一昔前のセキュリティ対策は、“ネットワークの外部にあるインターネットの脅威から、社内システムを防ぐ”という考え方が主流でした。そのため、社内ネットワークについては「安全」「脅威はない」とみなされることが一般的でした。

 しかし、近年は多種多様なクラウドサービスが普及しており、社内ネットワークにアクセスする端末は多様になっています。さらに自社以外でも、グループ会社のスタッフや外部のビジネスパートナーも、社内ネットワークにアクセスするケースがあります。これまで“脅威はない”と信頼していた社内ネットワークにも、脅威は存在するのです。

 社外であれ社内であれ、安全な場所がどこにも存在しない今、どのようなセキュリティ対策を採り入れるのが良いのでしょうか。その選択肢の1つとなるのが、「ゼロトラスト・モデル」と呼ばれるセキュリティ設計における考え方です。ゼロトラスト(Zero Trust)とは、直訳すると「信頼ゼロ」。つまり、「あらゆる通信を信頼せず、すべてを検証する」というセキュリティ対策となります。

 今回は、ゼロトラスト・モデルのセキュリティプラットフォームを提供するパロアルトネットワークス株式会社の成澤一男氏と久國淳氏に、“すべてを信頼しない”ゼロトラスト・モデルの仕組みと効果について聞きました。

 

社内を信頼しきってはいけない

 「ゼロトラスト・モデル」というセキュリティ手法が生まれた背景には、冒頭で触れたような、社内ネットワークに対する「信頼」が揺らいでいる現実があります。

 企業のIT環境におけるセキュリティ対策の重要性が認識され始めた2000年前後、多くの企業ではファイアウォールが導入されました。ファイアウォールはネットワークを「外部(インターネット)」と「内部(LAN)」で分割、その境界において通信を制御するというものであり、主に不正な通信を遮断することを目的に利用されていました。

 ファイアウォールが浸透し始めた当初、ネットワークにおける脅威は、外部から内部へ向かう通信において発生するケースが主流でした。そのためセキュリティ対策も「外部と内部を遮断する仕組みにしておけば大丈夫」「社内で閉じた内部のネットワーク通信には危険はない」という考えのもとに行われていました。

これまでのセキュリティ

 しかし、やがて「社内だから安全」という常識が通用しなくなりました。ウイルスに感染したパソコンを起点に、社内ネットワーク内部で感染を広げるマルウェアによって大きな被害を被る事故や、内部の悪意あるユーザーが機密情報を漏洩してしまうといった事件も発生するようになりました。

 こうした背景を受け、2010年頃、“社内ネットワークの通信も信頼しない”ことを前提にセキュリティを設計するゼロトラスト・モデルが誕生しました。米調査会社フォレスター・リサーチに在籍し、現在はパロアルトネットワークス米国本社でフィールド担当最高技術責任者を務めるジョン・キンダーバグ氏が最初に提唱したといわれています。

 2010年に生まれたゼロトラスト・モデルは、誕生から8~9年が経過した今、改めてその重要性が高まっています。パロアルトネットワークス株式会社の久國淳氏は、その理由として、IT環境やネットワーク環境の変化に伴って“信頼できない”領域が拡がっていることを指摘します。

「現在はさまざまなクラウドサービスが浸透し、全ての業務アプリケーションがデータセンター含む社内にあるわけではありません。また、それらにアクセスするクライアント端末も、PCだけでなくスマートフォンやタブレットなどのモバイルデバイスが使われるようになっています。さらに、自社だけでなく海外拠点やグループ会社、場合によってはサプライヤーや外部委託業者などの協力会社も社内ネットワークに接続することもあります。

ITやビジネス環境が複雑化し、境界が曖昧になったことで、セキュリティ上“信頼できない”、疑うべき領域は拡大しています。そんな中、ゼロトラスト・モデルがあらためて注目されています」

これからのセキュリティ

 

「ゼロトラスト・モデル」を実装するための3つの要素とは

 ゼロトラスト・モデルが再注目されている背景はわかりました。それでは、現代のIT・ビジネス環境において具体的に何を考慮すればいいのでしょうか。久國氏は3つのポイントがあると説明します。

 1つ目が… 続きを読む

全文(続き)を読む

続きを読むにはログインが必要です。

まだ会員でない方は、会員登録(無料)いただくと、続きが読めます。

このテーマについてもっと詳しく知りたい

Bizコンパス編集部

Bizコンパス編集部

関連キーワード

連載記事