ゼロトラストは何かわかりやすく解説！5つのメリットやデメリットについて

• 2023.4.26 (水)
  Posted by NTT東日本

「ゼロトラストとはどのような意味なのかわからない」「自社で活用できるのか知りたい」とお悩みの方が多いのではないでしょうか。

ゼロトラストとは、社内外のネットワークをすべて信用しないことを前提にして、セキュリティレベルを向上させる概念です。従来の社内ネットワークを安全とする考え方では、デジタル化が進む現代では対応に限界があるため、ゼロトラストにより情報セキュリティ対策をより強固にしなくてはなりません。

そこで本記事では、ゼロトラストの意味やメリット、導入すべき要素までを解説します。ゼロトラストの意味やメリットを理解し、導入に一歩踏み出しやすくなりますので、ぜひ最後までお読みください。

ゼロトラストについて理解する前提として、従来のセキュリティシステムについての理解が必要です。日本のセキュリティシステムは、社内のネットワークが安全とされ、社外はすべて危険とする「境界型」で構築されています。

一方で、ゼロトラストは、社内外におけるすべてのネットワークを危険とみなす考え方です。システムにアクセスをした人間が誰であろうと、利用のたびに安全確認を実施します。

現在問題視されているのは、テレワークやデバイスの多様化の影響で、社内と社外の境界があいまいになっていることです。社内ネットワークのみ安全とする従来システムのままでは、外部端末からのアクセスを正常に監視できているとは言えません。

不十分な監視体制のままだと、ウイルスの侵入や不正アクセスなどの被害を受け、業務停止につながる可能性があります。そのため、従来のセキュリティ方法では限界がきている現状を、ゼロトラスト導入によって解決する動きが注目されています。

進化するICT技術を有効に活用するためにも、ゼロトラストの概念が必要とされています。従来の情報セキュリティ対策では、社内外のネットワーク境界が曖昧になるデジタル社会に付いていけなくなる可能性があるでしょう。

テレワークは、個人所有の端末から社内システムにアクセスするケースが珍しくありません。セキュリティ監視ができない端末を利用すると、情報漏えいが起きる可能性があるため、ゼロトラスト導入でセキュリティレベルを上げる必要が出てきます。

また、VPNの使用で生産性がダウンする問題を解決できるのもメリットです。VPNとは、外出先でも社内ネットワークにアクセスできるシステムのことです。

テレワークの普及でVPNへのアクセスが集中した際に、動作が重くなり、生産性がダウンする企業が続出しました。ゼロトラストの考えをもとにシステムを構築すれば、VPNを経由せずとも、快適にテレワークができるしくみ作りが可能です。

クラウドサービスとは、ネットワークを経由してさまざまな情報にアクセスするシステムの総称です。企業の契約書や請求書など、あらゆる紙媒体を電子化する動きが始まっていますが、データ保管において社内外の境界線が失われてしまいます。

対策をしないままでは、不正アクセスによる社内情報の漏えいが考えられるでしょう。ゼロトラストならクラウドサービスを主軸としてシステムを構築しているため、高度なクラウドセキュリティ導入が前提とされており、安全なやり取りが期待できます。

企業が情報漏えいをするきっかけに、内部不正があります。内部不正とは、社内の人間が組織外に情報を流すことで、故意によるものだけでなく意図しない漏えいも内部不正に含まれます。

原因の1つには、社内ネットワーク内の監視が不十分なセキュリティ状況が挙げられるでしょう。ゼロトラストであれば、すべての情報を信頼しない考えを持つため、社内不正への対策も施せます。

ゼロトラストの導入で、セキュリティリスクの低減が期待できます。また、業務拡大に貢献できるしくみの構築も可能です。

多様な働き方とは、働く場所や時間を選ばない勤務形態のことです。たとえば、テレワークやシェアオフィスなどが多様な働き方に該当します。

従来のシステムでは、インターネットを安全に運営するための施設「データセンター」にアクセスが集中し、動作が重くなるという問題がありました。ゼロトラストを導入すれば、データセンターを経由しないシステム構築ができ、どこにいても快適なアクセスが可能です。

