COLUMN

1. なぜゼロトラストセキュリティを導入したのか

1-1. NTT東日本が実現したい働き方

はじめにNTT東日本がゼロトラストセキュリティを導入するに至った背景について簡単にご紹介します。きっかけは2020年に突如始まったコロナ対応に遡ります。社員の安全を確保するため、あらゆる業務でリモートワークすることを目指したものの、リモートアクセスサーバのリソース不足が露呈し、安定した業務が行えないこと、業務用仮想マシンのスペックが足りずTeams等のコミュニケーションツールがまともに動かないこと、リモートで実施可能な業務が規制されている等、さまざまな課題に直面しました。そのような背景も踏まえ、NTT東日本は社員の業務環境の利便性向上を追求することを重要事項と捉え、生産性を更に高くしながらも、いつでもどこからでも快適に働ける状態を作り出すという方針を定め、具体的にどういう働き方を可能とすべきなのか、実現すべき具体像を模索しました。掲げた具体像は、以下のとおりです。

上記の具体像をベースに「新しい働き方」について4つの目標を掲げました。

以上の内容を検討した結果、クラウド型のテレワーク環境を軸にセキュリティの検討をすることとしました。

1-2. 理想を実現するための環境に必要な要件の洗い出し

目標実現にむけて、導出したセキュリティ要件を以下に示します。

この要件は、自然とゼロトラストセキュリティモデルの各構成要素を検討することに行きついており、ゼロトラストセキュリティモデルの意味や各要素の役割を調査していきました。このような過程で弊社が考えるセキュリティ要件を洗い出しましたが、それぞれの環境で必要とするセキュリティ要件はさまざまであるという点も抑えておくべきポイントとなります。

ゼロトラストセキュリティを導入したいが、何からはじめたらよいかわからない、最適なソリューションがわからないなどNTT東日本のセキュリティエンジニアが無料でご相談をおうけいたします。ぜひ、お気軽にお問い合わせください。

2. ゼロトラストセキュリティを考えてみた

本項では前述の要件からどのような機能要件を定義したのかという点を書いていこうと思います。

2-1. 会社リソースへのアクセス制御要件を考えてみた

まず初めに会社リソースへのアクセスは、安全が判断できるデバイスのみをフルコントロールアクセスを許容し、安全かどうかを判別できないデバイスについては、制限付きでアクセス許可をすることを考えました。つまり、クラウドからデバイスを集中制御し、会社のポリシーに準拠した場合は安全なデバイス、そうでない場合は非準拠デバイスとして制限付きアクセス許可をする方針を取りました。

2-2. 準拠デバイスの端末仕様を考えてみた

次に、準拠デバイスの端末仕様について考えていきます。

端末仕様は、周辺機器との接続等に関する機能制御やセキュリティ対策機能に大別して考えます。

機能制御については、準拠デバイスが乗っ取られるリスクや内部不正によって情報漏えいが発生する恐れがあるという観点から、侵入経路の最小化に向け外部記憶媒体やLANアクセス等のデバイス制御を行うこととしました。また、セキュリティ機能については、巧妙なサイバー攻撃の振る舞いを検知し、対処できることを要件にしました。

この要件の背景として近年、高度化するマルウェアに対し、アンチウィルス製品で検知可能な検体は全体の10%程度(*1参照)と言われており、残り90%はアンチウィルス製品をすり抜けると言われています。このため、サイバー攻撃の振る舞いを検知し、対応措置を可能とするEDRの導入は必須にしました。

*1 もはや既存のアンチウイルスソフトでは防げない！

2-3. ユーザー、コラボレーターの認証要件を考えてみた

アクセス可能とする準拠デバイスを如何にセキュアにしても、特権を保持した利用者のＩＤがフィッシング攻撃などで盗まれてしまっては、被害が甚大なセキュリティインシデントを招く恐れは回避できません。そのため、不要なIDの払い出しは行わないとした上で、利用者の認証を強固にしつつ、更に利用者のID毎にアクセス可能な範囲を限定する要件を加えました。結果、認証基盤に対しては、シングルサインオンと多要素認証が機能要件に加えました。

2-4. サイバー攻撃及び内部不正対策の機能要件について考えてみた

デバイスを判別し、EDRを導入し、利用者のIDを厳格に管理しても全てのサイバー攻撃や内部不正リスクに対応することはできません。そこで重要になるのがセキュリティ監視と監査です。セキュリティオペレーションセンター(SOC)にて24時間365日不審な挙動を監視し、ポリシーに違反しているものがあれば速やかに対処することを要件に加えました。しかし、全ての不審な振る舞いをセキュリティ監視で検知できないため、ログ点検等の監査を行うことも要件に加えました。

