クラウドサービスの利用やテレワークが当たり前になり、社員が社外から社内のシステムやデータにアクセスする場面が増えました。それにともなって、「社内のネットワークの中にいれば安全」という前提で守る従来のセキュリティでは、対応しきれない場面が増えています。
そこで広がっているのが「ゼロトラスト」という考え方です。こでは、ゼロトラストの基本原則、従来の境界型防御との違い、実現するための技術、段階的な導入の進め方までを解説します。
この記事で分かること
- ゼロトラストの考え方と、従来の境界型防御との違い
- ゼロトラストを実現する主な技術と構成要素
- 導入の進め方と、つまずきやすいポイント
ゼロトラストとは？
「何も信頼せず、常に検証する」セキュリティの考え方
ゼロトラストとは、社内か社外かにかかわらず、すべてのアクセスを信頼せず、毎回確かめてから許可するセキュリティの考え方です。英語の「Zero Trust（信頼をゼロにする）」が由来です。
従来は、社内のネットワークからのアクセスであれば安全だとみなすのが一般的でした。ゼロトラストでは、社内からのアクセスであっても、「誰が」「どの端末で」「どんな状況で」アクセスしているかを、そのたびに確認します。
ゼロトラストは、特定の製品の名前ではありません。複数の技術を組み合わせて実現する「設計の考え方」です。
ゼロトラストの3つの基本原則
- 常に検証する
ユーザーの本人確認、端末の安全性、アクセスする場所や時間などを、アクセスのたびに確認する。 - 最小権限にする
必要な人に、必要なデータやシステムだけ、必要な間だけアクセスを許可する。 - 侵害されることを前提にする
攻撃者に入られることを前提に、被害が広がらない設計にし、異常をすぐに見つけられるようにする。
生まれた背景と広がり
ゼロトラストは、2010年に米国の調査会社Forrester Researchが提唱した考え方です。その後、Googleが社内で「BeyondCorp」として実践し、注目が集まりました。
2020年には、米国立標準技術研究所（NIST）がガイドライン「SP 800-207」で、ゼロトラストのアーキテクチャを整理しています。日本でも、デジタル庁が2022年に政府の情報システム向けの「ゼロトラストアーキテクチャ適用方針」を公開するなど、取り組みが広がっています。
境界型防御との違い
境界型防御とは
境界型防御は、社内のネットワークと外部のインターネットの間に「境界」を設け、ファイアウォールなどで境界を守る考え方です。城を堀で囲み、門で出入りを確認する守り方にたとえられます。
境界の内側にいる人や端末は、基本的に「信頼できる」とみなされます。社外から社内のシステムを使うときは、VPNで境界の内側に入ってから利用します。
境界型防御が限界を迎えた理由
- データが社外にある
クラウドサービスの利用が広がり、守るべきデータやシステムが境界の外にも置かれるようになった。 - 働く場所が社外に広がった
テレワークで、社外からのアクセスが当たり前になり、VPNに負荷や障害が集中するようになった。 - 一度入られると被害が広がる
盗まれたIDやパスワード、マルウェアに感染した端末で境界の内側に入られると、内部では自由に動けてしまう。
境界型防御とゼロトラストの比較
| 項目 | 境界型防御 | ゼロトラスト |
|---|---|---|
| 信頼の前提 | 境界の内側は信頼する | 内側も外側も信頼しない |
| 守る対象 | 社内のネットワーク | ユーザー・端末・データ・アプリ一つひとつ |
| 確認のタイミング | 境界を通るときの1回 | アクセスのたび |
| 社外からの利用 | VPNで社内に入る | アプリごとに直接、安全に接続する |
| 侵入されたとき | 内部で被害が広がりやすい | 権限が限られ、被害を抑えやすい |
なお、ゼロトラストは境界型防御を否定するものではありません。ファイアウォールなどの境界の対策も残しながら、より細かい単位での確認を重ねていくのが一般的です。
ゼロトラストを実現する仕組みと構成要素
ゼロトラストでは、アクセスのたびに「ユーザー」「端末」「状況」の情報を集めて、許可するかどうかを判断します。この仕組みを、次の4つの要素を組み合わせて実現します。
