なぜ今、ゼロトラストが必要なのか
デジタル活用の促進により、業務効率がアップした一方、これまで見過ごされがちだったセキュリティリスクが表面化しています。それをふまえて提唱されているのがゼロトラストというセキュリティの考え方です。
従来のセキュリティは、お城を守る城壁のようなものでした。一度城門（ファイアウォール）を通って中に入れば、そこは安全な場所だと信用されていたのです。具体的には、信頼できる社内ネットワーク（内側）と信頼できない社外ネットワーク（外側）に分け、その境界線にファイアウォールやIDS/IPSなどのセキュリティ機器を設置して、外部からの攻撃を遮断するという考え方です。
しかし、クラウドサービスの普及で、守るべきデータや社員はお城の外（外出先や自宅など）で活動するようになりました。さらに、城壁の中にいる社員のパソコンがウイルスに感染し、内側から攻撃されるケースも増えています。こうなると、外壁をどれだけ高くしても意味がありません。
こうした従来のセキュリティ対策は、保護すべきデータやシステムがネットワークの内側にあることを前提としています。しかし現在は、クラウドが普及したことにより、社外ネットワーク上に保護すべきものがある状況が珍しくありません。このように、守るべき対象がさまざまな場所に点在するようになったことで境界が曖昧になり、従来の考え方では十分な対策を講じることが難しくなりつつあります。
ゼロトラストの仕組みを、先ほどのお城の例で考えてみましょう。従来は城門で一度チェックすれば中では自由に動けましたが、ゼロトラストでは城の中であっても、部屋に入るたびに身分証の提示を求められ、危険物（ウイルスなど）を持ち込んでいないかチェックされるイメージです。
これと同じように、社員がシステムを使おうとするたびに、本当に本人なのか、パソコンはウイルスに感染していないか、そのデータや業務システムへアクセスする権限があるのかを毎回検証します。特に社外からの接続では、ID・パスワードだけで判断せず、多要素認証、端末証明書、管理端末であるか、EDRが正常に稼働しているかなどを組み合わせて確認することで、不正な端末やリスクのある端末からの接続を抑止できます。この役割を担うのが認証基盤（本人確認を行う仕組み）や監視ツール（ネットワーク上の動きをチェックする仕組み）です。一度チェックしたからといって、ずっと信頼し続けることはありません。
まずはここから。5つのチェックポイント
いきなり完璧なシステムを作る必要はありません。アメリカの専門機関（CISA）が提唱するモデルを参考に、以下の5つのポイントから少しずつ進めていきましょう。
■ユーザー本人か（ID管理）
パスワードだけでなく、多要素認証（MFA）、スマホアプリ認証、ワンタイムパスワード、端末証明書などを組み合わせて、本人確認を強化します。社内Webシステムやクラウドサービスを複数利用している場合は、IDaaSを活用してシングルサインオンや認証ポリシーを一元管理することで、利便性を保ちながら不正アクセス対策を強化できます。
IDaaSについて詳しく知りたい方はこちら
■パソコンは安全か（デバイス管理）
OS（パソコンの基本ソフト）が古くないか、EDRやウイルス対策ソフトが正常に稼働しているかを常に確認します。端末にリスクがある場合は、業務システムへの接続を拒否する、接続先を限定する、EDRで端末を隔離・復旧するなど、端末状態に応じた運用を設計します。
■通信は安全か（ネットワーク）
社内ネットワークや業務システムへの接続範囲を細かく区切り、万が一侵入されても被害が広がらないようにします。社外からのアクセスでは、閉域網やセキュアなリモートアクセスを活用し、利用者ごとに必要なシステムだけへ接続させる設計が有効です。ネットワークとセキュリティを一体で管理できるサービスを選ぶことで、拠点・在宅・外出先をまたいだ安全な接続環境を構築しやすくなります。
■アプリは守られているか（アプリケーション）
クラウドサービスなどの設定ミスを防ぎ、安全に使えるようにします。
■データは守られているか（データ保護）
重要なファイルを暗号化し、万が一盗まれても中身が見られないようにします。
これらの対策を自社だけで進めるのが難しいと感じた場合は、専門のセキュリティサービスを活用するのも一つの方法です。たとえばID管理の強化には、クラウド型のID管理サービスが有効ですし、ネットワーク全体の監視にはマネージドセキュリティサービスが役立ちます。マネージドセキュリティサービスでは、セキュリティの専門スタッフが24時間体制でネットワークやシステムの異常を監視し、万が一インシデントが発生した場合にも迅速に対応してくれるため、自社に専門人材がいなくても高いレベルのセキュリティ体制を維持できます。まずはできるところから一歩ずつ取り組んでいくことが大切です。
ゼロトラストで守る“取引先との信頼”
近年、セキュリティ対策が十分でない中堅・中小企業を踏み台にして、取引先の大企業を攻撃するサプライチェーン攻撃の被害が増えています。攻撃を受けた企業だけでなく、踏み台にされた企業もまた、取引先や社会からの信頼を失うリスクを抱えることになります。
ゼロトラストの導入は、自社の情報を守ると同時に、取引先やお客さまとの信頼関係を守ることにもつながります。前の章でご紹介した5つのチェックポイントを参考に、まずはできるところから取り組んでみてください。
