概要
この記事の主なポイント：
ゼロトラストの考え方：すべてのユーザー、デバイス、リクエストをデフォルトで信頼せず、境界に依存するのではなく継続的に検証します。
中核となる構成要素：監視とインシデント対応、MFA、最小権限アクセス、強力な暗号化を組み合わせて、ラテラルムーブメントを減らします。
「ツールのインストール」よりロードマップを重視：ゼロトラストの導入は、明確な優先順位、マイルストーン、測定可能な統制を備えた段階的なプログラムとして進めるのが最も効果的です。
データ中心の保護：機密性の高いリソースとID、特にあらゆる場所へのアクセスを可能にする認証情報の保護を中心にセキュリティを構築します。
すぐに得られる成果：まず認証、認証情報の衛生管理、アクセスガバナンスを強化し、モデルを成熟させながらセキュリティ体制を高めます。
境界ベースの防御に依存する従来のセキュリティモデルでは、組織が内部および外部の脅威にさらされやすいままになることが少なくありません。ゼロトラストアーキテクチャは、厳格なセキュリティ要件と運用効率のバランスを取るという、テクノロジーリーダーの根本的な課題に対応する最新のアプローチです。このガイドでは、ゼロトラストの意味を説明し、その中核コンポーネントを解説し、ゼロトラストセキュリティモデルを導入するためのロードマップを示します。
ゼロトラストとは？
ゼロトラストは、すべてのユーザー、デバイス、データを、そうでないと証明されるまで潜在的な脅威と見なすアーキテクチャ上のアプローチです。この概念は進化してきましたが、中核となる考え方は変わりません。機密性の高いリソースへのアクセスを許可する前に、すべてのユーザー、デバイス、プロセスのIDを検証することです。
ゼロトラストの考え方は、組織の内外を問わず、すべてのユーザーがアプリケーションやデータへのアクセスを許可される前（または保持する前）に、認証、認可、継続的な検証を受ける必要があるというものです。
ゼロトラスト導入のメリットには、次のようなものがあります。
セキュリティの大幅な向上：ゼロトラストは、機密性の高いリソースへのアクセスを制限することで、組織の攻撃対象領域を縮小します。
リスクの低減：ゼロトラストは、内部脅威、ラテラルムーブメント、外部攻撃によるリスクを最小限に抑えます。
コンプライアンスと規制要件：ゼロトラストは、データ保護と機密保持に関する規制要件に適合します。
ゼロトラストの一般的なユースケースには、次のようなものがあります。
クラウドサービス：クラウドベースのアプリケーションとデータの保護に使用されます。
IoTデバイス：IoTデバイスとネットワークを不正アクセスから保護します。
リモートワーク環境：従業員がリモートで作業したり公共Wi-Fiを使用したりする場合に、組織のセキュリティを確保します。
データセンター：機密性の高いリソースに対するネットワークのセグメンテーションと分離を強化します。
もちろん、ゼロトラストにも相応の課題があります。まず、ゼロトラストではID検証、アクセス制御、監視を管理するために、複雑なインフラストラクチャ、ポリシー、手順が必要です。また、ゼロトラストはリソースを多く必要とし、高度なセキュリティツールと専門知識が求められる場合があります。最後にユーザー導入の課題があり、組織のユーザーは認証のために異なるプロセスを採用しなければならない場合があります。
ゼロトラストでは、次の概念も用いられます。
マイクロセグメンテーションとは、機密性の高いリソースをより小さなゾーン（またはセグメント）に分割し、LANから分離するために使用されるネットワークセグメンテーション手法です。これにより、攻撃対象領域を縮小し、ラテラルムーブメントを制限します。
最小権限アクセスとは、ユーザーとアプリケーションに、タスクの実行に必要な権限のみを付与するアプローチです。この原則は、不正アクセス、データ侵害、その他のセキュリティインシデントのリスクを最小限に抑えることを目的としています。
ゼロトラストの仕組みは次のとおりです。
ステップ1 - 認証：ユーザーまたはデバイスが、安全なチャネル（VPNなど）を通じて自身を認証しようとします。
ステップ2 - 認可：システムが、既知の認証情報に照らしてユーザーまたはデバイスのIDを検証します。
ステップ3 - アクセス制御：認証が成功すると、事前定義されたポリシーと最小権限の原則に基づいてアクセスが許可されます。
ステップ4 - 監視と適用：ネットワークアクティビティを継続的に監視し、不正アクセスを防ぐためにセキュリティルールを適用します。
