Zero Trust Securityとは？

近年、サイバー脅威が深刻化し、その数も増えていることから、サイバーセキュリティがより困難になっていることは、決して周知の事実です。 これを受けて、サイバーセキュリティチームは、セキュリティ戦略の基本を見直すことになりました。 ユーザーやデバイスを暗黙的に信頼する従来のセキュリティ境界線に代わり、ゼロトラスト（ZT）モデルがサイバーセキュリティポリシーと対策のデファクトスタンダードとして台頭してきています。 本稿では、ゼロ・トラストについて、その定義や現代企業への適用可能性についての考察を行う。

セキュリティモデル「Zero Trust

Zero Trust Securityとは、ZTセキュリティモデルに基づくサイバーセキュリティポリシーとその対策のことである。 ZTは解決策ではない、というのが一つの本質的な理解です。 それはアイデアです。 ゼロトラスト・セキュリティは、CISA（Cybersecurity and Infrastructure Security Agency）のゼロトラスト成熟度 モデルに定義されているような一連の原則からなり、セキュリティ制御と実践の基礎を確立する。 ゼロ・トラストは、ゼロ・トラスト・アーキテクチャ（ZTA）という形で実現される

ZTは、ファイアウォールやVPN、ユーザー名やパスワードといった従来の対策では、悪意ある者を機密データやシステムから遠ざけることができないと、セキュリティ専門家が気づいたことから、主流となるセキュリティモデルとして生まれました。 これらの時代遅れのアプローチは、単純で簡単に漏洩する認証情報に基づいてユーザーを信頼させるものです。 正しい認証情報があれば、ファイアウォールやVPNはユーザーを認証することができます。 そこで、従来のセキュリティ・ソリューションの多くは、そのユーザーに対して広範な権限を付与していた。 一度入会すれば、ネットワーク上のさまざまなデータやアプリケーションにアクセスできるようになる。

このような「デフォルトで信頼する」という方針が災いしていたのだ。 ZTはその欠点を、”Never Trust, Always Verify “という逆のアプローチで是正しているのです。 最初から信頼できるユーザーやデバイスはありません。 アクセス権を付与する前に、すべて確認する必要があります。

ゼロ・トラストとは何か？

ゼロ・トラストとは何か」という問いに答える前に、一般的に「信頼」という概念を定義しておく必要があります。 信頼とは、人間であれば誰もが暗黙のうちに理解していながら、なかなか言葉にできない概念の一つです。 著書の中で
コンピュータ・システムとクラウドにおける信頼
は、社会学と哲学に基づき、信頼の基本的な定義を提示しています。信頼とは、「ある主体が、他の主体が特定の期待にしたがって特定の行為を行うことを保証すること」です。

ZTとは、ある団体が、そのユーザーが特定の期待に従って特定の行為を行うことが確実な場合にのみ、そのユーザーへのアクセスを許可することなので、その定義は重要である。 つまり、ZTベースのシステムがユーザーやデバイスにアクセスを許可する場合、そのユーザーやデバイスがセキュリティポリシーに従って行動することを期待することになるのです。 それでも十分とは言えません。 ゼロ・トラスト・セキュリティでは、可能な限り最小限の信頼度を付与することも必要です。 アクセスはデータやアプリケーションの最小単位に制限され、ユーザーセッション中、繰り返し再確認されます。

ゼロ・トラスト・セキュリティの原則とは？

ゼロ・トラストのセキュリティ原則は、「決して信用せず、常に検証する」という基本的なルールにとどまりません。 ZTとは、トラストゾーンを減らし、場所によって信頼を決めつけるという概念を取り払うことでもあります。 例えば、あるユーザーの端末が会社の敷地内にあると表示されても、それが正規のユーザーが所持しているとは限りません。

その他、Zero Trustセキュリティの原則は以下の通りです。

• ユーザー、デバイス、ワークロードを常に識別し、すべての人が認証され、特定のリソースにアクセスする権限があることを確認する。
• 高度な攻撃と、ユーザーやデバイスの状況の変化の両方を検知することを目標に、環境を継続的に監視します。例えば、デバイスがあるべき場所にない場合や、ユーザーが見ることを許可されていないリソースに何度もアクセスしようとするなどの異常な行動をとっている場合などです。
• アクセスを文脈として扱う。例えば、人工知能（AI）を使用して、GPS位置、MACアドレス、キーストローク・プロファイル、その他の固有識別子などのデータポイントを追跡するセキュリティ監査をリアルタイムで実施する。
• 常にアクセスを制限する。例えば、プロファイルで業務遂行にアクセスが必要だと示されているユーザーにのみ、アプリケーションやデータセットへのアクセスを許可する。 それ以外の人はブロックされる。
• 常にアクセスを検査する。例えば、不適切なアクセス要求が目的地に到達する前に停止させることを目的として、ネットワークトラフィックの全ビットを認証および検査する。
• アクセスを細分化し、ユーザーが必要としないネットワーク、サーバー、アプリケーションの領域へのアクセスをマイクロセグメンテーションで囲い込んでいる。 このポリシーは、マルウェアなどの攻撃の「爆発半径」を小さくする効果があります。