ゼロトラストであれば、働く場所によって生産性が低下せず、多様な働き方が実現できるでしょう。

ゼロトラストで構築したネットワークであれば、社外だけでなく、社内への情報セキュリティ対策も実現できます。そのため、情報漏えいリスクの軽減が可能です。

あらゆるデバイスや使用アプリケーションに監視の目が行き届くようになり、個人所有端末を使うテレワークにも対応できます。

ゼロトラストなら、人材の流動化にも対応可能です。人材流動化とは、人が企業間を移動して市場が活性化している状態を指します。

ゼロトラストが浸透している企業であれば、さまざまな雇用方法に対応ができ、人材獲得がしやすくなります。流動的な人材の採用には、働く場所や時間を限定して、スキルを重視した雇用が求められるためです。

人材流動化が進むにつれ、ライバル企業との優秀な人員の取り合いが予想されます。とくにデジタル技術をもった人材は重宝される可能性が高いため、ゼロトラスト導入により採用要件を満たせる企業になるでしょう。

従来の情報セキュリティは、さまざまな外部からのリスクに対して、複数の対策機器を用意している状況です。そのため、管理の手間も、対策をした数だけ増えてしまいます。

ゼロトラストであれば、各セキュリティをクラウド上で一元管理でき、多くの機器を必要としません。運用や管理の効率化につながり、システム担当者が他の業務へ集中できるしくみが整うでしょう。

ゼロトラストによりセキュリティに柔軟性が増すと、外部から新しい技術を吸収しやすくなります。新技術の取り入れにより、業務拡大が期待できるでしょう。

業務拡大が考えられる方法として、企業のDX化が挙げられます。DXとは、AIのような最新デジタル技術を活用する動きのことです。

本来はシステム上導入が難しいものでも、ゼロトラストの情報セキュリティ対策により、対応できる範囲が広がります。

ゼロトラストは画期的なセキュリティシステムですが、メリットばかりではありません。後悔しないためにも、導入の際はデメリットについても理解しておく必要があります。

ゼロトラストを実現させるためには、現在のしくみを根本から見直すケースが多く、導入コストがかかる傾向があります。あらゆるシステムがクラウドに置き換わることから、主に以下のようなコストが発生します。

• ID管理システム強化
• デバイス管理の強化
• クラウドセキュリティ導入
• セキュリティ自動監視システム導入
  

どの程度費用が発生するかは、企業の状況によりさまざまです。さらに、徐々にしくみを切り替えていくことから、従来のセキュリティと導入の重複が考えられます。そのため、重複期間中のコスト増大を考慮しなければなりません。

新しく導入したシステムに関しても、ランニングコストが発生します。とはいえ、セキュリティレベルが上がりサイバー攻撃や不正アクセスによる損害・信用失墜を防げる可能性が高くなると考えると、導入する価値はあるでしょう。

ゼロトラストは、あらゆる媒体からアクセスをするたびに認証作業が必要になります。認証システムは、社内外のアクセスを信用しないことが大元の考えとなるため、必ず導入しなければなりません。

いままでストレスなく利用していた簡素なシステムでも、都度認証を行う必要があり、利便性が一部下がる可能性があります。

ゼロトラストの概念を徐々に取り入れる過程で、企業のセキュリティルールが変わっていきます。

そのため、ICT担当者への質問やサポート依頼の増加が考えられるでしょう。

ICT担当者の業務負担が大きくなると、ゼロトラスト運用の効率が落ちる可能性があります。ゼロトラスト導入成功のためには、一部外部委託を実施して、担当者への負担を軽くすることも考えなければなりません。

NTT東日本のおまかせクラウドアップセキュリティであれば、マルウェア感染時や、侵入が疑われる段階の駆除支援が可能です。また、日々のお困りごとに関するサポートも受けられるため、万が一のときのICT担当者の負担が大幅に減るでしょう。

