「テレワーク」や「リモートワーク」が常態化してきたオフィスの環境では、ネットワークのセキュリティの考え方も変わりつつあります。
「クラウドサービス」が多く利用されてきたころから、新しいセキュリティモデルとして「ゼロトラスト」という考え方が注目されています。「従来のセキュリティとどこか違うのか？」「導入にはどういったものが必要なのか？」をご説明していきます。

1.ゼロトラストとは？従来型セキュリティとの違い

「ゼロトラスト」とは、「何も信頼しない」を前提に対策を行うセキュリティの考え方です。「テレワーク」や「リモートワーク」が一般的になり、外部から接続することが多くなり「VPN」や「クラウド」環境を使うことが多くなり、今までのセキュリティ対策では矛盾や不可能なものが多くなってきました。
そこで「ゼロトラスト」というセキュリティモデルでは、「Verify and Never Trust（決して信頼せず必ず確認せよ）」を前提に、外部のデータをいかに守るか、守るべき情報資産にアクセスするものはすべて信用せずにその安全性を検証することが重要とされています。

これまでのセキュリティモデル	ゼロトラストセキュリティモデル
情報資産が境界内部にある	情報資産が境界の内側にも外側にもある
情報資産は境界内部からアクセスする	情報資産が境界の内側からも外側からもアクセスされる
脅威は境界外部にある（留めておく）	クラウドやリモートアクセスにより、脅威が境界内部になっている

2.ゼロトラストセキュリティのメリット

「ゼロトラストセキュリティ」を導入することで、安心して外部から接続できたり、データ流出のリスクを軽減できることは間違いありませんが、具体的にどういったメリットがあるのでしょうか？

・仕事をする場所やアクセスする時間を問わない

外部からのアクセスやクラウド環境を監視し認証強化するため、社外からや海外などの時間が違う環境からも安心してネットワークを利用することができます。

・リモートワークやクラウドサービスを促進できる

全てのトラフィックを監視するため、リモートワークやクラウドサービスの利用にもセキュリティ対策や異常行動の通知ができます。これまでセキュリティ面で消極的だった場合は安心して利用ができるようになります。

・セキュリティ設定がシンプルになる

従来のセキュリティモデルでは、VPNやUTM、PCにはそれぞれセキュリティソフトを導入し、強固なセキュリティ対策を施してきましたが、ゼロトラストセキュリティモデルでは全てのネットワークに対して認証や監視を行いますので、非常にシンプルな構造になります。

「ゼロトラストセキュリティ」では認証と監視を行うことで、シンプルな構造で外部からのアクセスに対してセキュリティのレベルを向上させます。

3.従来型セキュリティの問題点

多くの企業さまで外部からのアクセスに対して保護するためにVPNを使ってきましたが、「テレワーク」や「クラウドサービス」の普及によって問題がでてきました。

現行のVPNが抱える問題

VPNでのアクセスは経路として各拠点や端末からのアクセスを集約するため、速度が低下し、業務に支障をきたすことがあります。また各種「クラウドサービス」を利用する場合には、VPNの外側にデータが保存されており、漏洩の機器にさらされています。「テレワーク」や「クラウドサービス」では、こういった問題を解決する必要があります。

セキュリティ管理の課題

従来のセキュリティモデルでは発生した矛盾や防ぎきれない脅威があります。それは前項であげた「テレワーク」という環境や「クラウドサービス」などのセキュアなネットワークの外側にある資産をいかに守るか、またその資産がネットワークの内側に入ってくる場合に監視・制御できるかということが課題になります。

DX推進やテレワークの普及に伴うセキュリティリスクの増加

DXサービスでは、多くのデータをクラウド環境で保存している場合が多く、先にあげている通り、外部にデータがある場合は従来のセキュリティでは対応できません。また、ID管理なども適切に行わなければ重大な事故につながるケースがあります。
また、テレワークが普及したことで外部からアクセスが一般的になりました。そのため業務を行うために社内サーバーや情報にアクセスすることが多くなりましたが、セキュリティが従来のままでは外部からのアクセスやクラウドサービスに対して十分なセキュリティが確保できていません。

4.ゼロトラスト実装のポイント

実際に「ゼロトラストセキュリティ」を実施するためには、どういったことが必要なのでしょうか？
以下に導入するにあたりポイントをまとめてみました。

デバイスの管理	EMMやEDRで端末の管理を強化し、情報漏洩や異常行動の監視、ウィルスの検知をします。
ネットワークのセキュリティ	SWGやSDPで、VPNをクラウド化し、リモートアクセスを最適化します。
クラウド環境のセキュリティ	クラウドサービスのユーザーを統合して権限なども管理。利用状況を監視し情報を保護します。
監視・運用	SOCやMDRによる、24時間365日のリルタイム監視体制をとり、デジタルフォレンジックによる復旧までの対応を確立します。

手順や手法はそれぞれですが、「端末とIDを管理」、「リモートアクセスとクラウドの可視化」をして、「分析」をする。そして「常に認証して監視する」という、この4つのポイントを導入し強化することで「ゼロトラストセキュリティ」は実現できます。

5.理想のゼロトラストセキュリティとは

導入のポイントや方法を紹介したところで「理想のゼロトラストセキュリティ」とはどういったものか考えてみましょう。

• すべてのアクセス認証と許可がリクエストごとに動的にされる
• すべての機器と端末、通信が保護され可視化できている状態で、監視が続けられていること
• 万が一の事態が起こった場合、分析、調査がすぐにでき、即座に復旧できる体制が整えられていること

ここまでが実現できていれば「理想のゼロトラストセキュリティ」と言えるのではないでしょうか。

導入するソフトウェアや機器はありますが、新しく便利な「リモートワーク」や「クラウド」という環境を利用する上では必要な対策になると思います。

「ゼロトラストセキュリティ」はどういったものかおわかりになりましたでしょうか？
「リモートワーク」や「クラウド」という環境を安全で安心に使うにはこういった考え方のもとにセキュリティをアップデートしていく必要があります。
AIの進化で膨大な量の情報を処理でき、コスト的にも結果的には高いパフォーマンスを発揮できると思います。
ただし「ゼロトラストセキュリティ」にもデメリットはありますので、そういったことも、私たちセキュリティのプロがご説明します。

ルートシステムは横浜で30年間。培った豊富な知識で、さまざまはオフィスのツールや環境などのアドバイス。ITヘルプデスクとしてお役に立ちます。
まずは「無料の環境診断」にお伺いいたしますので、お問い合わせください。
御社に最適な環境のアドバイスやサービスのご案内をいたします。