ゼロトラストによる企業課題の解決方法

ゼロトラストとは、全てのトラフィック（ネットワークや通信回線上において送受信される信号・データのこと）は完全には信頼することはできない、という考え方に基づいて、2010年に米国企業（Forrester Research社）が提唱したセキュリティソリューションのことです。

ゼロトラストモデルを活用したセキュリティの考え方は、クラウドの利用やテレワークの増加などに伴って、社内外から企業の重要な情報にアクセスしなければならない現代におけるビジネスの環境にマッチしていることから最近大きな注目を集めています。

本稿においては、ゼロトラストとはどのような考え方でどういったコンセプトなのか、ゼロトラストのネットワークの仕組み、ゼロトラストのメリットと注意点、ゼロトラストの体制を構築するために必要なものは、などについて詳しく説明します。

１．ゼロトラストとは

ゼロトラストとは、前述したように、全てのトラフィックは完全には信頼することができない、という考えに基づいて、あらゆるトラフィックに対して信用をスコアを用いて評価して対策を実施する次世代におけるセキュリティモデルである、と言えます。このモデルは、社内外からのアクセスなどはこれまでは信用できることを前提として評価されてきたようなトラフィックの場合でも、信用評価（信用スコアリング）を都度実施することによって、社内外のどこからの脅威に対しても備えることが可能である、という特長があります。

ゼロトラストの考え方においては、上述したように「あらゆるものを信頼しない」という観点からセキュリティ対策を実行します。外部からのアクセスは当然ながら、内部からのアクセスでさえも全てを疑ってコントロールするのです。ゼロトラストという考え方以前ではセキュリティ対策には「ペリメタセキュリティ」という手法が利用されていました。ペリメタセキュリティとは、社内に構築されたネットワークは安全であるが社外とアクセスすることができる外部ネットワークは危険である、という考え方に基づいてセキュリティ対策を実施することを言います。

具体例としては、会社の内部と外部の間にボーダーライン（境界線）を引いて、そのボーダーラインだけにセキュリティ対策を実施する、という方法を挙げることができます。社内ネットワークの利用を許された人はどのような状況にいたとしても信頼されることが前提で情報へのアクセスが許可されることになります。

ところが、最近では上記のペリメタセキュリティのように会社の内部と外部のボーダーラインだけに対策を実施する方法では限界があることが明らかになっています。こうした状況下において注目されている考え方が「あらゆるものは信用できない」という考え方に基づいてセキュリティ対策を実施するゼロトラストなのです。このゼロトラストが注目されるようになった背景とはどのようなものなのでしょうか。

まずは「クラウドサービスの利用が増加してきた」点を挙げることができます。最近は社内ネットワークのみならず、クラウドサービスを活用することで社内情報などの資産を社外に設置されたクラウド型のサーバー内に保管するようなケースも増加しています。クラウドサービスでは社内データを保管する場所が社外にあるので、社内と社外のボーダーラインが存在していません。したがって、ペリメタセキュリティの考え方では社内情報を守ることが困難となるのでゼロトラストの考え方によるセキュリティ対策が注目されるようになってきた、と言えるのです。

次いで、「テレワークの増加」もゼロトラストが注目されるようになった背景である、と言えます。新型コロナ感染症の拡大防止や働き方改革などの対策手段として、現在では多数の企業においてテレワークの制度がが導入されています。テレワークでは、会社のパソコンなどを自宅に持ち帰ったり社員が個人所有しているパソコンなどを利用して、社外から社内のシステムにアクセスすることになります。つまり、社内ネットワークと社外とのボーダーラインが曖昧になってしまうので、これまでのセキュリティ対策の考え方で運用することが難しくなっているという背景も挙げることができるのです。

そして、最近では内部の不正を原因とする情報の漏洩事件が多発していることも背景になります。近年は社外からのサイバー攻撃を要因とする情報漏洩のみならず、会社内部の不正行為によって情報が漏洩してしまうケースが多く発生しています。したがって、ボーダーラインの内側にある社内のネットワークに対する管理、コントロール、モニタリング（監視）、の重要性が増大していることもゼロトラストが注目されている背景になっていると言えます。

＜ゼロトラストの歩み＞

（出典：「ゼロトラスト導入指南書　〜情報系・制御系システムへのゼロトラスト導入〜」、情報処理推進機構P6）

２．ゼロトラストのネットワークの仕組み

ゼロトラストの考え方に基づくネットワークにおいては、社内のネットワークは安全である、という考えを捨てることによって、社外ネットワークに対するアクセスと社内ネットワークで発生するトラフィックを検査することになります。サーバーや会社情報の資産などに対するあらゆるアクセスにセキュリティレベルを確認して、それらが安全かどうか、適切な通信がされているかどうか、などの観点でこれまでのペリメタセキュリティに囚われることのないセキュリティ体制を構築・実現させることになります。

