世界中で多くの企業がデジタル変革を進めています。これは、かつてないほど多くのデータが電子的に保存され、アクセスされるようになった証です。
このような背景の中で、クラウド環境やハイブリッド環境、そしてリモートワーク中の従業員に関連する、さまざまな課題に対処できる強力なフレームワークとして、「ゼロトラストセキュリティ（ゼロトラストセキュリティモデル）」が有効であることが証明されてきました。
この記事では、企業がゼロトラストセキュリティを採用したことで、どのように脆弱性を軽減し、脅威を回避してきたのかをご紹介します。従業員データの使用とアクセスをコントロールする方法についても詳しく説明しますので、ぜひご確認ください。
ゼロトラストセキュリティとは
ゼロトラストセキュリティでは、すべてのユーザーは信頼できないという想定でプロセスを再定義しています。そのうえで、アプリケーション・データベース・ビジネス資産へのアクセス権を付与する前に、システムが自動的にユーザーを認証して権限を確認します。さらに、各ユーザーの承認ステータスは、アプリやデータの使用中、何度も繰り返し検証されます。
クラウド環境やハイブリッド環境で運用している企業、あるいは政府機関が増え続ける中で、ゼロトラストセキュリティのニーズは高まる一方です。なぜなら、クラウド環境やハイブリッド環境では、信頼してよいデバイスや人を判断することが、ますます難しくなっているからです。そのため、すべてのユーザーを信頼せず、都度認証を必要とするセキュリティモデルが一般的になりつつあります。
重要なポイントは、ユーザー認証のワークフローと使いやすさです。パフォーマンスに関しては、認証のためにプロセスが中断することをユーザーが煩わしく感じる懸念があります。しかし、適切なフレームワークでは、すべての検証プロセスがバックグラウンドで迅速に行われるため、通信の遅延を最小限にとどめながら、システムセキュリティを大幅に強化することができます。
なお、ゼロトラストセキュリティという言葉は、「ゼロトラストネットワークアーキテクチャ」「ゼロトラストネットワークアクセス」「境界のないセキュリティ」といった類似・関連用語と、同じ意味で使用されることがあります。
ゼロトラストセキュリティの考え方
ゼロトラストセキュリティの基盤には、ユーザーとその意図を確実に見極めるために設計された、一連の重要な原則があります。ここでは、ゼロトラストセキュリティの基本的な考え方を紹介しましょう。
攻撃者はどこにでもいる
ハッカーは常に外部にいるとは限りません。ネットワークの外部だけでなく、すでに内部に侵入している可能性もあります。そのように仮定すると、いかなるマシンやユーザーであっても、信頼できる存在ではないということになります。
エンドポイントは信頼できない
適切なセキュリティコントロールによってデバイスが制御されていれば、エンドポイント管理がそれらを検証するでしょう。しかし、承認済みのデバイスのみが使用されている場合でも、秘密鍵を適切に保護しなくてはなりません。セキュリティを担保するには、認証システムにもエンドポイントセキュリティを適用する必要があります。
ユーザーには最小権限のアクセス権を付与する
ユーザーには、必要最低限のアクセス権のみを付与することが大切です。そうすることで、機密性の高い情報にユーザーが触れる機会を最小限に抑えられます。これは「ネットワーク内部はすべて信頼する」としていた従来のアプローチとは真逆の考え方です。
マイクロセグメンテーションを利用してセキュリティを維持する
マイクロセグメンテーションでは、データの分類に基づき、ネットワーク上のセキュリティパラメータを複数の小さい領域に分割して、異なるアクセス権を設定します。これにより、ユーザーは追加で認証を受けないと、別のゾーンにアクセスすることができなくなります。
アクセスコントロールによりネットワークの攻撃対象領域を最小化する
ユーザーのアクセス権・デバイスのアクセス権を厳密にコントロールすることで、ネットワークの攻撃対象となる領域を最小化できます。このためには、デバイスがネットワークにアクセスする方法を監視し、各デバイスが認証済みであることを確認するプロセスが重要です。アクセスコントロールでは、タスクの遂行に最低限必要な権限を提供することで、重要なシステムを保護します。
多要素認証（MFA）は重要である
ユーザーにアクセス権を付与する前に、強力な認証方法によってユーザーを検証する必要があります。理想的なのは多要素認証（MFA）です。近頃は二要素認証（2FA）も用いられていますが、多要素認証より弱いと考えられます。万が一、誤ってユーザーを認証してしまうと、ゼロトラストセキュリティを弱体化させる可能性があります。
強力な認証は3つの主要要素を必要とする
強力な認証を実現するためには、秘密鍵、または対象鍵の共有に依存すべきではありません（コード・パスワード・回復のための質問などを含む）。次に、クレデンシャルフィッシングや、なりすまし攻撃の対策ができるハードウェアを使用することが大切です。最後に、スケーラビリティが高く、使いやすいものであることも必要です。
多要素認証を謳うすべてのツールが、これら3つの基準を満たしているとは限らないため、導入には慎重な検討が必要です。
ゼロトラストセキュリティの実装方法
