ゼロトラストとは？従来のセキュリティモデルとの違い

「信頼できるものは何もない」これが現代のセキュリティ思想の最前線です。本記事ではシステムエンジニアとして日々セキュリティと向き合う私たちが避けて通れない「ゼロトラスト」について掘り下げていきます。

クラウド環境への移行やリモートワークの普及により、従来の境界防御型セキュリティだけでは対応できない時代になりました。　”城壁と堀”　の概念が崩れつつある今、私たちはどのようにシステムを守っていくべきなのでしょうか？

ゼロトラストとは？

ゼロトラストセキュリティとは、「何も信頼せず、常に検証する」という考え方に基づくセキュリティモデルです。社内ネットワークであっても、外部からのアクセスであっても、すべてのアクセスを信頼せず、常に検証を行います。

従来のセキュリティモデルでは、社内ネットワークは信頼できる領域として扱ってきました。しかし、内部脅威や高度化するサイバー攻撃により、一度境界を突破されると内部での横断的な攻撃が容易になるという弱点がありました。

ゼロトラストモデルでは以下の原則に基づいています。

• すべてのリソースへのアクセスは安全でないとする
• すべてのトラフィックを検証する
• 最小権限の原則に従う
• すべてのトラフィックを監視・記録する
• 認証と認可はダイナミックでリスクベースである

これらの原則によって、攻撃者が内部に侵入したとしても、領域内の移動を制限し、被害を最小限に抑えることができます。

従来のセキュリティモデルとの違い

従来のセキュリティモデルと聞いて、多くのエンジニアが思い浮かべるのは　”境界防御型セキュリティ”　ではないでしょうか。この考え方は、城と堀のように組織のネットワークの境界に強固な防御を設け、内側は比較的自由に通信できるというものです。

境界防御型セキュリティ	ゼロトラストセキュリティ
内部ネットワークは信頼される	内部・外部問わず信頼しない
ネットワーク境界での防御が中心	リソースごとの保護が中心
「中に入れば自由」の考え方	継続的な検証と認証
静的なアクセス制御	動的で文脈に応じたアクセス制御
VPNによる内部アクセスの確保	ID、デバイス、コンテキストによる認証

それぞれの違いについては、例えば、従来のモデルでは社内のPCから社内サーバーへのアクセスは基本的に許可されていました一方で、ゼロトラストでは社内PCであっても、ユーザーの認証状態、デバイスの健全性、アクセス時間やロケーションなど複数の要素を評価した上でアクセスの可否を都度判断します。
つまり、「どこから」ではなく「誰が、どのデバイスで、どのような状況で」アクセスしているかを重視するのがゼロトラストの特徴です。

境界防御型セキュリティモデルの課題

境界防御型モデルが長く主流だった理由は、シンプルで理解しやすく、実装も比較的容易だったからです。しかし、ITの進化とともにこのモデルの限界も明らかになってきました。

以下4点が、時代の変化と共に発生してきた境界防御型モデルでの具体的な課題になります。

①　クラウドサービスの普及

会社のデータはすべて社内にあるという前提が崩れています。SaaS、IaaS、PaaSなど、社外のクラウドサービスの利用が当たり前になった今、境界の概念自体が曖昧になっています。

②　モバイルワークとリモートワークの増加

社員は社内からのみアクセスするという前提も崩れています。スマートフォンやノートPCを使って、カフェや自宅、出張先など様々な場所から社内リソースにアクセスする時代です。

③　内部脅威への対応の難しさ

社内ネットワークに入ったら安全という考え方は、内部犯行や侵害されたアカウントからの攻撃に弱いです。実際、多くのセキュリティインシデントは内部者の行動に起因しています。

④　高度化するサイバー攻撃

標的型攻撃やAPT（Advanced Persistent Threat）など、境界を突破するための手法は年々巧妙化しています。一度境界を突破されると、内部での被害拡大を防ぐのが困難です。