ゼロトラストの考え方に基づくネットワーク対策の1手法として、「アクセス認証」を挙げることができます。アクセス認証とは、外部からのアクセスに対してあらゆるセキュリティのレベルをチェックしたうえで許可する方法を言います。セキュリティのレベルとは、アクセスをしてきたパソコンなどの端末は許可されている端末かどうか、アクセスしてきたパソコンなどの端末はマルウェアに感染していないかどうか、アクセスしてきた利用者はユーザー許可をされている利用者かどうか、などを条件とします。こうしたセキュリティのレベル基準を充足していれば安全だと判断されることになりアクセスも許可されて利用することが可能になります。

なお、ゼロトラストの考え方に基づくネットワークにおいては、一度認証されたからといってその後も継続して（永続的に）アクセスできるというわけではない点に注意が必要です。アクセスの度に認証を実施して条件を充足している端末なのかどうか、という確認を実施することになります。

３．ゼロトラストのメリットと注意点

（１）ゼロトラストのメリット

ゼロトラストのネットワークでは、ユーザーの認証とデバイス機器の認証の両方を確認することができない場合には社内システムやアプリケーションにログインすることが不可能になります。具体例としては、スマートフォンのショートメッセージ（SMS）に送付される認証番号を入力しなければログインすることができないような認証システムを挙げることができます。この認証システムを導入することによって本人確認とデバイス確認を同じタイミングで実施することが可能になります。システム管理者である社員にとっては管理業務の負担軽減に、企業にとっては業務効率改善や運用コスト削減などに繋がることにや業務効率の改善に、それぞれ繋がると考えられます。

ゼロトラストのネットワークでは、従業員の自宅、サテライトオフィス、取引先のオフィス、などあらゆる場所で社内ネットワークやアプリケーションにアクセスすることが可能になるというメリットがあります。

現在も増加しているテレワークによる働き方をより加速させるのみならず、従来は出産や育児などを理由にして仕事を辞めなければならなかったような優秀な女性が仕事を続けられるようになるので、会社にとっても優秀な人材の雇用確保・維持や流出防止に繋がることになります。また、残業代などの費用削減にも寄与することが期待できます。

ゼロトラストのネットワークにおいては、社内あるいは社外などの場所には関係なく、あらゆるアクセスに対して認証を実施することになります。パソコンなどの端末と利用者の両方の認証を確認することができない場合にはシステムやアプリケーションにログインすることが不可能になります。

これまでのファイアウォールは、社外と社内のボーダーライン上で不正なアクセスや悪質なマルウェアなどから社内システムを防御するという役割を果たしていました。ところが最近では、社外からのアクセスの急激な増加、様々なデバイス機器類の増加、ファイルレス・マルウェアの増加、などによって外部からのサイバー攻撃を防御しきれないケースも増えています。

ゼロトラストのネットワークではあらゆるアクセスに対しての認証を実施して安全が確認できない場合にはログインすることができないため、これまでは侵入を許していたようなマルウェアであっても会社の情報資源を守ることができるというメリットがあります。

（２）ゼロトラストの注意点

ゼロトラストのネットワークでは、たとえ直前の情報であっても信頼されることはありません。例えば、仮にほんの1分前にシステムからログアウトして、再びログインするようなケースでも必ず認証をすることが必要です。こうした手順を繰り返すことによる業務効率の低下を防ぐためには、社内で社内システムを利用するようなケースに限っては、＊シングルサインオンによるアクセスを許可する、といった一定の利便性を保持できるような対応が必要になるでしょう。

また、ゼロトラストのネットワークに関する費用面の課題はどのレベルまでゼロトラストに対して資金を投資することが可能か、という極めて経営的な課題になります。ゼロトラストのネットワーク構築は、ゼロトラスト単体での導入というものではなく、＊EDR（Endpoint Detection and Response）、多要素認証、VPN（Virtual Private Network）と呼ばれる社外からのアクセスを可能にするネットワークの導入、などの様々な要素を取り入れてセキュリティの水準を向上させていく方法になります。

新たに設備を導入する場合に費用が発生することは当然ではありますが、中小企業をはじめとしてセキュリティ分野への投資は、経営的に厳しい状況にある企業にとってはどこまで決断することが可能なのかは疑問です。業績が厳しい企業の場合には、経営者は既存の事業の見直しや強化などで売上を回復させることをまずは優先するでしょう。売上に直結しないセキュリティ分野への投資を迷うことなく実行できる経営者は少ない、と言わざるを得ないでしょう。

４．ゼロトラストの体制を構築するために必要なものは

（１）ゼロトラストのネットワークを構成する要素

前述したゼロトラストを提唱したフォレスター・リサーチ（Forrester Research）社が発表したZTX（Zero Trust eXtended）において提唱された主要なセキュリティコンポーネントとは次の７つでした。

