ゼロトラストセキュリティとは、ゼロトラストという「社内も社外もすべてを信頼しない」という考え方をベースにした、新しいセキュリティの概念です。

クラウドサービスの利用やテレワークでの働き方が増えてきた現代では、従来のような「社内は安全」と見なす境界型セキュリティでは守り切れないケースが増えてきました。

例えば、今までのセキュリティは一度境界が突破されてしまうと、社内ネットワークに致命的なダメージを受けてしまうデメリットがありました。

これからの時代は、「社内であっても信用できない」「何も信頼しない」をベースに、アクセスの度に信頼性・安全性を検証する方式が望ましいといわれています。

この記事では、ゼロトラストセキュリティについて従来型との比較を通して解説した後、どのようにゼロトラストを実装していくのか、どんなソリューションがあるかなど、さまざまな情報をお伝えします。

「最近ゼロトラストセキュリティって良く聞くけど、実際何かわかっていない」という方は、ぜひこの記事を最後までお読みいただき、その意味やメリット、デメリットを確認してみてください。

1. ゼロトラストセキュリティとは

まずは「ゼロトラストセキュリティ」とは何か、正しく理解していきましょう。

1-1. ゼロトラストセキュリティとは

ゼロトラストセキュリティとは、「全てを信用しない」という前提でセキュリティ対策を行うという考え方のことです。

単に「ゼロトラスト」と呼ばれることや、「ゼロトラストモデル」といわれることもあります。

ゼロトラストの概念自体は新しいものでもなく、2010年に米国のガートナーリサーチ社が提唱したものです。そこから発展し、ゼロトラストを実現させるためのSASEなどの考え方が生まれています。

1-2. ゼロトラストは「全てを信用しない」という考え方

今までのセキュリティの考え方は、外は危険だから社内と社外の間に「境界」を設けて、外からウイルスなどが入ってこないようにセキュリティ対策を行うというものでした。境界型もしくは境界防御といわれています。

境界を突破されなければ社内は安全、というこのモデルは、ユーザーや端末のほとんどが社内ネットワーク内にいるような環境では有効です。

しかしながら、社内ネットワークだけでなくクラウドサービスの利用が増え、テレワークの普及によりユーザーや端末が各所に分散したことにより、対応が困難になってきています。

そこで、「社内も社外も全てを信用しない」という考え方のゼロトラストセキュリティが注目を浴びています。

1-3. 従来型セキュリティとゼロトラストの違い

従来型セキュリティとゼロトラストの違いを比較表にまとめると、以下のようになります。

【従来型のセキュリティとゼロトラストの違い】

「社内ネットワークの内側は安全」「外から脅威が入ってこないようにする」という従来型セキュリティに対して、ゼロトラストは「安全な場所は無い」「社内も社外もどこに脅威があるか分からない」という立場に立っている考え方となります。

2. 今ゼロトラストセキュリティが必要とされる理由

昨今、ゼロトラスト型のセキュリティが必要とされている理由について解説します。

2-1. クラウドサービス利用拡大により社外に保護すべきデータがある状況が増えたから

従来のオンプレミス型では、社内にいる社員が社内で業務を行うのが通常でした。保護すべきデータやシステムも会社の内側に存在していました。

しかし、クラウドサービスが普及した現在では、社内に限らず「外側」にも保護すべきものがある状況が増えています。

社内だけでなく社外にも守るべきものがある状況では、社内だけを守る「境界型セキュリティ」ではなくゼロトラスト型のセキュリティが必要です。

2-2. テレワーク増加により社内ネットワークの外で働く社員が増えたから

従来では、全ての従業員が会社のオフィスに出社し、社内ネットワークを通じて業務を行うのが一般的でした。このスタイルならば、従来型の境界型セキュリティで「社外からの脅威」を防御すれば問題ありませんでした。

