ゼロトラストとは？分かりやすく解説！実現に必要な対策機能も紹介

リモートワークやクラウドシフトの普及により、「ゼロトラスト」という新しいセキュリティの考え方が注目されています。

しかし、企業担当者のなかには「ゼロトラストとは具体的にどんな考え方なのか、実現するにはどうしたらいいのか」という方も多いのではないでしょうか。

本記事では、ゼロトラストの概要や重要視される背景、メリット、デメリット、実現に必要な対策機能をまとめました。

ゼロトラストとは？

ゼロトラストとは、「全てのネットワークを信頼せず、厳しく検証する」という次世代セキュリティの考え方のことです。

ゼロトラストはバズワードでなく、構想から10年以上が経過している概念です。2010年に米FressterResearch社が従来のセキュリティの限界を提唱し、ゼロトラストの考えを発表しました。

その後、米グーグルが約8年をかけ、ゼロトラスの概念で社内セキュリティを全面的に再構築したことで、ゼロトラストが広く知られるようになったのです。

ゼロトラストと境界防御セキュリティの違い

従来のセキュリティ対策は、「社内ネットワークは安全・外部のインターネットは危険」と区切りをつける「境界型防御」が主流でした。

社内ネットワークとインターネットの境界に、ファイアウォールなどのセキュリティ対策を講じ、外部からの侵害と内部からの情報漏洩を防ぐことで、社内のセキュリティを確保していました。

一方、ゼロトラストは「全てのネットワークを危険とみなす」という概念のため、社内からのアクセスであっても社外と同じように疑い、検証する必要があります。

ゼロトラストを実現するには、セキュリティレベル全体を高めることが不可欠です。

ゼロトラストが重要視される背景は？

多くの企業でゼロトラストの導入が重要視されている背景は、主に以下の3点が挙げられます。

①業務システムのクラウド化

クラウドサービスの利用拡大により、社内の重要資産の一部を外部と連携することが一般化しました。その結果、社内・社外の境界が薄れ、新たな対策が必要となったのです。

②リモートワークの普及

新型コロナ感染症の流行でリモートワークが普及したことも大きく、組織のモバイルデバイスが公共のネットワークに接続される可能性が出てきました。

その結果、マルウェアの感染リスクやネットワーク通信の盗聴、モバイルデバイスを経由した社内ネットワークへの不正侵入のリスクが急速に高まっています。

加えて、リモートワークで従業員の管理に目が届かなくなり、シャドーITのリスクも出てきました。セキュリティの脆弱性につながるシャドーITについて詳しく知りたい方は、以下の記事も確認ください。

関連記事：「シャドーIT対策とは？CASBや事例についても解説」

③サイバー攻撃の高度化

サイバー攻撃の手法が高度化していることも大きな理由の一つです。
従来の境界型防御では社員1人がマルウェアに感染すれば、社内ネットワーク全体が侵害され、甚大な被害に遭います。

高度化するサイバー攻撃の被害を最小に抑えるには、社内のネットワークであっても都度端末を検証することが重要です。

ゼロトラストのメリット・デメリット

ゼロトラストを実現することのメリット・デメリットを、運用側と従業員側の観点で紹介します。

メリット

運用側のメリットは、主に以下の3点が挙げられます。

• クラウド化をしてもセキュリティが維持できる
• 制御ポイントを把握することで、コスト面の計画が立てやすい
• リモートワークの拡大が可能になり、生産性の向上につながる

対する従業員のメリットは、以下の通りです。

• 今まではセキュリティの観点で社内でしか使用できなかったデータが、クラウド化により、

リモートワークでも使用可能になる

• 場所にとらわれない働き方が可能になり、満足度の向上につながる

デメリット

ゼロトラストには多くのメリットがありますが、反面デメリットも存在します。メリットだけではなくデメリットも把握し、リスクに備えましょう。

運用側には、以下のようなデメリットがあります。

• 複数のサービスや製品で実現する必要があるため、必要な制御レベルを明確にし、セキュリティ全体の見直しが必要になる
• セキュリティ運用ポリシーの再検討が必要になる

従業員側のデメリットは、以下の通りです。

• セキュリティレベルが上がることで手順が増え、運用直後は不便になったと感じる

ゼロトラストの実現に必要な7つの対策機能

ゼロトラストはセキュリティ対策の概念のため、実現方法は様々です。
一つの製品や対策で実現できるものではなく複数の対策機能を組み合わせて、自社にとっての最適解を目指す必要があります。

ゼロトラスト実現に重要な対策機能は、主に以下の7点です。

[1]利用者認証

サーバーが、利用者・端末を厳しく認証する必要があります。
IDとパスワードのみでの利用者認証は不十分なため、多要素認証を取り入れることで対策が可能です。

多要素認証とは、「知識情報」「所持情報」「生体情報」のうち、2つ以上を組み合わせて認証する方法を指します。

[2]業務アプリケーションの利用認可

業務アプリケーションに接続する際も、多要素認証による厳格な利用者・端末の認証が都度必要になります。

[3]サイバー攻撃の検知・防御

セキュリティ情報イベント管理(SIEM)などの導入で、対策が可能です。

SIEMとは、ログを管理することで端末内での異常な動きを検知し、攻撃を未然に防ぐ機能です。

[4]利用者のWebアクセス管理

セキュアWebゲートウェイ（SWG）などの導入で対策が可能です。

SWGとは、アクセス先の安全性を評価し、安全でないと判断した場合はアクセスを遮断する機能です。

[5]外部からの業務アプリケーション利用

VPNから、アイデンティティ認識型プロキシ（IAP）に切り替えることで対策が可能です。

IAPとは、利用者がアプリケーションを利用する度に、認可し直す機能のことです。不正アクセスの疑いがある場合は接続させなかったり、多要素認証を再度し直したりすることで、不正アクセスを防ぎます。

VPNを使ったネットワーク構成のままゼロトラストを実現する方法を知りたい方は、こちらの記事も参考にしてください。

関連記事：「SDPとは？特徴やVPNとの違い、導入に適した企業を解説」

[6]端末管理

セキュリティポリシーに反する端末を使わないことや、内蔵カメラの機能制限などで端末を保護することで、端末を管理します。また、企業、組織が貸し出した端末でないと業務アプリケーションにアクセスできないようにする対策も可能です。

[7]端末保護

エンドポイントディテクション&レスポンス（EDR）などの導入で対策が可能です。

EDRとは、あらゆるサイバー攻撃から端末を守るアンチウイルスソリューションのことです。未知の攻撃を未然に防ぎ、攻撃された場合でも拡大を食い止められます。

まとめ

ゼロトラストとは、「何も信用しない」という考え方を基本としたセキュリティ対策のことです。

凶悪化するサイバー攻撃を防御し、リモートワークやクラウドシフトなどの新しい業務システムに適応できるセキュリティ対策として、今後の主流になっていくでしょう。

ただし、ゼロトラストにもメリット・デメリットが存在するので現状のセキュリティレベルや運用方法を整理した上で適切に導入することが大切です。

自社に必要な対策を講じ、社内セキュリティの安全を確保しましょう。