあるデバイスは、機密リソースへのアクセスから自動的にブロックされます。この実行はポリシーエンジンで発生し、ログイン時だけでなくすべてのアクセス決定に要因としてデバイスの健全性を再評価します。