ゼロトラストセキュリティとは、「あらゆるユーザーやリクエスト、サーバーは信用できない」という考え方に基づき実現したセキュリティのことです。

　従来のセキュリティモデルでは解決できなかった課題を解決できると期待されています。

　本コラムでは、ゼロトラストセキュリティの概要や導入メリットを紹介します。

▼ 目次
・ゼロトラストセキュリティとは
・ゼロトラストが注目される背景
・ゼロトラストセキュリティを導入するメリット

■ゼロトラストセキュリティとは

　ゼロトラストセキュリティとは、「あらゆるユーザーやリクエスト、サーバーは信用できない」というゼロトラストモデルの考え方に基づき実現したセキュリティモデルのことです。

　内容としては、すべてのアクセス要求に対して、アクセス元のデバイス情報やユーザー情報、アクセス先のアプリケーションの正当性、過去のアクセス要求の傾向との比較情報などを確認し、認証することでセキュリティを担保します。

　導入方法としては、SWG（Secure Web Gateway）、CASB（Cloud Access Security Broker）、ZTNA （Zero Trust Network Access）などを導入することによって実現します。

　なお、CASBについて詳しくは、下記の記事をご覧ください。

ゼロトラストモデルとは

　ゼロトラストモデルは、近年の業務システムの多様化により従来のセキュリティモデルが限界を迎えたことから誕生した新しいセキュリティモデルであり、2010年当時、フォレスター・リサーチ（Forrester Research）社の調査員であったジョン・キンダーバーグ（John Kindervag）氏が提唱したものです。

　ゼロトラストモデルの登場によって、従来のセキュリティモデルは「境界型セキュリティ」「境界型モデル」などと呼ばれるようになりました。

境界型モデルとは

　境界型モデルのセキュリティは、社内ネットワークは安全であるという前提に基づいたものとなっており、社内ネットワークと社外ネットワークの境界さえ守れば情報セキュリティが担保できると考えられていました。

　しかし、近年では境界型モデルによって十分なセキュリティを保つことが難しくなってきました。その詳細は、次項で紹介します。

■ゼロトラストが注目される背景

　ゼロトラストが注目されるようになった背景は、前述の通り、業務システムの多様化により従来のセキュリティモデルが限界を迎えたためです。

クラウドサービスの普及

　以前は、業務に利用するシステムは社内のオンプレミス環境にあるシステムだけでした。

　しかし、近年では、高機能・高セキュリティなクラウドサービスが普及し、業務システムの選択肢としてクラウドサービスが採用されることが増えてきました。

　クラウドサービスを利用する場合、従業員が社外にあるクラウドサービスへアクセスすることにより、社内ネットワークと社外ネットワークとの通信量が増加することになります。

　そのため、もともと社外のサイバー攻撃者の侵入を防ぐために設けていたファイアウォールなどが、従業員のアクセスにも使用されるようになり、処理負荷が増加してしまいます。

　また、会社で許可されていないクラウドサービスを利用する「シャドーIT」や、社外ネットワークから直接クラウドサービス上に保存されているデータにアクセスする行為など、従来のセキュリティモデルでは防ぐことが難しいセキュリティリスクへの対応も必要となります。

テレワークの浸透

　社内ネットワークという概念を曖昧にしてしまった出来事の一つとして、テレワークの浸透があります。2020年の東京オリンピックを目指して政府が推進していましたが、奇しくも新型コロナウイルスの感染拡大が後押しするかたちとなり、テレワークを使用して業務を行う企業が大幅に増加しました。

　前項ではクラウドサービスによるファイアウォールなどの処理負荷の増大について触れましたが、テレワークにより従業員の自宅やサテライトオフィスなどから社内ネットワークへのアクセスが増えたことでも、同様の問題が生じることとなります。

　また、多くの企業では社外ネットワークから安全に社内システムにアクセスできる手段としてVPNが導入されており、テレワークの際にも同じ仕組みが利用されました。

　しかし、VPNは営業担当者などが外出先から一時的に社内ネットワークにアクセスすることを想定したものであり、大人数が常時接続するテレワークに利用することで、VPNが高負荷となり、スムーズなアクセスがしにくくなる問題も生じました。

　テレワークを検討するうえでは、利用するネットワーク経路を見直すことも重要となります。

内部不正の増加

　一般的にセキュリティ対策と言えば、外部からのサイバー攻撃やウイルス感染への対策をイメージする人が多いかもしれません。

　しかし、メディアで報じられる大規模な情報流出事件には内部不正が多いのも事実です。

　また、IPAの調査によると、内部不正により情報流出を起こしてしまった理由の約6割が、悪意のない「うっかり」で違反をしてしまったという結果が出ています。つまり、内部不正は悪意の有無にかかわらず発生してしまうリスクとなります。

■ゼロトラストセキュリティを導入するメリット

　従来のセキュリティモデルにおける課題を解決できると期待されているゼロトラストセキュリティですが、導入によって、具体的にはどのようなメリットを得られるのでしょうか？

セキュリティレベルの向上が見込める

　ゼロトラストモデルは、従来の境界型モデルに比べてより厳格なセキュリティを提供します。すべてのリソースとアクセス要求を個別に検証するため、未認証のアクセスや不正なアクティビティをより効果的に防ぐことができます。

クラウドサービス利用時・テレワーク時の情報セキュリティの向上

　ゼロトラストセキュリティを導入することで、テレワークやクラウドサービス利用により社内・社外ネットワークの境界が曖昧になっても、変わりなく高セキュリティを維持できます。

情報セキュリティの管理を効率化できる

　ゼロトラストセキュリティを実現するために導入するSWGやCASB、ZTNAは、いずれもクラウドサービスであり、ほかのセキュリティサービスとも連携が可能です。

　このため、ゼロトラストセキュリティを導入することで、情報システム部門などの管理者が、情報セキュリティのさまざまな設定をクラウド上で一元管理でき、管理を効率化できるというメリットがあります。

■まとめ

　ゼロトラストセキュリティは、ITネットワークの業務利用における変化に伴って限界を迎えた、従来の境界型モデルが抱える課題を解決できる、新しい情報セキュリティモデルです。

　クラウド上で情報セキュリティの一元管理が行え、クラウドサービス利用やテレワークにおける業務実施の安全性を高めるなどの効果が期待できます。

　これを実現する具体的なソリューションの一つに、ZTNAに加え、SWGやCASBの機能を持つNetskopeがあります。

　Netskopeを導入することにより、SaaSやIaaS、Webサイトなどの社外ネットワークの情報セキュリティだけではなく、オンプレミスシステムなど社内ネットワークの情報セキュリティにも対応することが可能です。

　「VPN機器を更改する必要があるが、金銭コストや運用負荷の増加に困っている」など、従来のセキュリティモデルからゼロトラストセキュリティへの切り替えを検討しているお客様は、お気軽にご相談ください。

　Netskopeについて詳しくは、こちらのページをご覧ください。