IDの管理と認証
ゼロトラストの中心になるのが、「誰がアクセスしているか」を確かめるIDの管理です。
- IDaaS
クラウド上でIDを一元管理し、各サービスへのログインを統合する。 - 多要素認証（MFA）
パスワードに加えて、スマートフォンのアプリや生体認証などで本人を確認する。 - シングルサインオン（SSO）
一度の認証で複数のサービスを使えるようにし、安全さと使いやすさを両立する。
端末の管理と保護
正しいユーザーでも、ウイルスに感染した端末からのアクセスは危険です。そのため、端末が安全な状態かどうかも確認します。
- MDM
会社の端末を一元管理し、OSの更新やセキュリティの設定を徹底する。 - EDR
端末の動きを監視し、不審な動きを検知して対応する。 - 端末の状態（OSが最新か、セキュリティソフトが動いているかなど）を確認し、条件を満たさない場合はアクセスを制限する。
ネットワークとアクセスの制御
- ZTNA（ゼロトラストネットワークアクセス）
VPNのようにネットワーク全体へ入れるのではなく、許可したアプリだけに接続させる。 - SASE・SSE
ネットワークとセキュリティの機能をクラウドでまとめて提供し、どこからでも同じ基準で守る。 - マイクロセグメンテーション
社内のネットワークを細かく区切り、侵入されても被害が広がらないようにする。
ログの可視化と継続的な監視
ゼロトラストでは、一度許可したら終わりではありません。SIEMなどでアクセスのログを集めて分析し、普段と違う場所からのログインや、大量のデータのダウンロードなどの異常を見つけます。異常があれば、アクセスの許可を見直します。
ゼロトラスト導入の進め方
段階的に進める5つのステップ
ゼロトラストは、一度にすべてを置き換えるのではなく、段階的に進めるのが基本です。
- 現状を把握する
守るべきデータやシステム、誰がどこからアクセスしているかを洗い出す。 - IDの管理と多要素認証から始める
IDを一元化し、多要素認証を導入する。効果が大きく、最初の一歩として取り組みやすい。 - 端末の管理を加える
MDMやEDRで、安全な端末だけが使える状態にする。 - VPNをZTNAに置き換える
社外からのアクセスを、アプリ単位の接続に移していく。 - ログを集めて改善を続ける
アクセスの状況を監視し、ルールを見直し続ける。
つまずきやすいポイント
- 一度にすべてを置き換えようとする
範囲が広すぎると、費用も期間も膨らみ、途中で止まってしまう。 - 使いにくくなり、現場が反発する
認証の回数が増えすぎると、業務の効率が落ちる。シングルサインオンなどで使いやすさも同時に整える。 - 古いシステムが対応していない
昔から使っている社内システムは、新しい認証の方式に対応していないことがある。置き換えの計画も合わせて立てる。 - 製品を入れただけで終わる
ゼロトラストは考え方なので、製品を導入しても、運用のルールや監視の体制がなければ効果が出ない。
ゼロトラストに関わる仕事
ゼロトラストの導入には、さまざまな職種のエンジニアが関わります。
- セキュリティエンジニア
全体の方針の設計や、ログの監視・分析を担う。 - ネットワークエンジニア
ZTNAやSASEへの移行、ネットワークの細分化を担う。 - クラウドエンジニア
IDaaSとの連携や、クラウド上のアクセス制御を設計する。
それぞれの仕事は［セキュリティエンジニアとは？］［ネットワークエンジニアとは？］［クラウドエンジニアとは？］で詳しく解説しています。
まとめ
ゼロトラストは、社内か社外かにかかわらず、すべてのアクセスを信頼せず、毎回確かめてから許可するセキュリティの考え方です。社内を信頼する境界型防御は、クラウドやテレワークの広がりで限界を迎えつつあり、その代わりとしてゼロトラストが広がっています。
ゼロトラストは、IDの管理と認証、端末の管理、ネットワークとアクセスの制御、ログの監視といった技術を組み合わせて実現します。特定の製品の名前ではなく考え方なので、IDの管理から始めて、段階的に進めていくことが成功の鍵です。
ゼロトラストは、セキュリティだけでなく、ネットワークやクラウドに関わるエンジニアにとっても、これから欠かせない知識になっていくでしょう。