これらの課題に対応するために生まれたのがゼロトラストという思想になります。

ゼロトラストを支える主要な技術要素

ゼロトラストは単一の製品ではなく、複数の技術やプロセスを組み合わせた包括的なアプローチです。ここでは、その主要な技術要素6点を紹介します。

①　ID管理と認証技術

ゼロトラストの基盤となるのは強固なID管理です。ユーザー、デバイス、アプリケーションなど、すべてのエンティティに一意のIDを付与し、多要素認証（MFA）などで厳格に認証します。
最近では、パスワードレス認証やFIDO2/WebAuthnなどの生体認証の導入も進んでいます。パスワード入力の時代から、指紋認証やFace IDで簡単に、かつセキュアに認証できる時代へと変わりつつあります。

②　マイクロセグメンテーション

ネットワークを細かくセグメント化し、必要最小限の通信のみを許可することで、攻撃者の横方向の移動を制限します。従来のVLANによるセグメンテーションよりも粒度が細かく、ワークロードやアプリケーションレベルでのセグメンテーションが可能です。
例えば、従来のVLANだと「開発部門のサブネット」といった粒度でしたが、マイクロセグメンテーションでは「特定のアプリケーションとデータベース間の通信のみ」といった、より細かな制御が可能になります。

③　SDP（Software Defined Perimeter）

ネットワークインフラストラクチャをソフトウェアで定義し、ユーザーやデバイスに応じて動的にアクセス制御を行います。VPNに代わる技術として注目されています。

④　SASE（Secure Access Service Edge）

ネットワークセキュリティとWANをクラウドで統合した概念です。従来の境界ベースのネットワークから、クラウドベースのサービスへと移行するためのフレームワークを提供します。

⑤　コンテキストアウェアなアクセス制御

ユーザーIDだけでなく、デバイスの状態、アクセス時間や場所、要求されたリソースの重要度など、多様な要素（コンテキスト）に基づいてアクセス制御を行います。
※「営業時間外に普段使わないデバイスから機密データにアクセスしようとしている？これは怪しい！」というような判断が自動的に行われるイメージです。

⑥　継続的な監視と分析

すべてのネットワークトラフィックとアクセスを継続的に監視し、異常を検知します。AIや機械学習を活用した高度な分析により、従来では検知できなかった巧妙な攻撃も発見できるようになってきています。

ゼロトラストの導入事例

実際に多くの企業がゼロトラスト導入に取り組んでいます。いくつかの事例を見てみましょう。

Googleの「BeyondCorp」

ゼロトラストの先駆けとなったのは、Googleの「BeyondCorp」プロジェクトです。2009年の「Operation Aurora」と呼ばれる高度なサイバー攻撃を受けたGoogleは、従来のVPNベースのセキュリティから、デバイスの健全性とユーザー認証に基づくアクセス制御へと移行しました。
この取り組みにより、Googleの従業員は場所を問わず、認証されたデバイスから安全に社内リソースにアクセスできるようになりました。

Microsoft

Microsoftも「Zero Trust Network」を自社で採用し、Azureを通じてゼロトラストソリューションを提供しています。これらのアプローチは、ID、デバイス、アプリケーション、データの各レイヤーでのセキュリティ強化を重視しています。

日本企業の事例

日本でも多くの企業がゼロトラスト導入を進めています。例えば、あるIT企業では、コロナ禍でのリモートワーク急増に対応するため、従来のVPNに代わる新しいセキュリティモデルとしてゼロトラストを採用しました。
自宅のネットワークからの接続の安全性に対して懸念が多かったものの、デバイス認証や多要素認証の導入により、むしろセキュリティレベルが向上したという評価を得ています。