しかしながら、テレワーク勤務の増加により、安全な社内ネットワークの外側で働く社員が増えたことにより、社内を守るだけではセキュリティが不十分となります。

社員はいろいろな場所から業務を行うため、エンドポイント (端末) ごとに対策が必要となっています。

2-3. VPN（仮想プライベートネットワーク）では限界があるから

ゼロトラストが必要とされる背景には、VPNの限界という側面もあります。

テレワークが増える中、多くの企業は「VPN（仮想プライベートネットワーク）」を用意することで、社外からのアクセスに対応してきました。

しかし、VPNは、一度認証されたユーザーに対して内部ネットワーク全体へのアクセスを許可してしまうため、脅威の拡散を引き起こす危険性があります。つまり、ひとたびセキュリティを突破されてしまうと、全てのリソースが危険にさらされる可能性があるのです。

一方ゼロトラストは、全てのリソースにアクセスする前に都度安全かどうかを確認するため、セキュリティが突破された場合も被害を最小限に抑えることができます。

また、VPNは大量のアクセスに対応していないケースが多く、急に大人数の社員が同時にアクセスすることでパフォーマンスの低下やシステムダウンが相次いで報告されました。

このようにVPNでは限界があるため、ゼロトラスト型のセキュリティへの注目が高まっています。

3. どうすればゼロトラストセキュリティを実現できるのか

ここまで解説してきたゼロトラストセキュリティの概要や従来型との違いは、まだ「概念レベル」の話に留まっています。

ここからは、一体どのような要素があればゼロトラストを実現できるのかを具体的に解説していきます。

3-1. NISTによる「ゼロトラストにおける7つの基本原則」

NIST（米国立標準技術研究所）が2020年8月に公開した「Special Publication（SP）800-207 ゼロトラスト・アーキテクチャ」の中で、ゼロトラストを実現させる上での理想的な考え方が示されています。

NISTから翻訳の許可を受けてPwCコンサルティング合同会社が日本語訳を公開しているので、その一部を抜粋して以下に掲載します。

NISTによる「ゼロトラストにおける7つの基本原則」

①すべてのデータソースとコンピューティングサービスはリソースと見なす
②ネットワークの場所に関係なく、全ての通信を保護する
③企業リソースへのアクセスは、セッション単位で付与する
④リソースへのアクセスは、クライアントID、アプリケーション、要求する資産の状態、その他の行動属性や環境属性を含めた動的なポリシーによって決定する
⑤企業は、全ての資産の整合性とセキュリティ動作を監視し、測定する
⑥全てのリソースの認証と許可は動的に行われ、アクセスが許可される前に厳格に実施する
⑦企業は、資産やネットワークインフラストラクチャ、通信の状態について可能な限り多くの情報を収集し、それをセキュリティ対策の改善に利用する

引用：PwCコンサルティング合同会社／NIST SP800-207 「ゼロトラスト・アーキテクチャ」の解説と日本語訳

これを見ても分かる通り、ゼロトラストは、従来型の「境界だけ対策すればいい」という単純なものではなく、いろいろな側面から対策が必要となります。

3-2. ゼロトラストセキュリティを実現するために必要な7つの構成要素

NISTの基本原則を踏まえた上で、7つの構成要素ごとに、ゼロトラストセキュリティを実現するための必要要件と方法についてまとめました。

【ゼロトラストセキュリティを実現するための7つの構成要素】

ゼロトラストを実現する要素は多岐にわたるため、それぞれのソリューションを組み合わせて実現していく必要があります。

4. ゼロトラストを実現するソリューション

昨今では、ゼロトラストの必要性が高まり、ゼロトラスを実現するためのソリューションも増えてきています。

IPA（独立行政法人 情報処理推進機構）の資料「ゼロトラストのすゝめ」では、これらのソリューションを5つに分類して紹介しています。IPAの分類にしたがって、それぞれのソリューションを紹介していきます。