Zero Trustセキュリティの原則ではないものは何ですか？

ZTが普及するにつれ、何がZero Trustの原則で何がそうでないかを解析するのが難しくなっています。 ZTと間違われる政策のひとつに、”最小特権の原則 “がある。 この2つの考え方は、関連性はありますが、異なるものです。 最小特権の原則とは、どのような状況においても、ユーザーには可能な限り最小限の権限しか与えるべきではないという考え方です。 ゼロ・トラストは、間違いなく「最小特権」の極致である。 しかし、最小特権の原則は、認証、ユーザーの確認、ユーザーのアイデンティティの再確認などには全く対処していない。

ゼロトラストに関するもう一つの混乱は、Secure Access Service Edge（SASE）のパラダイムに起因している。 このように、分散環境におけるエンドユーザーとデバイスのセキュリティを確保するためのアプローチは、ますます人気が高まっています。 ZTNA（Zero Trust Network Architecture）という形で、ゼロ・トラストを設計の一部に含んでいます。 SASEはZero Trustではないですが。 SASEを導入することは、企業全体にゼロトラストを導入することを意味するものではありません。

Zero Trust Network Accessとは？

ZTNA（Zero Trust Network Access）は、Zero Trustモデルのサブセットで、ネットワークに適用されるものです。 ZTNAソリューションは、ゼロトラストルールを使用して、アプリケーション、データ、ネットワークセグメントへのリモートアクセスを保護します。 それらのリモートユーザーを安全な暗号化トンネルで接続します。 こうすることで、ユーザーは自分の権限外のアプリやサービスのIPアドレスを見ることができなくなります。 ZTNAは、SDP（Software-Defined Perimeter）の概念に匹敵するものです。

Zero Trustを導入するにはどうしたらいいですか？

ゼロ・トラストの導入は困難ですが、良いニュースもあります。 ひとつには、ゼロ・トラストを実現するために必要な基本システムの一部が、すでに企業内に存在している可能性があることです。 これには、アイデンティティとアクセス管理（IAM）およびアイデンティティガバナンスのためのソリューション、ネットワークセグメンテーションとデバイス検証のための機能などが含まれます。 まだZero Trustの設定がされていないかもしれませんが、取得・設定する必要はありません。

もうひとつの朗報は、「ゼロ・トラスト」は小規模から始めて、時間をかけてモデルを拡大することが可能だということです。 例えば、機密データを含むクラウドストレージボリュームに対して、ゼロトラストポリシーをインスタンス化することから始めるとよいでしょう。 そのプロジェクトが実を結ぶと、セキュリティチームはビジネスの他の分野に進み、学んだ教訓を生かすことができます。

ここで注意しなければならないのは、ゼロ・トラスト・モデルは事実上あらゆるリソースに適用できるということです。 よくある誤りですが、ネットワークアクセスだけのためではありません。 ZTは、データ、アプリケーション、オペレーティングシステムなど、テクノロジースタックのあらゆる要素に対するセキュリティモデルとなり得ます。

ゼロ・トラストのソリューションは1つではありませんが、現在、このモデルをサポートする製品やプラットフォームは増え続けています。 ZTNAはもちろんですが、セキュリティ運用ツールやデータ保護ソリューションの多くは、Zero Trustモデルを運用するための機能や構成を備えているのが現状です。 難しいのは、これらのツールがどこで必要とされるのか、ゼロ・トラスト・モデルが実際にどのように機能するのかを見極め、導入計画を実行に移すことです。

ゼロトラスト企業がクラウドストレージサービスに求めるべきもの

Zero Trust企業は、ストレージに注意を払う必要があります。特にクラウドでは、ストレージソリューションがZero Trustの原則を体現していないと、データが悪意のある行為者に狙われる可能性があります。 例えば、Zero Trustに最適なクラウドストレージプラットフォームは、エンドツーエンドの暗号化と2ファクタ認証をサポートする必要があります。 これに関連して、ゼロトラストをサポートするクラウドストレージプラットフォームは、悪意のある変更、削除、ランサムウェアなどによる暗号化からデータを保護する目的で、不変バケットまたはオブジェクトロック、およびマイクロセグメンテーションをサポートする必要があります。

また、IAMポリシーに対応し、ユーザーのアイデンティティを管理し、権限付与のポリシーを適用できるプラットフォームであることも必要です。 鍵ペアの迅速な廃止や交換も、Zero Trustのためのクラウドストレージに不可欠な要素です。 バージョン管理、バケットログは、セキュリティ管理者がZero Trustポリシーの実施を監視する上でさらに役立ちます。 セキュリティ運用ツールとの連携や、AIによるイベント監視も有効です。

ゼロ・トラスト・セキュリティとクラウドで企業データを保護する方法の詳細については、当社の新しいeガイドをダウンロードしてください。
ゼロ・トラスト・エンタープライズにおけるクラウドストレージ