ゼロトラストサイバーセキュリティ：原則と実装

要点： ゼロトラストセキュリティは、ネットワーク内のすべてが安全であるという時代遅れの前提を置き換えるもので、すべてのユーザー、デバイス、接続が継続的に検証され、クラウド接続環境でのブリーチのリスクを大幅に削減します。

ゼロトラストサイバーセキュリティとは何か

従来のネットワークセキュリティは単純な考えに基づいていました。周囲内のすべてを信頼し、エッジで脅威をブロックするというものです。ファイアウォール、VPN、侵入検知システムは企業リソースの周りにデジタル堀を形成していました。ユーザーやデバイスがゲートを通過すると、彼らは自由に移動できました。

そのモデルはもはや機能しません。クラウドコンピューティング、リモートワーク、モバイルデバイスがネットワーク周囲を完全に崩壊させました。従業員はコーヒーショップの個人用ラップトップから機密データにアクセスしています。サードパーティのベンダーは内部システムに直接接続しています。単一のエンドポイントに侵入した攻撃者は、組織全体に横方向に移動できます。

ゼロトラストサイバーセキュリティはこの現実に真正面から対処します。ネットワーク内のすべてが安全であると仮定する代わりに、ゼロトラストはすべてのアクセスリクエストを潜在的に敵対的として扱います。すべてのユーザー、すべてのデバイス、すべての接続は、リソースへのアクセス前にその正当性を証明する必要があります。脅威環境の広範な見方については、当社のサイバーセキュリティハブをご覧ください。

NIST Special Publication 800-207[1]はゼロトラストアーキテクチャを実装するための決定的な連邦フレームワークです。アクセス制御モデル、デプロイパターン、トラストアルゴリズムについて詳しく説明しています。National Institute of Standards and Technologyによって公開され、ゼロトラスト戦略を計画する際にほとんどの企業が使用する基盤として機能します。

ゼロトラストは購入できる単一の製品ではありません。 これはセキュリティモデル、哲学、アーキテクチャアプローチであり、すべてのレベルでアクセスと信頼についての組織の考え方を変え形成します。

コアなゼロトラスト原則

次の表は、すべてのゼロトラストアーキテクチャを駆動する6つの基本原則をまとめています。

ゼロトラスト原則	実践的な意味
明示的な検証	ログイン時だけでなく、毎回すべてのユーザー、デバイス、リクエストを認証する
最小権限アクセス	特定のタスクに必要な権限のみを付与し、それ以上は付与しない
侵害を想定する	攻撃者がすでに内部にいるかのようにシステムを設計し、影響範囲を制限する
ネットワークセグメンテーション	ネットワークを分割して、侵害されたゾーンが横方向に広がらないようにする
多要素認証	すべてのアクセスポイントでパスワード以外の第2要因を要求する
継続的な監視	すべてのアクティビティをリアルタイムでログおよび分析して、異常を早期に検出する

各原則は他の原則を強化します。最小権限アクセスは、侵害されたアカウントが到達できるものを制限します。ネットワークセグメンテーションは、攻撃者が認証をバイパスした場合にダメージを抑えます。継続的な監視は、静的ルールでは検出できない異常な動作を検出します。一緒に、これらの原則は、ブリーチの成功のリスクを劇的に削減する重層化された防御を作成します。

ゼロトラストアーキテクチャコンポーネント

ゼロトラストアーキテクチャは、一緒に動作する複数の相互接続されたコンポーネントに依存しています。それぞれを理解することは、組織が現実的なデプロイメントを計画するのに役立ちます。

アイデンティティおよびアクセス管理（IAM）

IAMはゼロトラストの基礎です。Microsoft Entra ID（旧Azure AD）、Okta、Ping Identityなどのソリューションはリソースへのアクセス権を付与する前にユーザーのアイデンティティを検証します。すべてのアクセスリクエストはIAM層を通過し、アクセス許可または拒否を行う前にアイデンティティ、ロール、コンテキストを評価します。強力なアイデンティティおよびアクセス管理の実践は、認証情報の回収とアカウント乗っ取り攻撃の防止にも役立ちます。

多要素認証（MFA）

MFAはユーザーが少なくとも2つの独立した要因を通じてアイデンティティを証明することを要求します。知っているもの（パスワード）、持っているもの（ハードウェアトークンまたは電話）、または持っているもの（生体認証）です。Microsoftは、MFAが自動化されたアカウント侵害攻撃の99.9%をブロックすることを報告しています。MFAはゼロトラストデプロイメントにおいて交渉の余地がありません。

マイクロセグメンテーション

ネットワークを単一の信頼されたゾーンとして扱う代わりに、マイクロセグメンテーションはそれを小さな分離されたセグメントに分割します。各セグメントは独自のアクセスポリシーを適用します。攻撃者が1つのセグメントを侵害した場合、他のセグメントに横方向に移動することはできません。VMware NSX、Illumio、Cisco ACIなどのツールはスケール時にマイクロセグメンテーションを有効にします。