【ゼロトラストを実現するためのソリューション】

参考：IPA「ゼロトラスト移行のすゝめ」

4-1. ID統制（ID管理・一元化など）

社内外でいくつものクラウドサービスなどを利用する現代では、それぞれのID・パスワードなどログイン情報の管理がとても大切です。

IPAの資料でも、ゼロトラストの概念を実装化するにあたって、このID管理が最も重要と提言されています。

【ID統制に関連するソリューション例】

外部ソリューション以外にも、IDやパスワードを定期的に変更したり、必要以上に認証を付与しないようにしたりという企業内での対策が必要となります。

4-2. デバイス統制・保護（端末の管理や監視など）

従来型の境界型では社内ネットワークの中だけを守っていれば良かったのですが、ゼロトラストではエンドポイント（端末）ごとでのセキュリティ対策が必要です。

そのためのソリューションには以下のようなものがあります。

【デバイス統制・保護に関連するソリューション例】

なお、こうしたソリューション以外にも、デバイスを持ち出す場合のルールを社内で徹底するなどの対策も合わせて行いましょう。

4-3. ネットワークセキュリティ

社内ネットワークの内側だけを守るのではなく、社内にも社外にも脅威があると想定したネットワークセキュリティを導入する必要があります。

ゼロトラストを実現するネットワーク・セキュリティに関連するソリューションは以下です。

【ネットワークセキュリティに関連するソリューション例】

4-4. データ漏洩防止

ゼロトラストでは、データの持ち出しを防ぐだけでなく、万が一持ち出されたとしてもデータを閲覧させないといった対策が必要となります。

こうしたデータ漏洩防止や不正な取り扱い防止を実現するソリューションには以下のようなものがあります。

【データ漏洩防止に関連するソリューション例】

こうしたソリューションの導入以外にも、業務上扱うデータの取り扱いについて社内でルールを作成して徹底させるなどの対策も行いましょう。

4-5. ログの収集・分析（全てのリソースの可視化や監視）

ゼロトラストでは「全てを信用しない」を前提としているため、できる限り、全ての資産やネットワーク、通信の状態についてログを収集し、分析する必要があります。

ログの収集・分析を実現するためのソリューションには以下のようなものがあります。

【ログの収集・分析を実現するためのソリューション】

このログの収集・分析は、ゼロトラストを実現するソリューションの中でも最終段階に取り入れるべきものです。

優先度は低いですが、真のゼロトラストを実現するためには大切なソリューションとなります。

5. ゼロトラストソリューションの理想の導入順序

4章で解説したゼロトラストを実現するためのソリューションは、段階的に導入していくのが理想です。

参考までに、IPAは、以下の順序で実装することを推奨しています。

出典：IPA「ゼロトラスト移行のすゝめ」

まずは「ID統制」でIDやパスワードの管理を行い、次に「デバイス統制」を行います。

次に、組織の課題によって「エンドポイント保護」「オンプレミス環境へのリモートアクセス」、「Webセキュリティ・シャドーIT対策」「データ漏洩防止」を実装します。

そして最後に「ログの収集・分析」で、できるだけ多くのリソースを監視・分析していくのが理想です。

ただし、実際にどの順序でソリューションを実装するのか、そしてどのソリューションを選択するかは、会社の状況や課題によって異なります。

中長期的な視点から、会社に必要なセキュリティ対策は何かを話し合い、自社にあったソリューションを導入していきましょう。

6. ゼロトラストを導入するメリット

5章までで、ゼロトラストとはどういうものか、そしてどのように実装していくか概要を把握できたはずです。

ここからは、ゼロトラストを導入するメリットについて解説していきます。

6-1. セキュリティレベルが大幅に向上する

社内ネットワークの外側だけを対象にしていた従来型のセキュリティと比べて、ゼロトラスト型は全方位を対策するため、セキュリティレベルは格段に向上します。

ゼロトラストを実現するためには、5章で解説した多くの要素を組み合わせて対策を行います。そのため、セキュリティレベルは従来型と比べてかなり高いものになります。

また、「ログの収集・分析」まで実現できれば、広範囲の端末やネットワークを常に監視できるため、脅威を早期発見し、スピーディーに対応でき、被害を最小限に抑えることができます。