ユーザーやデータが複数の地域・環境に分散している場合でも、ゼロトラストセキュリティによって安全かつ効果的に業務を遂行できます。
しかし、実装するための万能なアプローチはありません。ほとんどの企業は導入プロセスを3つの主な段階に分けて、導入プロセスの計画を立てています。
1. 組織を可視化する
ゼロトラストセキュリティを確立するための最初のアプローチは、組織を構成するすべての要素と、それらの接続方法を可視化することです。そのためには、組織のリソースとアクセス方法だけでなく、リスクも含めて徹底的に評価しなくてはなりません。たとえば、顧客の機密情報が含まれるデータベースへの接続に脆弱性があれば、甚大なリスクをもたらす可能性があります。
組織のリソースと、必要なアクセス権は、組織の成長にあわせて絶えず変化するはずです。そのため、この可視化と評価のプロセスは継続的に行う必要があります。同様に、これらの要素の重要性や、付随するリスクも変化していきます。したがって、ゼロトラストセキュリティの導入を検討している組織は、フレームワークの導入を開始する時点において、最も重要で脆弱性があると推測される領域から着手する必要があります。
2. 脅威に対処できるプロセス・ツールを見極める
最初の段階で、潜在的な脆弱性と、それらを悪用する可能性がある脅威、攻撃者に狙われやすい経路などを洗い出しました。次のフェーズでは、リスクを軽減させるため懸念事項に優先順位をつけて対処していきます。
このフェーズでは、新たな脆弱性と脅威を自動的に検知するために必要なプロセス・ツールを見極めます。また、脅威を自動的に阻止するプロセスや、万が一、阻止が不可能だった場合に起こり得る被害を緩和するプロセス（たとえば、流出するデータの制限）も求められます。
3. 実施を最適化する
ゼロトラストセキュリティ導入の第3段階は、ITをすべて網羅するようにプロセスとプロトコルを拡張することです。このロールアウトがどれだけ早く進むかは、組織の複雑さと、導入プロセスに投じたリソースの量に大きく影響されます。
このとき必要なのは、組織のインフラストラクチャのより広い範囲をカバーするのにあわせて、フレームワークをロールアウトすることです。定期的にテストを行い、有用性と使いやすさを確認することが重要になります。ゼロトラストセキュリティのようなセキュリティフレームワークを導入する際、ユーザーエクスペリエンスを重視しない組織は、いずれ大規模なコンプライアンス違反や生産性の低下を招く可能性があります。
ゼロトラストセキュリティのメリット
ゼロトラストセキュリティは、デジタル変革を推進している組織のセキュリティを高め、クラウド導入後も継続的に使えるよう支援します。SaaS企業や各種業界の成長企業と親和性が高く、特に、リモートワーカーへの対応が必要な組織や、マルチクラウド環境を維持しなくてはならない組織にとって有益です。ここでは、主なメリットを紹介しましょう。
効果的なアクセスコントロール
ゼロトラストセキュリティは、エンドポイントセキュリティ・本人確認・最小限のアクセス権・マイクロセグメンテーションや、その他の対策技術の組み合わせにより攻撃を抑止します。
また、アプリケーションやデータ、ネットワークに対して、攻撃者のアクセスを制限します。こうした特徴から、最も効果的なアクセスコントロール手法となり得ます。
境界のないセキュリティ
世界中でリモートワークが増加したことに伴い、ネットワーク内のエンドポイントの数が増えました。同時に、クラウドベースのサーバーやアプリケーションを含むインフラストラクチャも拡大しています。これにより、境界のセキュリティを監視・維持する作業の難易度は増す一方です。
ゼロトラストセキュリティは、あらゆる数のデバイスやユーザーに対し、堅牢なセキュリティを等しく提供することで、この課題に対応します。
インサイトの強化
クラウドベースのゼロトラストセキュリティでは、ベンダーがインフラストラクチャの監視から、管理・トラブルシューティング・パッチ管理・アップグレードまでを行うことで、ネットワークトラフィックの可視性が高まります。このモデルでは、エンドポイントのサイバー衛生や認証ツールに関するインサイトも必要です。
リスクの軽減
ゼロトラストセキュリティでは、ユーザーアクセスの制限とネットワークのセグメント化により、攻撃対象となる領域を縮小させます。その結果、不正アクセスをより短時間で検知できるようになり、組織が被る損害とデータ損失を最小限に抑えられます。
より効率的なユーザーエクスペリエンス
ゼロトラストセキュリティでは、アクセスポリシーとリスク評価によって、1日の間に何度も再認証を受ける必要がなくなります。また、シングルサインオン（SSO）やMFAのようなメカニズムにより、複雑なパスワードを記憶する必要もなくなるため、ユーザーエクスペリエンスが向上します。
規制コンプライアンス
ゼロトラストセキュリティは、組織内外のさまざまな規制への対応をサポートします。個々のユーザーやリソース、ワークロードを保護することで、監査プロセスを簡素化し、「PCI DSS」や「NIST 800-207」などの規格への準拠もこれまで以上に容易になります。
ゼロトラストセキュリティのユースケース
現代の環境では、ゼロトラストセキュリティはどのような組織にとっても有益です。たとえば、インフラストラクチャに次の要素が含まれている組織が対象としてあげられます。
