ゼロトラストとは何か？導入のメリットを解説

　情報セキュリティのゼロトラストへの移行は、企業に多くの利点をもたらします。

　一つ目のメリットは、セキュリティレベルの向上です。従来のアプローチでは、ユーザーは一度認証されると、ネットワーク内で制限を受けずに活動できました。しかしゼロトラストでは、そのユーザーが信頼できるか否かを常に確認し続けるため、不正アクセスによる侵入者が悪意ある行動を取ったときに、迅速に検知することができます。

　二つ目のメリットは、ユーザーの利便性を損なわずセキュリティ対策を強化できることです。ゼロトラストでは、ユーザーごとでのアクセスや行動のログを細かく把握することができます。そのため、BYOD（Bring Your Own Device）やリモートワークにおいても、アクセスするデバイスや地域などにとらわれず、セキュアなネットワーク環境を提供することができます。

　以上が、ゼロトラスト導入によって企業にもたらされる利点です。情報セキュリティを強化しながら柔軟性や生産性を向上させ、かつコストも削減することが可能です。企業において情報漏えいやサイバー攻撃への対策強化が求められる現代において、ゼロトラストは有力な選択肢と言えるでしょう。

ゼロトラスト・セキュリティ導入のための3ステップ

情報セキュリティ強化と利便性向上が期待できる「ゼロトラスト・セキュリティ」。応分野が多岐にわたるため、どこから手を付ければよいのか分からない、という方も多いのではないでしょうか。そんな方のために、NTT東日本からゼロトラスト・セキュリティ ソリューションをご提案します。

　前提として、ゼロトラストは情報セキュリティの「概念」であって、特定のソリューションやパッケージではありません。企業がゼロトラストを導入するにあたっては、自社が重視したい要件を確認し、目的に合致したセキュリティのソリューションやパッケージを組み合わせることが必要になります。

　ゼロトラストを実現するためのソリューションはいくつもありますが、これから検討をしていく場合には、以下のような流れを意識していくことがポイントとなります。

　まず、ゼロトラストにおいて重要な「ID管理」やサイバー攻撃に効果的な「デバイスセキュリティ」を中心に整備していきます。

　IDセキュリティには、ID認証やIDパスワード管理、シングルサインオン (SSO)、アクセス制御などクラウド管理できるサービスが存在します（IDaaS：Identity as a Service）。

　デバイスセキュリティには、PCやスマートフォンといった端末を一元管理するシステム（MDM：Mobile Device Management）とエンドポイントの状況および通信内容などを監視し、標的型攻撃やランサムウェアなどによるサイバー攻撃を検出/発見して、対処するソフトウェア（EDR：Endpoint Detection and Response）が有効です。

　上記が整ったら、次のステップとして「クラウドセキュリティ」に着手します。

　ソリューションとしては、クラウドサービスの利用状況を可視化/制御することで一貫性のあるセキュリティポリシーを適用するサービス（CASB：Cloud Access Security Broker）に加え、クラウド型プロキシによってWebアクセスのURLやアプリケーションフィルタ、アンチウイルス、サンドボックスなどの機能を提供するサービス（SWG：Secure Web Gateway）が挙げられます。

　これらのソリューションは、社内外のネットワーク経路変更が必要となるため製品の選定は慎重に行い、段階的に移行していくことが大切になります。

　SASE（Secure Access Service Edge）は、ゼロトラストとしばしば混同される概念ですが、両者には重要な違いがあります。

　まず、SASEは米国の調査会社が提唱したもので、VPNやリモートアクセス、ファイアウォールやウイルス対策などを統合した情報セキュリティの機能を、クラウドを利用して一体的に提供する考え方です。これにより、企業は従来の分散型のセキュリティインフラを統合し、効率的かつ簡略化されたアプローチを取ることができます。

　一方、ゼロトラストは信頼性に基づくアプローチであり、すべてのアクセスを厳密に検証します。ゼロトラストは、「不信任」を前提としており、認証・認可・暗号化などのセキュリティプロトコルを用いてユーザーとデバイスの正当性を確認します。ゼロトラストはアクセス制御のためのフレームワークとして最適化されており、信頼できるユーザー認証によってアクセス環境を提供することについては、ゼロトラストネットワークアクセス（Zero Trust Network Access、ZTNA）とも呼ばれています。

　ゼロトラストの概念を、クラウドサービスを活用して実現するのがSASE、という捉え方もできます。企業は従来の境界や信用を超えてセキュリティを確保する必要があります。SASEとゼロトラストの組み合わせによって、効率的で堅牢な情報セキュリティアーキテクチャを構築することが可能となるでしょう。

　ゼロトラスト導入は、企業にとって重要な決断ですが、その実現にはいくつかの課題が存在します。ここでは、ゼロトラストをスムーズに導入するためのヒントについて考えてみましょう。

　導入時の最初の課題は、既存のネットワークアーキテクチャやセキュリティポリシーとの整合性です。従来のアプローチでは、信頼された内部ネットワークを前提としているため、既存のシステムとゼロトラストの原則とを照らし合わせて適切な変更やアップデートを行う必要があります。

　次に考えるべき課題は、ゼロトラストへの移行に関わる時間とコストです。新しいセキュリティエコシステムを構築するためには人員や予算が必要です。そのため、移行計画を立てる際には、リソースの確保とスケジュールの調整が重要です。

　さらに、ユーザー体験とセキュリティ強化のバランスも考慮すべきです。ゼロトラストでは、従来のネットワークアクセスよりも多くの認証プロセスが必要となります。結果的に、ユーザーは煩雑な手続きや遅延を経験する可能性があります。この問題を解決するためには、自動化技術やシングルサインオン（SSO）などの新たな方法を活用し、使い勝手を向上させることが求められます。

　最後に、情報共有やコラボレーションを円滑に行うためには、パートナーやサプライヤーとの連携も重要です。ゼロトラストでは信頼できるエンドポイントへのアクセス制限が行われるため、他社との連携に対して制約が生じる場合があります。しかし、外部関係者へのセキュアな通信を実現するためには、ゼロトラストを適切に構築・運用する必要があります。自社での対応が難しい場合は、外部の専門家を活用することも検討しましょう。

　ゼロトラストは今後ますます重要性を増していくでしょう。モバイルデバイスやクラウドサービスの普及により、従来の企業内ネットワークだけでなく、外部へ接続する要素も増えています。そのため、企業が保有する情報のリスク管理がますます困難になっています。これからも新たな脅威や攻撃手法が登場することは間違いありませんから、より柔軟かつ強固なセキュリティフレームワークが求められるでしょう。

　技術の進化・発展や環境・ワークスタイルの変化に伴い、新たな情報セキュリティ上の脅威が生まれる可能性もあります。企業が情報セキュリティを保つためには、常に最新技術や脅威に対する知識をキャッチアップしていくことも大切になります。ビジネスニーズに合わせた最適なゼロトラスト戦略を策定し、安全かつ効果的なビジネス運営を実現していきましょう。

ゼロトラスト・セキュリティ導入のための3ステップ

情報セキュリティ強化と利便性向上が期待できる「ゼロトラスト・セキュリティ」。応分野が多岐にわたるため、どこから手を付ければよいのか分からない、という方も多いのではないでしょうか。そんな方のために、NTT東日本からゼロトラスト・セキュリティ ソリューションをご提案します。