すべての通信を信用しない「ゼロトラスト」とは
何なのか？

企業のセキュリティ対策というと、これまでは社内のネットワークを守るためにファイアウォールを設置し、外部の不正アクセスやサイバー攻撃を防ぐ「境界型セキュリティ」が一般的でした。

しかし、テレワークやクラウドサービスが普及した今、社外から社内ネットワークに、もしくは社内から社外のクラウドサービスに接続する機会は日常的に起きています。そのため、従来の境界型セキュリティのままでは、セキュリティ対策が不十分で、悪意のある第三者の侵入を許してしまう恐れがあります。

こうした従来のセキュリティ対策の一歩先を行く考え方として「ゼロトラスト」があります。ゼロトラストでは、利用者のID、利用端末の状態、接続元ネットワーク、アクセス先アプリケーションを組み合わせて確認し、通信のたびに認証・認可を行います。社外から業務システムへ接続する場合も、単にVPNで社内ネットワークへ入れるのではなく、正しい利用者か、管理された端末か、許可された場所・通信経路か、対象アプリケーションへの権限があるかを継続的に評価することが重要です。

ゼロトラストは、どのようにしてセキュリティを維持するのでしょうか？ 従来の境界型セキュリティと比べ、どのような点が異なるのでしょうか？ IPAが公開している資料「ゼロトラスト移行のすゝめ」から、その仕組みを読み解きます。

ゼロトラストではなぜ「IDの統制」が
最重要なのか

同資料によると、ゼロトラストは、【1】ID統制（ID管理）、【2】デバイス統制・保護、【3】ネットワークセキュリティ、【4】データ漏えい防止、【5】ログの収集・分析、という5つの要素から構成されるといいます。

【1】の「ID統制」とは、誰が社内のリソースにアクセスしようとしているのかを、その都度識別し、認証・認可を行うことを指します。

退職した従業員のIDを使用不可にすることも、ID統制に含まれます。退職者の従業員のIDが利用できる状態になっている場合、そのアカウントが何者かに悪用され、機密ファイルが外部に流出することもあり得ます。資料ではID統制について「ゼロトラストの概念を実装するにあたり、最も重要と言える」と断言しています。

ID統制を可能にするサービスとしては、「IDaaS (アイダース、ID as a Service) 」があります。IDaaSは、複数のアプリやサービスに登録されているIDやパスワードをクラウド上で一元管理し、シングルサインオン（SSO）、多要素認証（MFA）、アクセス制御、ID連携を実現するサービスです。ネットワーク利用者の認証管理とクラウドアクセス制御を一元化したい場合は、docomo business RINK®のIDaaSを組み合わせることで、業務アプリへのログイン管理と認証強化をまとめて行いやすくなります。

ゼロトラストは、デバイスの管理もできる

【2】のデバイス統制・保護とは、従業員がノートPCやスマートフォンなどの端末を社外に持ち出して働く場合でも、管理者が端末状態を把握し、必要に応じて制御できるようにすることを指します。BYODを認める場合は、業務データを端末に保存しない設計、端末管理ツールによる利用状況の把握、紛失時のロック・ワイプ・アカウント停止などを組み合わせることで、情報漏えいリスクを抑えやすくなります。

具体的には、従業員に貸与している業務用のノートPCやスマートフォンに、あらかじめMDM（モバイルデバイス管理/Mobile Device Management）を導入しておくことで、端末紛失時のロックやデータ消去、業務に関係のない機能の制限を行えます。さらに、BYODでは業務データを端末に残さないクラウド利用や仮想デスクトップ、アプリ単位のデータ分離を組み合わせることで、個人端末利用時の利便性と情報漏えい対策を両立しやすくなります。

このほか、EDR（Endpoint Detection and Response）も、デバイス統制・保護を可能にするツールです。EDRは端末やファイル動作の挙動を監視し、不審な動作を検知した場合にアラート通知、調査、端末隔離、復旧支援を行います。一方、SASEは、Webアクセスやクラウド接続などネットワーク側で脅威を防ぐ役割を担います。サイバー攻撃対策では、端末側で侵入後の検知・隔離・復旧を行うEDR、そしてネットワーク側で侵入を防止するSASEといった役割分担で考えることが重要です。

ゼロトラストは多岐に渡るが、
セキュリティレベルは格段に高まる

【3】のネットワークセキュリティは、すべての通信に対し、必要なセキュリティ対策を行うことを指します。たとえば、SWG（Secure Web Gateway）やCASB（Cloud Access Security Broker）による不審なWebコンテンツへのアクセス制限、マルウェア検出、クラウドサービス利用状況の可視化が含まれます。さらに、接続場所、端末管理状態、IPアドレス、利用者属性、アクセス先アプリケーションなどを条件に、社内システムやクラウドサービスへの接続可否を制御することで、社外からの業務利用でも安全性を高められます。

【4】のデータ漏えい防止とは、サイバー攻撃者や内部犯行者による機密情報の持ち出し、および人為的なうっかりミスによる情報漏えいを防ぐことです。DLP (データ損失防止、Data Loss Prevention)ツール による、社内機密ファイルのダウンロード／アップロードの禁止、外部記憶媒体へのコピー禁止、メール転送禁止などが当てはまります。

最後の【5】が、ログの集積・分析です。社内のIT環境を構成する機器からログを集約・分析することで、サイバー攻撃の早期検知や対応を行います。ログの収集と分析は、SIEM (シーム、Security Information and Event Management) というシステムを利用します。

ここまで挙げてきたように、ひとくちに「ゼロトラスト」といっても、それを構成するためのシステムやソリューションは多岐に渡ります。IDaaSだけ、EDRだけを導入しても、ゼロトラストが成立するわけではありません。社外から業務システムへ安全に接続するには、ID管理、端末状態の確認、ネットワーク接続、クラウドアクセス制御、端末防御を組み合わせる必要があります。個別製品を別々に導入すると設計・運用負荷が高くなりやすいため、ネットワークとクラウド型セキュリティを一体で提供するdocomo business RINK®のような統合型サービスを選ぶことで、段階的に必要な機能を組み合わせやすくなります。

ただし資料によると、ゼロトラストは「全てを信用しない」というよりも、「全てを確認した上で認証・認可を行う」という考え方に近いとしています。ファイアウォールのように社内と社外の境界線で守るのではなく、デバイスやネットワークなどさまざまな層で通信を確認するため、セキュリティレベルは境界型セキュリティと比べ格段に高められます。ちなみに資料では、【1】のID統制と、【2】デバイス統制については、特に優先的に取り組むべきとしています。

資料ではこのほかにも、従来の境界型セキュリティからゼロトラストへ移行する際の手順やマインドも紹介しています。テレワークやクラウドサービスを利用しているにも関わらず、まだゼロトラストに移行できていない企業は、ぜひこの資料を参考に、ゼロトラストを推し進めてみてはいかがでしょうか。

docomo business RINK®で
対応しやすいゼロトラスト領域

docomo business RINK®は、ネットワークとクラウド型セキュリティを一体化した統合型ネットワークサービスです。社外からの安全な接続には「リモートアクセス」、拠点やクラウドとの接続には「セキュアドWAN」「インターコネクト」、インターネットアクセスの保護には「インターネットゲートウェイ」、認証管理やSSO・MFAには「IDaaS」、端末防御には「EDR」を組み合わせて検討できます。ゼロトラストを一度に完成させるのではなく、現在の課題に応じて必要な機能から段階的に導入できる点がおすすめです。