さらに、ウイルス付きのメールが届いた後に検知またはブロックする機能を有しており、社員が安全にインターネットを使用できます。セキュリティレベルをあげつつ、ICT担当者をゼロトラストの概念吸収に集中させたい方は、積極的に導入を検討してください。

「おまかせクラウドアップセキュリティ」の詳細はこちら

ゼロトラストに導入すべき主な6つの要素を理解しておけば、導入イメージがしやすくなります。また、自社に足りていない部分がなにかを確認するきっかけにもなるでしょう。

EDRとは、端末の挙動を常時記録して分析できるシステムのことです。従来のシステムでは監視しきれなかった個人所有のデバイスも、すべて異常検知の対象です。

EDRの導入により、あらゆる端末への不正アクセスや、マルウェアの攻撃などを早期に検出します。検出後には、ログ分析による原因や影響範囲の特定だけでなく、原因ファイルの削除・復旧も行います。

EDRについて詳しく知りたい方は、別記事「EDR」をあわせてご確認ください。

MDMは、会社の携帯やタブレット端末のようなモバイルデバイスのセキュリティ強化ができるしくみです。遠隔での一元管理により、社員の不正利用のリスクを減らせます。

紛失の際も、リモートで操作ロックをかけられるため、情報漏えいのリスクを減らせるでしょう。また、端末のアップデート作業はICT担当者が管理画面でおこなえるため、各社員に委ねる必要がなくなります。

サーバーやパソコンなどの端末自体を管理するのがEDRなのに対し、ネットワーク内で起きる端末の不正を監視できるのがSWGです。企業で利用する端末に、場所を問わず同等のセキュリティを付与し、ネットワーク内の不正利用を防ぎます。

社内で許可されていないアプリケーションの利用制御もできるため、フリーソフト利用が原因の情報漏えいリスクをなくします。

ZTNAは、ネットワークのアクセスを許可するためのルールを作る機能を持っています。企業で取り決めたパターンの範囲内でのみログインを許可するため、不正アクセスの防止につながります。

ZTNAは、外部から社内ネットワークに入り込む際に使用するVPNと比べて、動作性に優れているのも特徴です。データセンターを経由しないため、アクセスが溜まっても動作が遅くなることがなく、どこにいても快適で安全に業務を継続できます。

CASBは、クラウドセキュリティを強化するために必要な仕組みです。クラウドが企業ネットワークの中心となるゼロトラスト環境では、CASBの対策は不可欠です。

CASB利用により、クラウドサービス利用時のアクセス状況を可視化し、不審な動きの検知ができます。また、企業が定めたルールに則ってのみアクションを実行できるため、禁止されたアプリケーションのインストールなどの防止が可能です。

SOCは、サイバー攻撃専門に作る社内組織です。高度なセキュリティが必要となるゼロトラストでは、SOCの存在が欠かせません。主に、以下のような業務を行います。

• セキュリティ状況の監視
• サイバー攻撃時の復旧対応
• 社員からの問い合わせ対応

運営においては、SOCとして機能できる人材が社内にいなかったり、採用できなかったりする問題が考えられます。そのため、社内で組織を作らず外部委託するのも1つの手です。

社会のデジタル化が進むなかで、従来のセキュリティ方法では対応が限界になっているのが現状です。そのため、ゼロトラストの導入で柔軟な情報セキュリティ対策が求められます。

とはいえ、ゼロトラストの導入にはどうしても時間とコストが発生します。そのため、一気に変えるのではなく、徐々にゼロトラスト化する方法も1つの手です。たとえば、サービスの一部をクラウドに移行すれば、ゼロトラスト化に近づいたといえるでしょう。

NTT東日本のおまかせクラウドアップセキュリティであれば、クラウド移行時の情報セキュリティ対策が可能です。クラウド上のメールに届く不審なファイルを検知し、社員に届く前に駆除します。

万が一ウイルス感染が起きても、サポートへ駆除の代行を依頼できます。ゼロトラストの導入を進めて、社員がより働きやすい企業にしたい方は、お気軽にお問い合わせをしてください。

ページの先頭へ

おまかせサイバーみまもりのトップに戻る