エンドポイント検出と応答（EDR）

ゼロトラストはネットワークに接続するすべてのデバイスへの可視性を必要とします。CrowdStrike Falcon、SentinelOne、Microsoft Defender for EndpointなどのEDRソリューションは、デバイスの健全性を継続的に監視し、悪意のある動作を検出し、コンプライアンスポリシーを適用します。コンプライアンス外になったデバイス（古いOS、欠落したパッチ）は、機密リソースへのアクセスから自動的にブロックされます。

セキュリティ情報およびイベント管理（SIEM）

SIEMプラットフォームは環境全体からログを集約し、分析を適用して異常を検出します。Splunk、Microsoft Sentinel、IBM QRadarなどのソリューションは、ゼロトラストが要求する継続的な監視を提供します。リアルタイムアラートと自動応答プレイブックは、セキュリティチームが数日ではなく数分以内に脅威に対処するのに役立ちます。

ポリシーエンジンおよびポリシー管理者

ゼロトラストアーキテクチャの心臓に、ポリシーエンジンがあります。このコンポーネントはすべてのアクセスリクエストを定義されたポリシー（ユーザーロール、デバイスの健全性、位置、時刻、リスクスコア）に対して評価し、リアルタイムトラスト決定を行います。ポリシー管理者はその後、適切な実行ポイントに接続を許可またはブロックするよう指示することで、その決定を適用します。

ゼロトラストと従来の周囲セキュリティ

ゼロトラストとレガシーアプローチの対比を理解することで、組織が変更を行う理由が明確になります。

要因	従来の周囲セキュリティ	ゼロトラストセキュリティ
信頼モデル	ネットワーク内のすべてを信頼	何も信頼しない。すべてを検証
アクセス範囲	認証後の幅広いネットワークアクセス	粒度の高いアプリケーション単位のアクセス
検証頻度	ログイン時に1回	継続的、リクエストごと
横方向移動のリスク	高い — 攻撃者は内部に入ると自由に移動	低い — マイクロセグメンテーションがブリーチを阻止
リモートワーク対応	すべてのトラフィックをVPN経由でルーティングが必要	分散アクセスへのネイティブ対応
可視性	限定的な内部トラフィック監視	すべての接続にわたる完全な可視性

VPN接続後に幅広いネットワークアクセスを許可する従来のVPNベースのアプローチとは異なり、ゼロトラストネットワークアクセス（ZTNA）はユーザーのロールが必要とする特定のアプリケーションへのアクセスのみを許可します。暗号化のためにプライバシー重視のVPNに依存している組織は、各ユーザーが実際に到達できるものを制御するために、その上にZTNAを重ねることができます。VPNは暗号化されたトンネルを処理します。ゼロトラストは認可と継続的な検証を処理します。

ゼロトラストアーキテクチャの実装方法

ゼロトラストの実装は一夜にしてのプロジェクトではありません。ほとんどの組織は12～24か月の間にフェーズでそれを採用しています。これが実践的でステップバイステップのアプローチです。

ステップ1：保護対象面をマッピング

最も重要なデータ、アプリケーション、資産、およびサービス（DAAS）を特定します。膨大で常に拡大している攻撃面とは異なり、保護対象面は小さく明確に定義されています。ここから開始します。

ステップ2：トランザクションフローをマッピング

ネットワーク全体のトラフィックの移動方法を文書化します。どのユーザーがどのアプリケーションにアクセスしているか、どのデバイスから、どのパスウェイを通じてアクセスしているかを理解します。理解していないフローにはポリシーを適用できません。

ステップ3：保護対象面周囲のアーキテクチャを構築

次世代ファイアウォール、IAMソリューション、マイクロセグメンテーションツールを保護対象面周囲にデプロイします。ポリシーエンジンをすべてのアクセス決定の中心に配置します。NIST SP 800-207は3つのデプロイメントモデルを概説しています。デバイスエージェント/ゲートウェイ、エンクレーブベース、リソースポータルベースです。既存のインフラストラクチャに基づいて選択します。

ステップ4：粒度の高いアクセスポリシーを作成

キプリングメソッドを使用して粒度の高いアクセスポリシーを定義します。アクセスをリクエストしているのは誰ですか？どのアプリケーションにアクセスしていますか？いつアクセスしていますか？どこに位置していますか？なぜアクセスが必要ですか？どのように接続していますか？これらの6つの質問は、すべてのポリシールールの基礎を形成します。

ステップ5：どこでも多要素認証をデプロイ

すべてのアクセスポイントにMFAをロールアウトします。特権アカウントを優先し、その後すべてのユーザーに拡張します。ハードウェアセキュリティキー（YubiKey、Google Titan）はフィッシングに対する最強の保護を提供します。

ステップ6：継続的な監視と分析を有効化

SIEMおよびEDRソリューションをデプロイして、すべてのトラフィックをリアルタイムで監視します。通常の動作のベースラインを確立して、異常が即座にアラートをトリガーするようにします。一般的な脅威パターンに対する自動応答プレイブックを確立します。

ステップ7：反復と拡大

最も機密性の高い資産から開始し、ゼロトラスト制御を外側に拡張します。各フェーズにはテスト、検証、ポリシーの改善が含まれるべきです。ゼロトラストは目的地ではなく、継続的な改善のプロセスです。

