Bizコンパス

聖域なきセキュリティ「ゼロトラスト・モデル」とは
2019.03.06

セキュリティ対策に求められる新たな視点第2回

聖域なきセキュリティ「ゼロトラスト・モデル」とは

著者 Bizコンパス編集部

 一昔前のセキュリティ対策は、“ネットワークの外部にあるインターネットの脅威から、社内システムを防ぐ”という考え方が主流でした。そのため、社内ネットワークについては「安全」「脅威はない」とみなされることが一般的でした。

 しかし、近年は多種多様なクラウドサービスが普及しており、社内ネットワークにアクセスする端末は多様になっています。さらに自社以外でも、グループ会社のスタッフや外部のビジネスパートナーも、社内ネットワークにアクセスするケースがあります。これまで“脅威はない”と信頼していた社内ネットワークにも、脅威は存在するのです。

 社外であれ社内であれ、安全な場所がどこにも存在しない今、どのようなセキュリティ対策を採り入れるのが良いのでしょうか。その選択肢の1つとなるのが、「ゼロトラスト・モデル」と呼ばれるセキュリティ設計における考え方です。ゼロトラスト(Zero Trust)とは、直訳すると「信頼ゼロ」。つまり、「あらゆる通信を信頼せず、すべてを検証する」というセキュリティ対策となります。

 今回は、ゼロトラスト・モデルのセキュリティプラットフォームを提供するパロアルトネットワークス株式会社の成澤一男氏と久國淳氏に、“すべてを信頼しない”ゼロトラスト・モデルの仕組みと効果について聞きました。

 

社内を信頼しきってはいけない

 「ゼロトラスト・モデル」というセキュリティ手法が生まれた背景には、冒頭で触れたような、社内ネットワークに対する「信頼」が揺らいでいる現実があります。

 企業のIT環境におけるセキュリティ対策の重要性が認識され始めた2000年前後、多くの企業ではファイアウォールが導入されました。ファイアウォールはネットワークを「外部(インターネット)」と「内部(LAN)」で分割、その境界において通信を制御するというものであり、主に不正な通信を遮断することを目的に利用されていました。

 ファイアウォールが浸透し始めた当初、ネットワークにおける脅威は、外部から内部へ向かう通信において発生するケースが主流でした。そのためセキュリティ対策も「外部と内部を遮断する仕組みにしておけば大丈夫」「社内で閉じた内部のネットワーク通信には危険はない」という考えのもとに行われていました。

これまでのセキュリティ

 しかし、やがて「社内だから安全」という常識が通用しなくなりました。ウイルスに感染したパソコンを起点に、社内ネットワーク内部で感染を広げるマルウェアによって大きな被害を被る事故や、内部の悪意あるユーザーが機密情報を漏洩してしまうといった事件も発生するようになりました。

 こうした背景を受け、2010年頃、“社内ネットワークの通信も信頼しない”ことを前提にセキュリティを設計するゼロトラスト・モデルが誕生しました。米調査会社フォレスター・リサーチに在籍し、現在はパロアルトネットワークス米国本社でフィールド担当最高技術責任者を務めるジョン・キンダーバグ氏が最初に提唱したといわれています。

 2010年に生まれたゼロトラスト・モデルは、誕生から8~9年が経過した今、改めてその重要性が高まっています。パロアルトネットワークス株式会社の久國淳氏は、その理由として、IT環境やネットワーク環境の変化に伴って“信頼できない”領域が拡がっていることを指摘します。

「現在はさまざまなクラウドサービスが浸透し、全ての業務アプリケーションがデータセンター含む社内にあるわけではありません。また、それらにアクセスするクライアント端末も、PCだけでなくスマートフォンやタブレットなどのモバイルデバイスが使われるようになっています。さらに、自社だけでなく海外拠点やグループ会社、場合によってはサプライヤーや外部委託業者などの協力会社も社内ネットワークに接続することもあります。

ITやビジネス環境が複雑化し、境界が曖昧になったことで、セキュリティ上“信頼できない”、疑うべき領域は拡大しています。そんな中、ゼロトラスト・モデルがあらためて注目されています」

これからのセキュリティ

 

「ゼロトラスト・モデル」を実装するための3つの要素とは

 ゼロトラスト・モデルが再注目されている背景はわかりました。それでは、現代のIT・ビジネス環境において具体的に何を考慮すればいいのでしょうか。久國氏は3つのポイントがあると説明します。

 1つ目が… 続きを読む… 続きを読む

続きを読むには会員登録が必要です

この記事で紹介しているサービスについて

SHARE

関連記事

“届いてから最短10分”でテレワークを始める方法がある

2020.03.04

テレワーク導入の“壁”を解決第1回

“届いてから最短10分”でテレワークを始める方法がある

セキュリティ対策の「As-is」「To-be」の考え方とは

2018.11.22

グローバルなIT基盤を最適化する仕組み

セキュリティ対策の「As-is」「To-be」の考え方とは

利便性とセキュリティを兼ね備えた「セキュアドPC」ができるまで

2018.11.21

働き方改革&生産性向上のカギはどこにある?第7回

利便性とセキュリティを兼ね備えた「セキュアドPC」ができるまで

最新セキュリティ対策「インターネット無害化」とは

2018.01.17

注目のセキュリティ対策の最新トレンドを解説

最新セキュリティ対策「インターネット無害化」とは

在宅勤務に潜む「情報漏えい」の恐怖をどう防ぐ?

2020.05.15

テレワーク導入の“壁”を解決第5回

在宅勤務に潜む「情報漏えい」の恐怖をどう防ぐ?

AWS導入を成功させるには、3つのフェーズの攻略がカギ

2020.04.03

DXを加速させるITシステムの運用改革第20回

AWS導入を成功させるには、3つのフェーズの攻略がカギ

NTTのCISOはどうやって経営にセキュリティを織り込むようにしてきたか

2020.03.19

セキュリティ対策に求められる新たな視点第15回

NTTのCISOはどうやって経営にセキュリティを織り込むようにしてきたか

専門家「サイバーリスクがゼロにならないなら、検知と対応に注力すべき」

2020.03.04

セキュリティ対策に求められる新たな視点第13回

専門家「サイバーリスクがゼロにならないなら、検知と対応に注力すべき」

セキュリティの専門家が語る「2020の脅威」その傾向と対策

2020.02.14

セキュリティ対策に求められる新たな視点第12回

セキュリティの専門家が語る「2020の脅威」その傾向と対策

「DXレポート」作成者が教える「2025年の崖」を乗り越えるポイント

2020.01.29

デジタルトランスフォーメーションの実現へ向けて第28回

「DXレポート」作成者が教える「2025年の崖」を乗り越えるポイント

台風が来ると、サイバー攻撃が増加!?高度化する手口の防ぎ方

2020.01.17

セキュリティ対策に求められる新たな視点第11回

台風が来ると、サイバー攻撃が増加!?高度化する手口の防ぎ方

サイバー攻撃は避けられない。だから「リスク移転」で自社を守る

2020.01.08

セキュリティ対策に求められる新たな視点第10回

サイバー攻撃は避けられない。だから「リスク移転」で自社を守る