ゼロトラストセキュリティを導入したいが、何からはじめたらよいかわからない、最適なソリューションがわからないなどNTT東日本のセキュリティエンジニアが無料でご相談をおうけいたします。ぜひ、お気軽にお問い合わせください。

3. ゼロトラストセキュリティ導入後の変化

次に、これらの機能要件を実装し、実際に運用により発生したメリット、デメリットについてご紹介します。どのようなソリューションを用いて、どのような制御を行ったのかは、次回以降にご紹介します。

3-1. 導入のメリット 良い変化

職場を会社からクラウドへ移行したことで多くのシーンにおいて、リモート環境でも出勤時以上の生産性向上と、セキュリティの確保が可能であることが分かり、更に積極的なリモートワーク(ハイブリッド含む)が実践できています。 (2023年10月ベースでリモートワーク率62.2%)

リモートワークのメリットとして私が大きいと感じる部分は朝夕の通勤時間が無くなり、荒天時や事故による足止めの影響を受けることが回避され、その時間を余暇に充てることができるようになったことです。従来よりもリフレッシュする時間が増えて業務へのモチベーションが向上したように感じています。

そんなリモートワークを支えるゼロトラストセキュリティのエンジニアから見たメリットは、利用者・デバイス・権限を一括コントロールすることで情報漏えいリスクを最小化できていること。また、制御しきれない部分があっても多面的なセキュリティ監視・監査によっていかなる場合も調査しきれるようになったことが最大のメリットです。

副次的効果としては、デバイスのキッティングが挙げられます。あらかじめ登録しておいた設定を自動で読み込んでくれるため、ユーザーが設定する手間や、業務の時間を圧迫することがなくなり、キッティングに要する手間は従来の90%以上削減され、その他の業務に効率的に時間を使えるになったと思います。

3-2. デメリット 今後の課題

新しい製品や考え方を取り入れた結果がすべて良いとは限りません。同時に以下のような困りごとも発生しております。

• 在宅業務の割合が増える一方で、全ての社員が恵まれた在宅勤務環境を準備し、円滑にコミュニケーションできているわけではないことが判明しました。
• セキュリティエンジニア目線から見たデメリットは、IDやデバイスの制御の設計が非常に複雑で、設計の不備や考慮漏れによるユーザー影響が大きいため、日々の業務に対するプレッシャーが高まりました。
• 組織ごとに利用しているSaaS含む個別アプリケーションが多く、セキュリティリスク評価やセキュアに運用するためのAPI連携の検討に苦慮しています。

このような課題については、環境の充実やコミュニケーション強化に向けた施策の発信や、専門知識を持つスペシャリストによる運営が必要になります。

ゼロトラストセキュリティを導入したいが、何からはじめたらよいかわからない、最適なソリューションがわからないなどNTT東日本のセキュリティエンジニアが無料でご相談をおうけいたします。ぜひ、お気軽にお問い合わせください。

4. まとめ 製品を導入して終わりではない

今回のコラムではNTT東日本がゼロトラストセキュリティを導入した目的、必要とした機能要件、実際に導入した際のメリットやデメリットについて記載させていただきました。皆さまの参考になりましたら幸いです。

これまで触れてきた通り、ゼロトラストセキュリティモデルは、ソリューションを入れたら安泰となり、1度ポリシーを作成したら見直し不要ということはありません。

これまで以上に細かく制御や監視をしている反面、デバイスやOS、アプリケーションの拡張、利用者要望に合わせたポリシー再考やセキュリティ監視、監査の最適化を行うことがセキュリティを保つ上で非常に重要になってきています。

これらの詳細については、今後のコラムでより詳細にご紹介予定ですので、ご期待ください！

次回はNTT東日本がどんなソリューションでゼロトラストセキュリティを構築したのかについて紹介していこうと思います。

また、これからゼロトラストセキュリティの導入を考えているが、自分たちではやりきれない、何をしたらいいかわからないという皆さま、是非、NTT東日本へご相談ください！私たちのノウハウで皆さまの新しい働き方を全力サポートいたします！

ゼロトラスト・セキュリティ導入のための3ステップ

ゼロトラストセキュリティを導入したいが、何からはじめたらよいかわからない、最適なソリューションがわからないなどNTT東日本のセキュリティエンジニアが無料でご相談をおうけいたします。ぜひ、お気軽にお問い合わせください。