上記の中で特に重要な要素は、② People、③ Workloads、④ Networks、⑤ Devices、⑥ Visibility and analytics、になります。

People、つまり利用者にとって必要となるアプリケーションに対してアクセスするための認証を実施します。重要な点は利用者に必要最低限の権限だけを持たせることになります。

ボーダーライン型のような社内ネットワークではない、インターネットへの接続を前提としているセキュリティ対策を実施することが必要です。

端末の中でも、特に社外ネットワークへのアクセスがより多く考えられるスマホやタブレットなどのモバイル端末がセキュリティ上の脅威に晒される場合が多いと想定されるので、より厳重・厳格なエンドポイントへの対策が要求されることになります。

社外からのサイバー攻撃に対抗するためには、利用しているサーバ、端末、ネットワーク、などで取得できるだけの全てのログ情報を収集、蓄積、見える化、分析、することによってサイバー攻撃の全体像を把握して対策を検討することが必要になります。

（２）ゼロトラストのネットワーク導入に必要なステップ

最初のステップは、認証に必要なID管理の整備から始めます。業務で利用するシステムやツールが増加している現代においては、それぞれの従業員が管理しなければならないアカウント情報も多岐に渡っており、それだけパスワードの漏洩可能性が上昇していて情報システム部門における管理も重要かつ煩雑な状態になっています。

したがって、従業員に対して１組のIDあるいはパスワードだけを付与するものとして、各システムやアプリケーションなどに関するアカウント情報は情報システム部門で一元的に管理するという、前述したシングルサインオンを導入することにより、管理者側はアクセス権限やログの一元管理が可能になり、利用者側の利便性もアップするでしょう。

しかしながら、IDによる認証のみではアカウント情報が漏洩してしまえば、簡単になりすましをすることも可能になってしまうので、多要素認証や＊IAM（Identity and Access Management）なども同時並行的に導入することがベターではないでしょうか。

ゼロトラストのネットワークにおいては全てのアクセスを対象にして確認を実施しますが、そもそも見ることができないようなものは防御することが不可能なので、あらゆるアクセスを「見える化（可視化）」することが必要になります。ネットワークの全体を「見える化（可視化）」したうえで、誰がいつどのデータにアクセスしているのか、を「見える化（可視化）」することでゼロトラストのネットワークの構成や認証に関する課題も見えてくるでしょう。

エンドポイント（端末単位）におけるセキュリティ対策もゼロトラストのネットワークには不可欠になります。例えば、IDの管理、HDDの暗号化、マルウェア検知ソフトの導入、などを挙げることができます。

端末毎のアクセス認証の場合には、端末の識別番号による認証のみならず、端末の挙動やロケーションなどの情報も加えてアクセスの可否を判断することができるようなセキュリティ製品を選択することがよりベターであると言えます。

５．ゼロトラストを導入する場合に事前に準備しておくべきこと

ゼロトラストのネットワークを導入する際に事前に準備して取り組んでおくべき点があります。ID管理やアクセス管理などの準備は一度に一斉に変更・導入をするようなものではなく、ステップ・バイ・ステップで（段階的に）取り組んでいく必要があるのでゼロトラストのネットワークの導入検討の段階ステップを少しずつ踏むことが必要になります。

以下ではゼロトラストのネットワークの導入・実装の際にどういったステップを踏んで進めればよいのか、セキュリティを強化するためのアクセス管理やID管理といった、具体的な手法と手続きのフローに関して説明します。

（１）外部アクセスとIDの管理・整備

最初のステップとして、ゼロトラストのネットワークを構築するためには外部からのアクセスをどうやって認証するのか、を決定することが必要になります。あらゆるアクセスを遮断するのではなく必要となるようなアクセスは然るべき手順を踏むことで認証が可能なようにしておくためです。

まずはIDとアクセスの管理を一元化して複数の要素で認証を実施します。自社が保有しているハードウェアを利用しているオンプレミス型設備とクラウドを跨ぐ1つのID・パスワードへと変更をします。大量の様々なIDが分散している状態で管理されていることで発生するセキュリティホールを防御して、単一のID・パスワードの管理だけで済むことが利点になります。

ゼロトラストのネットワークを構築するためだとしても、あらゆるプロセスを複雑にしてしまうと従業員にとってもパスワード管理・アカウント管理などが重い負担になってしまうので、シンプルな方法と複雑な方法とを組み合わせる方法がおすすめです。

他にも、IDaaS（Identity as a Service）を活用する方法を挙げることができます。IDaaSとは、上記と同様に、オンプレミス環境に設置したシステムのID・パスワードと、クラウドのID・パスワードを統合的・一元的に管理・認証をすることが可能な仕組みのことです。

