セキュリティモデル「ゼロトラスト」とは｜構築するソリューション・実現のポイントも紹介

従来のモデルとの違い

ゼロトラスト・セキュリティモデルが広まる以前は「境界防御モデル」が主流でした。社内とファイアウォール以降の通信を分けて考えた際に、ファイアウォール以降の通信は信用できないとする考え方です。ゼロトラスト・セキュリティモデルとの違いは以下の表に記載しました。

境界防御モデルの代表的な接続方法がVPNです。仮想専用線とも呼ばれるVPNは、送受信者双方の危機をカプセル化し、第三者による侵入を許さない方式です。双方の安全性が保障されたうえで確保できる通信方法であるため現在でも使用される技術ではあります。しかし、VPNには段階があり、セキュリティレベルに差があります。また、完全に情報漏洩を防げるわけではないという問題を抱えている状態です。

VPNの安全性に疑問符が付くような事件も発生しており、VPN方式を辞める「脱VPN」の動きも盛んです。これらの理由から、同じ社内であってもすべての通信を安心ではないとするゼロトラスト・セキュリティモデルに注目が集まっています。

エンドポイントセキュリティ

「エンドポイント」とは、パソコンやモバイル端末などのネットワークの末端に位置する機器を指します。エンドポイントセキュリティは、それらの端末を保護するソリューションです。

端末監視を行うEDR（Endpoint Detection and Response）、マルウェアの感染から保護するEPP（Endpoint Protection Platform）などが代表的なソリューションです。

ネットワークセキュリティ

ネットワークの各種アクセス権限を設定し、セキュリティを確保するソリューションです。危険なサイトへのアクセスを遮断するSWG（Secure Web Gateway）、リアルタイムに接続可否を判断するSDP（Software Defined Perimeter）などがそれです。

ネットワークをSD-WAN化すると、通信を暗号化して外部からの閲覧・盗聴を防ぐことができます。また、不正アクセスやポリシー違反の通信を専用のダッシュボードなどから停止することも可能です。

クラウドセキュリティ

クラウドサービスの利用状況を可視化・制御するCASB（Cloud Access Security Broker）、クラウドサービスの安全性を確認するCSPM（Cloud Security Posture Management）などのソリューションは「クラウドセキュリティ」に関連するものです。

ユーザー認証

「ユーザー認証」は、ユーザーIDやパスワードなど、ログイン情報の管理や認証を行うソリューションです。

IDaaS（Identity as a Service）が代表的なソリューションで、ひとつのID/パスワードで複数のサービスを利用できる「シングルサインオン」の機能を備えたソリューションもあります。

ID管理を徹底する

ゼロトラスト・セキュリティモデルを採用したとしても、依然IDの管理は厳格に行う必要があります。特に、ユーザーおよび接続機器などでアクセスをコントロールする場合、業務にさまざまなツールやクラウドサービスを利用する場合では、従業員1名につき複数のIDを管理していることも多いでしょう。

このような状況では、いかにIDを適切に一元管理できるかが、ゼロトラスト・セキュリティモデルを構築する際に重要になります。社内で管理するIDが多い場合には、シングルサインオンの導入を検討してみるとよいかもしれません。

アクセス履歴を可視化する

ゼロトラスト・セキュリティモデルの実現には、「誰がどのような場所から、どのようなファイル・アプリケーションにアクセスしているか」を可視化することが重要です。アクセスログを取得するなど、不正なアクセスを防止するとよいでしょう。万が一、情報漏洩が発生した場合は、迅速に検証できる体制を実現しなければなりません。

また、ユーザーが危険な行動をとっていないかを監視するのも、ゼロトラスト・セキュリティモデルを実現するために欠かせない要素です。危険な行動か否かを監視することで、脅威を未然に防止することもできます。

ゼロトラストの運用体制を整える

ゼロトラスト・セキュリティモデルを運用するには、運用体制を整えておく必要があります。具体的には担当者やソリューションの手配です。ほかにもゼロトラスト・セキュリティモデルを理解してもらうために社内全体でITセキュリティに関する研修なども必要になります。

ITリテラシー教育の一環として、全社共通に教育を施すと良いでしょう。新入社員だけではなく現職の社員や幹部に至るまで、全員がゼロトラスト・セキュリティモデルを理会する必要があります。