ゼロトラスト導入のステップとベストプラクティス

ゼロトラストへの移行は一朝一夕にはいきません。計画的なアプローチが必要です。

導入ステップ①　現状の把握と評価

まずは組織のリソース、ユーザー、デバイス、アプリケーションの完全な可視化から始めます。　”知らないものは守れない”　のがセキュリティの基本です。

導入ステップ②　保護すべき重要データの特定

すべてのデータが同じ価値を持つわけではありません。重要度に応じた保護戦略を立てましょう。

導入ステップ③　ID管理の強化

強固なID管理と多要素認証の導入は、ゼロトラストの基盤となります。

導入ステップ④　デバイス管理の確立

MDM（Mobile Device Management）などを活用し、デバイスの健全性を継続的に評価します。

導入ステップ⑤　マイクロセグメンテーションの実装

通信フローを分析し、必要最小限の通信のみを許可するポリシーを設定します。

導入ステップ⑥　継続的な監視と改善

常に監視する事が必要不可欠であることの意識を持ち、新たな脅威に対応できるよう改善を続けましょう。

具体的に何から始めればいいのか分からないという方は多いと思います。私の経験では、まずはID管理とMFAの導入から始めるのが効果的です。これだけでも多くの不正アクセスを防ぐことができます。

ベストプラクティス

• 一気に全てを変えようとしない：段階的なアプローチを取りましょう。例えば、新規プロジェクトやクラウド環境から始めて徐々に拡大するといった方法があります。
• ユーザー体験を考慮する：セキュリティ強化がユーザビリティを著しく低下させると、シャドーIT（管理されていない機材やサービス）の原因になります。セキュリティと使いやすさのバランスを取りましょう。
• 経営層の理解と支援を得る：ゼロトラストは技術だけでなく、組織文化の変革でもあります。経営層のサポートなしでは成功しないことを念頭に社内調整を行う必要があります。私の経験だとここが最難関ですので、技術のキャッチアップは当たり前として、会社全体を俯瞰しての将来性も含めて説明できるようにしておくべきです。
• 教育と啓発を継続的に行う：認証が必要なのか、無いとどのようなリスクを持つようになるのかを理解してもらうことで、ユーザーの協力を得やすくなります。

「セキュリティを強化したら、ユーザーから不満が殺到した」という話はよく聞きます。セキュリティチームとエンドユーザーのコミュニケーションが重要になってきます。

ゼロトラストの未来と展望

ゼロトラストは今後も進化し続けるでしょう。しかし、以下のポイントを押さえつつ世の中の変化に対応しながら私たち自身も進化していく必要があります。

AIと機械学習の活用

リスク評価や異常検知にAIと機械学習を活用することで、より高度な脅威検出が可能になります。ユーザ毎の異常な行動パターンを自動的に検知し、リアルタイムでアクセス制御に反映できるようになるでしょう。

量子コンピューティングへの対応

量子コンピューティングの発展により、現在の暗号技術が脆弱になる可能性があります。ゼロトラストの文脈でも、ポスト量子暗号への移行が重要なテーマになります。

ブロックチェーン技術との統合

分散型の認証や監査証跡にブロックチェーン技術を活用する試みも始まっています。改ざん不可能な監査証跡は、セキュリティとコンプライアンスの両面で価値があります。

IoTとエッジコンピューティングへの対応

IoTデバイスの爆発的増加に伴い、これらのデバイスをゼロトラストモデルでどう保護するかは現在も課題になっています。リソースに制約のあるデバイスでも適用可能な軽量なセキュリティソリューションの開発が進むようになります。

まとめ

ゼロトラストは、変化し続けるIT環境と脅威に対応するための新しいセキュリティパラダイムです。従来の境界防御型モデルからゼロトラストへの移行は、単なるトレンドではなく、DX時代の必然の動きと言えると思います。

導入には時間とリソースが必要ですが、段階的なアプローチで確実に移行していくことで時代に合ったセキュリティレベルに引き上げていくことが重要です。セキュリティエンジニアとして、この新しいパラダイムを理解し、組織のセキュリティ強化に貢献していきましょう。

皆さんの組織では、ゼロトラストへの取り組みはどのような段階にあるでしょうか？ぜひ一度、現状を評価してみてください。明日のセキュリティは、今日の備えから始まります。