こうしたID・パスワード管理の一元化と組み合わせて利用する手法が、前述した「多要素認証」になります。具体的には、パスワード認証に代わって本人確認の方法として、知識情報、所持情報、生体情報、の中から2つ以上の要素を組み合わせて認証を実施します。多要素認証は、単純な方法と組み合わせることによって利用者の認証強化に繋がる点がメリットであると言えます。

他の例としては、社内ネットワークの繋がっているパソコンからアクセスした場合にはパスワード入力だけで認証ができるものの、社外のネットワーク（公衆無線など）からアクセスした場合にはパスワードとの2段階認証が要求される、といったいくつかの手法を組み合わせたセキュリティの強化が重要になります。

（２）アクセスを見える化（可視化）できるシステム

誰がどこからアクセスしているのかが判明しない限りは安全なネットワークと言うことはできません。したがって、あらゆるアクセスを透明化することが必要になります。言い換えれば、誰がどのデータにアクセスしようとしたのか、が分かれば防ぐ方法もあるということなのです。反対に、誰がどのデータにアクセスしようとしたのかが分からないように隠れてアクセスしようとする場合には防御しようがないのです。

そのためには、＊アクセスログをモニタリング（監視）できるようにしておくことが必要になります。があります。不審な動きや内部不正などが行われていないか、どのページにアクセスしたのか、といった利用者がどのような行動をしたのかが分かるようにしておくことが重要かつ必要です。

アクセスしたログ（足跡）が残っていれば、万一の場合にも全てのログが証拠になりますし、ゼロトラストのネットワークを導入する社内は当然ですが、社外に対する説明の際にも高いトランスペアレンシー（transparency、透明性）をアピールすることができるでしょう。

（３）エンドポイントのセキュリティ対策とツール選定

次のステップはエンドポイントのセキュリティ対策になります。エンドポイントとは、ネットワークにおける最終地点となるパソコンやスマホなどの端末のことです。ネットワークのセキュリティがいくら堅牢なものであっても、エンドポイントである端末にアクセスするデバイスのセキュリティ能力が低い場合にはゼロトラストのネットワークの実現は難しくなってしまうでしょう。

エンドポイントのセキュリティを強化するためには、具体例としては、パソコンやスマホにウイルス（マルウェア）対策ソフトを導入することをはじめとして、ID管理・端末の識別番号による認証などを実施する方法を挙げることができます。

そして、最後に実際にゼロトラストのネットワークを導入するために必要となるツールの選定を実施します。上記のID・パスワードの一元化管理を実施できるシングルサインオンをはじめとして、多要素認証、アクセス・コントロール、ウイルス対策、などの様々な機能が含まれるツールを選ぶことが大切です。そのうえで現在の自社におけるセキュリティの状況を見直すことにより、自社には何が・どこが不足しているのかを分析・把握します。

また、ゼロトラストのネットワークを導入・実装するためには一定の初期投資（費用）が必要になります。自社のビジネスの内容やコストを十分に勘案して機能とコストのバランスを踏まえながら導入を進めるようにすることが重要です。

これまでゼロトラストのネットワークを導入するためには、何を考えてどのような点を把握すべきか、に関して説明してきましたが、ゼロトラストのネットワークを導入するためのツールとして「Google Workspace」について紹介します。

「Google Workspace」は、シングルサインオン、二段階認証、アクセス権管理、などのゼロトラストの考え方に沿った機能を保有しており、かつ企業のグループウェアとして最近のテレワーク業務にも平仄を合わせた社内のコミュニケーションを促すツールとしての特長もあります。

なお、大きく変化していくであろうわが国の働き方に適合したセキュリティ面や社内のコミュニケーション面に秀でた「Google Workspace」 の詳細に関しては参考URLのページを参考にしてください。

まとめ

ゼロトラストとは安全で堅牢・強固なネットワーク環境を構築することが可能な新しい考え方です。しかし、実際の導入には様々なステップを踏むことが必要であり、また導入コストもかかるので、現実的にはなかなか導入の決心がつかない、という企業も少なくはないかもしれません。

重要なことは、自社のビジネス規模や現状のITセキュリティの現状分析などによって自社のセキュリティに問題がないかどうかを正確に把握することが非常に重要になります。自社の重要な情報資産を社内外からの攻撃から守って資産価値を保持することは企業にとっての大切な責務です。

もしもそうした会社情報が漏洩して大きな損害が生じた場合には、金銭的な損失のみならず、会社のレピュテーション（reputation、評判）も大きく下げることになるので、会社としての信用力にも大きな影響があることが考えられるのです。

したがって、自社に適したゼロトラストのネットワークの構築・導入は、コストがかかったとしても、かかったコスト以上の損失の発生を防御することができるかもしれません。費用対効果の観点からも十分な検討をしたうえでゼロトラストのネットワークの構築・導入を決定することが極めて重要です。

併せて読みたい：マネタイズマーケティングのポイント