- ハイブリッドワークまたはリモートワークの従業員
- レガシーシステム
- 管理されていないデバイス
- SaaSアプリ
ゼロトラストが解決を目指す主な脅威
- 内部脅威
- サプライチェーン攻撃
- ランサムウェア
ゼロトラストと親和性が高い組織が直面している課題
- 業界またはその他の規制要件
- サイバー保険の維持に関する懸念
- 特にMFAと関連して、ユーザーエクスペリエンスについて考慮する必要性
世界的なスキル不足の状況下で、十分なスキルを持つサイバーセキュリティの専門知識を確保し、維持するという課題
それぞれの組織が、業種や重点地域・デジタル変革の段階・現在のセキュリティ戦略などに応じて、さまざまな課題に直面しています。ゼロトラストセキュリティなら、特定の組織の要件に合わせて柔軟に対応できます。
ゼロトラストセキュリティとサイバーレジリエンス
ハイブリッドワークへ向かう動きや、サイバー脅威の増加と複雑化により、組織にとってサイバーレジリエンスが最重要事項となっています。サイバーレジリエンスでは、サイバー攻撃を防ぐことを重視するのではなく、現代におけるサイバー攻撃は不可避であるということも受け入れることが重要です。そのうえで、組織ができる限り攻撃に備え、リスクが発生した場合には迅速かつ効果的に対応して復旧できるようにしなくてはなりません。ゼロトラストセキュリティは、サイバーレジリエンスの強化において重要な役割を果たします。
ゼロトラストセキュリティの導入を阻む障壁のひとつが、サイロ化されたデータ中心のツールセットが大量に存在することです。これには、多くの組織が苦戦しています。ハイブリッドな職場環境では、セキュリティチームが既存のデータ保護ツールに加えて、新たなエンドポイントソリューションを導入するようになりました。このような大量のツール（機密データにアクセスするために、ユーザー・アプリケーション・デバイスに適用されるルールや分析）は、ゼロトラストセキュリティにとって大きな問題となる可能性があります。なぜなら、データの流れを妨げ可視性を低下させるだけでなく、ポリシー設定ミスのリスクも高まるからです。
解決策としては、データ中心のプロセスをデータセキュリティプラットフォーム（DSP）に統合することです。一元化されたポリシーエンジンによって、データ中心のプロセスすべてに対応できるため、より高度な制御が可能になります。プロセスを統合して継続性を確保することでサイロが解消され、データの可視性が向上し、より一貫性があるトラッキングが実現します。また、ユーザーにとっては、自動化がさらに進むことで操作がシンプルになり、透明性が向上します。
優れたDSP（データセキュリティプラットフォーム）では、データの検出・分類・制御を統一し、データ損失や難読化を最小限に抑える役割があります。また、セキュリティチームが、組織のハイブリッドなワークプレイス全体に、ゼロトラストセキュリティを導入しやすいインフラストラクチャを構築できるようになります。
ゼロトラストセキュリティに関するよくある質問
ここでは、ゼロトラストセキュリティに関するよくある質問を紹介します。
ゼロトラストセキュリティの原則とはどのようなものですか？
ゼロトラストセキュリティの基本原則は「決して信頼せず必ず確認せよ」です。
ゼロトラストセキュリティでは、ユーザーの担当業務や所在地・使用しているデバイス・要求するデータなどのコンテキストに基づいてアクセスポリシーを適用することで、不適切なアクセスを防止します。
ゼロトラストセキュリティは、現代の職場環境を保護するように設計されており、強力な認証方法やネットワークのセグメント化、横方向の移動の防止、最低限のアクセスポリシーの徹底などによって、デジタル変革を可能にします。
ゼロトラストセキュリティの主なメリットには、どのようなものがありますか？
ゼロトラストセキュリティの最大のメリットは、ユーザーが認証を受けてから承認されるまで、アプリケーションやデータにアクセスできず、閲覧もできない仕組みにより実現される、ビジネスリスクの軽減です。
また、アクセスの付与方法を見直し、特定のユースケースにおける承認の有効期間についてもコントロールを強化できるため、組織のアクセスコントロールが強化されます。結果として、ゼロトラストセキュリティには、導入に伴う困難を大きく上回るメリットがあります。
ゼロトラストセキュリティを導入するにはどのような方法がありますか？
通常セキュリティチームは、ゼロトラストセキュリティの設計にあたり、2つの課題に集中します。それは、「何を保護しようとしているのか」と「誰を保護しようとしているのか」です。これらの課題の答えによって、セキュリティチームがどのようにゼロトラストセキュリティを導入するかが決まります。
多くの組織では、ゼロトラストセキュリティの導入に段階的なアプローチをとります。最も重要な資産から着手するか、または、あまり重要ではない資産でテストしてから、ネットワーク内のより広い範囲にゼロトラストセキュリティをロールアウトするのが一般的です。
関連するカスペルスキー製品
- Kaspersky Hybrid Cloud Security
- Kaspersky Managed Detection and Response
- Kaspersky Threat Intelligence