エンドツーエンド暗号化がゼロ知識への道をどのように切り開くかについては、こちらのホワイトペーパーをご覧ください。
ゼロトラストの例
例 1：リモートで勤務する従業員が、機密性の高い顧客データへのアクセスを必要としている場合。ゼロトラストモデルでは、MFA によってその従業員の ID が検証され、デバイスのセキュリティ態勢が確認されます。また、物理的な場所に関係なく、アクセスは必要なデータのみに制限されます。
例 2：AWS、Azure、Google Cloud などのクラウドプロバイダーは、セキュリティモデルにゼロトラストの原則を採用しています。
例 3：企業は、ユーザーの場所やアクセス権に基づいて、ネットワークをより小さなゾーンに分割します。
例 4：機密性の高いリソースへのアクセスを許可する前にユーザーの ID を検証する、ID 主導型セキュリティソリューションを導入します。
例 5：ノート PC、デスクトップ、モバイルデバイスなどのエンドポイントデバイスにゼロトラストの原則を適用します。
ゼロトラストアーキテクチャの主要コンポーネント
ゼロトラストアーキテクチャには、5 つの主要コンポーネントがあります。
ID 管理
このコンポーネントは、ユーザー ID を検証し、機密性の高いリソースにアクセスする前にすべてのユーザーが認証および承認されていることを確認します。
アクセス制御ポリシー
アクセス制御ポリシーは、信頼されたユーザーのみが特定のリソースにアクセスできるよう、ルールベースのアクセス制御を確立します。
暗号化と鍵管理
これにより、安全な鍵管理の手法を用いて、転送中および保存中のデータの暗号化を確保します。
ネットワークセグメンテーション（マイクロセグメンテーション）
ネットワークセグメンテーションは、ユーザーの役割や機密データのタイプに基づいて、ネットワークをより小さな分離されたセグメントに分割します。
エンドポイントセキュリティ
このコンポーネントは、ラテラルムーブメント攻撃を防ぐための堅牢なセキュリティ対策により、ノート PC、デスクトップ、モバイルデバイスなどのエンドポイントデバイスを保護します。
監視とインシデント対応
ゼロトラストを実現するには、チームは不審な動作がないかシステムアクティビティを継続的に監視するとともに、侵害を封じ込めて修復するためのインシデント対応計画を用意しておく必要があります。
多要素認証（MFA）
MFA を追加すると、複数の検証方法を要求することで組織に追加のセキュリティレイヤーがもたらされ、不正アクセスのリスクがさらに低減されます。これはゼロトラストの中核的なコンポーネントです。
ゼロ知識暗号化
ゼロ知識暗号化により、ユーザーだけが自分のデータにアクセスできるようになります。
提案：ゼロ知識暗号化は、データ自体をいかなる時点でも露出させることなく、意図されたユーザーやシステムだけがデータを表示または使用できるようにし、データのプライバシーを保護します。これはゼロトラストシステムの重要なコンポーネントとなり得ます。
最小権限アクセス
最小権限アクセスでは、ユーザーにタスクの実行に必要な最小限のアクセスのみを付与し、侵害されたアカウントによる潜在的な被害を制限します。
ゼロトラストセキュリティモデルの導入：段階的なロードマップ
ゼロトラストの導入は、単純なソフトウェアのインストールや設定ではなく、戦略的な取り組みです。このセクションでは、テクノロジーリーダーが段階的なアプローチを計画できるようガイドします。ゼロトラストセキュリティの採用を決定する前であっても、成功に向けたロードマップを用意しておくことが重要です。そのロードマップには、少なくとも以下の 5 つのステップを含める必要があります。
ステップ 1：評価と計画
このフェーズでは、新しいモデルへの賛同とサポートを確保するために、IT チーム、管理職、ユーザーなどの関係者を特定することが重要です。
ステップ 2：ID およびアクセス管理の導入
Okta Identity Cloud、CyberArk Idaptive、ForgeRock Identity Platform、SailPoint IdentityIQ、IBM Identity and Access Management など、リアルタイムのユーザープロファイリングと脅威インテリジェンスを提供する ID 管理プラットフォームを導入します。
ステップ 3：ネットワークのマイクロセグメンテーション