一般的なゼロトラストユースケース

リモートおよびハイブリッド労働力

自宅、コワーキングスペース、またはクライアントサイトから従業員が働いている組織は、ゼロトラストから直ちに利益を得られます。すべてのトラフィックを中央VPNを通じてルーティングする代わりに、ZTNAソリューションは各ユーザーとデバイスを独立して検証します。これにより、レイテンシが削減され、同時にセキュリティが向上します。

クラウドファースト組織

AWS、Azure、Google Cloudにわたってワークロードを実行している企業は、複数の環境にまたがる一貫したアクセス制御が必要です。ゼロトラストポリシーはネットワーク境界ではなく、ユーザーとワークロードに従います。

規制産業

HIPAA対象の医療機関、PCI DSSおよびSOXで規制される金融機関、FedRAMPに従う政府機関はすべて、厳密なアクセス制御と監査証跡を必要としています。ゼロトラストは設計上、その両方を提供します。

サードパーティと契約者のアクセス

ベンダーと契約者は特定の内部システムにアクセスする必要があることがよくあります。ゼロトラストは彼らが必要とするリソースのみに、彼らが必要とする期間だけのアクセスを許可し、すべてのアクションの完全ログを記録します。

買収と合併

2つの組織がマージされると、ネットワークを統合することで大きなリスクが生じます。ゼロトラストにより、各環境は独立したアクセス制御を維持しながら、アプリケーション単位でクロスオーガナイゼーションのアクセスを選択的に許可できます。

よくある質問

ゼロトラストの「決して信頼しない、常に検証する」は実際には何を意味しますか？

従来のセキュリティモデルは、周囲で認証された後、ユーザーとデバイスを自動的に信頼していました。ゼロトラストはこの仮定を逆転させます。アクセスのリクエストはすべて、オリジンに関係なく、デフォルトでは信頼されていないものとして扱われます。アイデンティティ、デバイスの健全性、位置置、および動作コンテキストは、初期ログイン時だけでなく毎回評価されます。

ゼロトラストはVPNと同じですか？

いいえ。従来のVPNはユーザーが接続すると幅広いネットワークアクセスを許可し、盗まれた認証情報がVPNが到達するすべてを露出させることを意味します。ゼロトラストネットワークアクセスはユーザーのロールが必要とする特定のアプリケーションへのアクセスのみを許可し、その権限を継続的に再評価します。多くの組織は両方を使用しています。VPNは暗号化を追加し、ゼロトラスト層は各ユーザーが実際に到達できるものを制御します。

このセキュリティモデルを採用する際の最大の課題は何ですか？

ゼロトラストはアイデンティティプロバイダー、デバイス管理、継続的な監視ツールなどのテクノロジーへの投資を必要とします。また、チームがアクセスについてどのように考えるかについての文化的な変化も必要です。内部ネットワークの信頼を想定して構築されたレガシーシステムは統合が難しい場合があります。採用は通常、最も機密性の高いアプリケーションから開始して、時間をかけて拡張されます。

典型的なデプロイメントにはどのくらいの時間がかかりますか？

ほとんどの組織は、インフラストラクチャの複雑さに応じて、12～24か月で初期デプロイメントを完了します。Forrester Researchは、企業が通常、最初の90日でアイデンティティ検証とMFAで開始することを発見しました。その後、次のクォーターでマイクロセグメンテーションと継続的な監視を追加します。完全な成熟度には3～5年かかる場合があります。

どのタイプの組織がこのアプローチから最も利益を得ていますか？

リモートまたは分散チームを持つ組織、クラウドベースのアプリケーションを使用している組織、およびヘルスケアと金融などの規制産業の組織が、最も明確な利益を見ています。従業員がどこからでも働くため、従来のネットワーク周囲が消えた場合、ゼロトラストは周囲ベースのセキュリティがもはや提供できないアクセス制御と継続的な可視性を提供します。

ゼロトラストはあなたの組織に適していますか？

ゼロトラストサイバーセキュリティは一時的なトレンドではありません。これは組織がデータ、アプリケーション、ユーザーを保護する方法についての根本的な転換です。古い周囲ベースのモデルは脅威が壁の外にとどまると仮定していました。今日では、クラウドコンピューティング、リモートワーク、およびアイデンティティ盗用や認証情報回収などの急速に洗練された攻撃により、その仮定は組織に深刻なリスクをもたらします。

ゼロトラストを採用することは、継続的な検証、最小権限アクセス、ネットワークセグメンテーション、多要素認証、およびリアルタイム監視にコミットすることを意味します。これはテクノロジーへの投資と、組織がアクセスをどのように付与および管理するかについて再考する意思を必要とします。

見返りは実質的です。ブリーチリスクの削減、より強いコンプライアンス態勢、ネットワークアクティビティへのより良い可視性、および組織とともに拡張されるセキュリティモデルです。

最も重要な資産から開始します。トラフィックフローをマッピングします。MFAとIAMをデプロイします。ネットワークをセグメント化します。すべてを監視します。前方へのすべてのステップは、最も重要な脅威への露出を削減します。

Sources

1. NIST Special Publication 800-207