全3201文字
PR

 新型コロナウイルスの流行により緊急事態宣言が出た首都圏などでは、出勤者の7割減が求められている。このため、多くの企業がテレワークなどの新しい働き方へのシフトが要求され、業務を支える企業システムもその対応に迫られている。

 そんな中、セキュリティーの仕組みとして「ゼロトラスト」が注目されるようになった。従業員が外部から社内ネットワークにつなぐテレワークでは、既存のシステムで採用される「境界型防御」よりゼロトラストのほうが攻撃を防ぎやすいといわれている。

 では、ゼロトラストはテレワークセキュリティーの救世主になるのか。結論からいうと、境界型防御を採用するシステムではゼロトラストが救世主にならないだろう。ゼロトラストを短期間で導入するのは困難だからだ。これから新規でシステムを構築する企業であっても、境界型防御より導入コストがかかるゼロトラストの導入に迷う経営者はいるだろう。

 今回は、ゼロトラストがテレワークセキュリティーにおいてなぜ境界型防御より優れるのか、境界型防御のシステムにゼロトラストを追加するのがどうして難しいのかを解説する。

ゼロトラストはすべてを信用しない

 ゼロトラストと境界型防御の大きな違いは、何を信用して何を信用しないかという点である。

 ゼロトラストの議論は、2004年ごろに発足したセキュリティーの非境界化に関する国際標準化グループで始まった。この中で様々な議論が進み、2020年に米国国立標準技術研究所(NIST、National Institute of Standards and Technology)がゼロトラストアーキテクチャーのリポート「SP800-207」を発表した。これが、実質的なゼロトラストのレファレンスになっている。

 SP800-207では次に示す7つの考え方を基本として、「すべてを信用しない」というコンセプトになっている。しかしこの考え方には概念的な部分が多く、直観的には理解しにくいだろう。

〔1〕すべてのデータソースとコンピューティングサービスをリソースと見なす
〔2〕ネットワークの場所に関係なく、すべての通信を保護する
〔3〕企業リソースへのアクセスをセッション単位で付与する
〔4〕リソースへのアクセスは、クライアントID、アプリケーション/サービス、リクエストする資産の状態、その他の行動属性や環境属性を含めた動的ポリシーによって決定する
〔5〕すべての資産の整合性とセキュリティー動作を監視し、測定する
〔6〕すべてのリソースの認証と認可を行い、アクセスが許可される前に厳格に実施する
〔7〕資産、ネットワークのインフラストラクチャー、通信の現状について可能な限り多くの情報を収集し、セキュリティー体制の改善に利用する

 またゼロトラストを実現する前提として、社内ネットワークは信頼できる区間ではないこと、社内資産であっても企業所有の物ではない可能性があること、利用資産が社内ネットワークの外部にあること(例えばクラウドサービス)を意識すること、資産が移動する際に同一のポリシーを適用することなどを、SP800-207の中で挙げている。

 SP800-207を満たすゼロトラストのシステムとは、簡単にいえば次をすべて実現するシステムのことである。

●パソコンやモバイル端末はすべて管理、監視、制御可能な状態とする

●社内ネットワーク、社外ネットワークに関わらずすべての通信を保護する

●社内データやクラウドサービスについても個人の認証・認可を動的なポリシーで(例えば接続環境の変化なども含めて)都度行う