VLAN、サブネット、その他の手法を使用してネットワークセグメンテーションを実装し、機密データやリソースを分離します。
ステップ 4：継続的な監視と脅威対応
セキュリティ関連イベントを監視し、リアルタイムの脅威分析とインテリジェンスを提供するために、セキュリティ情報イベント管理（SIEM）システムを導入します。
ステップ 5：反復と最適化
ゼロトラスト展開の各反復は、常に変化する環境に対応するために継続的に進化していくことを理解することが重要です。新たな反復のたびに、分析と監視を通じてプラットフォームをさらに最適化する必要があります。
これらのステップが完了したら、チームがトレーニングとテスト、メンテナンス、エンドポイントセキュリティにどのように対応するかを決定します。
ゼロトラストで行うべきこと
多要素認証（MFA）を実装する：パスワード、2FAコード、トークン、生体認証データなど、複数の認証要素をユーザーに常に要求します。
暗号化を使用する：不正アクセスを防ぐため、機密データは転送中も保存中も暗号化することが必須と考えるべきです。
ネットワークトラフィックをセグメント化する：ユーザーの役割や機密性のレベルに基づいてネットワークを小さなセグメントに分割し、組織の攻撃対象領域を減らします。
アクセス制御を実装する：ルールベースのアクセス制御を確立し、承認されたユーザーのみが組織内の特定のリソースにアクセスできるようにします。
システムアクティビティを監視する：不審な行動がないかシステムアクティビティを継続的に監視し、必要なチームがあらゆる潜在的なセキュリティインシデントに迅速に対応できるようにします。
人工知能（AI）と機械学習（ML）を使用する：AI/MLを活用したセキュリティツールを利用してシステムアクティビティの異常を検知し、潜在的な侵害を防ぎます。こうしたシステムは、人間よりも迅速に問題を検出できます。
定期的なセキュリティ監査を実施する：定期的なセキュリティ監査を実施して脆弱性を特定し、組織のポリシーへの準拠を確保します。これらは反復と最適化にも不可欠です。
ゼロトラストで避けるべきこと
アクセスを過度に制限しない：メールやファイル共有など、正当なユーザー活動を妨げる過度に厳しいアクセス制御は避けましょう。多くの問題を引き起こす可能性があります。
エンドポイントセキュリティを軽視しない：エンドポイントセキュリティの不備は、LAN全体でのラテラルムーブメント攻撃やデータ侵害につながる可能性があります。すべてのエンドポイントに堅牢なセキュリティ対策を導入してください。
ID管理を軽視しない：ID管理はゼロトラストの鍵であり、IDを適切に管理できないと、機密リソースへの不正アクセスにつながる可能性があります。
ファイアウォールだけに依存しない：ファイアウォールは基本的なデバイスおよびネットワークセキュリティの有効な手段ですが、単独では高度な脅威を防ぐには不十分な場合があります。
組織のセキュリティ態勢を継続的に監視することを怠らない：ゼロトラストは常に進化する概念です。セキュリティ態勢を継続的に監視し、組織が進化し続ける脅威に先んじられるようにします。
インシデント対応計画を軽視しない：インシデント発生時に備えた計画を用意しておくことが重要です。インシデント対応計画が整備されていないと、組織の事象への対応が遅れる可能性があります。
ユーザー教育を軽視しない：ゼロトラストはユーザーにとってまったく新しい概念かもしれないため、この新しいポリシーについて教育し、ユーザーによる導入を促進し、円滑にすることが重要です。
Bitwardenはゼロトラストへの変革を支援します
ゼロトラストアーキテクチャは、組織のサイバーセキュリティへの取り組み方を、境界中心の考え方からデータ中心の考え方へと根本的に転換します。テクノロジーリーダーは、その中核原則を理解し、多要素認証やゼロ知識暗号化などの機能を実装することで、セキュリティ態勢を大幅に強化できます。
ゼロトラストセキュリティモデルは、セキュリティの強化、インシデント対応の向上、コンプライアンスの強化、外部脅威によるリスクの低減、セキュリティ運用コストの削減、ユーザーエクスペリエンスの向上、高度な脅威からの保護強化、データ損失防止、将来に備えたセキュリティの実現に役立ちます。
現在のセキュリティインフラを見直し、Bitwardenがすぐにセキュリティ態勢を強化できる領域を特定することで、今すぐゼロトラストへの取り組みを始めましょう。
まずは、以下のリソースをご確認ください。