6-2. クラウドサービスを安心して利用できる

オンプレミス環境のシステムでは社外の脅威を防御すれば良かったものの、クラウドサービスでは境界が曖昧となり、セキュリティ対策が困難でした。

ゼロトラスト型のセキュリティは、そもそも境界を設けずに、全てのエンドポイントでセキュリティ対策を講じるため、クラウドサービスを安心して利用できます。

6-3. 社内でも社外でもどこからでも安心して利用できる

社内のみを保護する従来型のセキュリティと違い、ゼロトラスト型セキュリティでは、社内も社外も問わずにセキュリティ対策が可能です。

そのため、「社内だから安心」ではなく「社内でも社外でも、許可された端末からなら安心して利用できる」状況を作り出すことが可能です。

テレワークやリモートワーク、サテライトオフィスなどさまざまな場所からも安心して利用できるメリットがあります。

6-4. セキュリティ管理を効率化できる

ゼロトラストを実装する中で、ID統制（ID・パスワードの一元管理など）を実現できれば、セキュリティ管理を効率化できるメリットもあります。

ユーザーが個人で管理している場合、「パスワードを忘れてしまった」「他の担当者に聞かないとパスワードが分からない」などで業務が滞る可能性があります。そうした無駄を省き、本来の業務に集中することができるでしょう。

6-5. 新しいサービスの活用やさまざまな働き方に対応できる

ゼロトラスト型セキュリティを実現することで、安心して新しいサービスを積極的に活用でき、テレワークなどのさまざまな働き方に対応できます。

そのことにより、結果的に、スピーディーで革新的なアイデアが生まれやすくなったり、社内外でコラボレーションが加速したり、新しい価値の創造が生まれやすくなります。

ゼロトラストは、DXの時代にマッチした新しいセキュリティの形ということができるでしょう。

7. ゼロトラストのデメリット・課題

従来型のセキュリティと比べて良いことだらけのゼロトラストですが、デメリットや課題ももちろん存在します。

それぞれ詳しく解説していきます。

7-1. ゼロトラスト実現にはかなりのコストがかかる

ゼロトラストを実現するための最も大きな課題といえば、導入するためにかなりのコストがかかるということです。

4章で解説した通り、真にゼロトラストを実現するためには、ID統制やデバイス統制、ネットワークセキュリティなどさまざまなソリューションを組み合わせて導入していく必要があります。

全てを導入するとなると相当のコストがかかるため、これがゼロトラスト実装の大きなデメリットとなるでしょう。

7-2. どこから何を実装すれば良いか決めるのが難しい

5章で解説しましたが、ゼロトラストを実現するために「何をどの順番で実装していくのか」は、企業や環境によって異なります。

まずは企業において重視するポイントを決めて、それに合ったソリューションを決定する必要があります。

場合によってはコンサルタントなどの力を借りて、自社に合ったソリューションや導入順序を決めていきましょう。

8. セキュリティに完璧はないためデータ保護対策もしておこう

ゼロトラストは、従来型のセキュリティに代わり、これからの時代のスタンダードとなっていく考え方です。

そのため、ゼロトラストを実現するさまざまなソリューションを自社に合わせた形で導入するとともに、「全てを信用しない」という認識を社内に浸透させることが必要となります。

とはいっても、ゼロトラストを完全実装するにはかなりのコストがかかることもあり、大企業でも実装できている割合は1%未満というデータもあります。

参考：ITmedia NEWS／“ゼロトラスト”関心あっても実現に苦慮　米Gartner「完全実装は大企業でも1％未満」攻撃手口の変化もたらす面も

また、「ゼロトラストにしたから安心」と考えるのは早計であり、ゼロトラストでも防げない攻撃が今後出現する可能性があります。

セキュリティに完璧はないため、万が一のデータ保護に備えてしっかりと準備しておく必要があるでしょう。

当社アークサーブでは、SaaS 環境のデータ保護対策として、M365に関するデータ保護を学べるセミナーを開催しています。多様化するセキュリティ攻撃に備えてデータ保護体制を整えたい企業担当者様はぜひご参加ください。

9. まとめ

本記事では「ゼロトラストセキュリティ」について解説してきました。最後に、要点を簡単にまとめておきます。

▼ゼロトラストセキュリティとは

今ゼロトラストセキュリティが必要とされる理由

ゼロトラストを実現するソリューション

ゼロトラストを導入するメリット

ゼロトラストのデメリット・課題

ゼロトラストは、クラウドサービスやリモートワークが当たり前になってきたデジタル時代に合う「新しいセキュリティの形」といえます。

しかしながら、セキュリティに完璧はないため、万が一のデータ保護もしっかりしておくべきです。

時代に合わせてセキュリティレベルを上げていくこと、そしてデータの保護にも備えておくこと、この両輪をしっかり回して、安心して業務に取り組める体制を作っていきましょう。