ゼロトラスト・セキュリティとは
ゼロトラスト・セキュリティは、社内ネットワークの内側であっても無条件に信頼せず、利用者やデバイスの状態を都度確認する仕組みです。まずは基本原則と、保護の対象をどう捉えるかという考え方を確認します。
決して信頼せず必ず検証するという原則
ゼロトラストの中心にあるのは「決して信頼せず、必ず検証する」という原則です。社内ネットワークからのアクセスであっても、利用者の認証情報やデバイスの状態を毎回確認したうえでアクセスの可否を判断します。
この考え方は、社内であれば安全という前提を置かないことが出発点です。例えば同じ社員であっても、普段と異なる端末や場所からのアクセスには追加の確認を求めるといった運用が挙げられます。
保護対象を通信ではなくリソース単位で捉える考え方
ゼロトラストでは、ネットワークの区画ではなく、データやアプリケーションといったリソース単位で保護の範囲を定める考え方をとります。守るべき対象を明確にしたうえで、それぞれに適したアクセス制御を設定します。
この単位での管理により、クラウドサービスや外部委託先とのやり取りが増えた環境でも、リソースごとに必要な権限だけを付与しやすくなります。結果として、影響範囲を絞った管理が可能になります。
従来型の境界防御モデルとの違い
ゼロトラストの特徴を理解するには、従来主流だった境界防御モデルとの違いを押さえることが役立ちます。ここでは、それぞれの仕組みと限界を比較しながら見ていきます。
社内ネットワークを信頼する境界防御の仕組み
境界防御モデルは、ファイアウォールなどで社内ネットワークと外部を区切り、内側は安全な領域として扱う考え方です。境界の内側に入ったあとの通信は、比較的緩やかに扱われる傾向がありました。
この仕組みは、社員が社内から業務システムに接続する働き方が中心だった時期には有効に機能していました。しかし、境界の内側に一度侵入されると、内部で被害が広がりやすいという課題も抱えていました。
クラウド活用やリモートワークで生じる境界防御の限界
クラウドサービスの利用や社外からのアクセスが増えると、守るべき情報が社内ネットワークの外にも分散します。境界を引く場所自体があいまいになり、境界防御だけでは対応が難しい場面が生じます。
例えば自宅や外出先から複数のクラウドサービスに接続する働き方では、境界の内外という区分では実態を捉えきれません。こうした状況を背景に、ゼロトラストの考え方が注目されるようになりました。
ゼロトラストが求められる背景
なぜ今、ゼロトラストが注目されているのでしょうか。攻撃手法の変化と働き方の変化という2つの観点から、導入が検討される背景を整理します。
サイバー攻撃の手口が多様化している状況
標的型メールや認証情報の窃取など、サイバー攻撃の手口は多様化しています。境界の内側に侵入されたあとも被害が広がる可能性があり、境界防御だけに頼るリスクが意識されるようになりました。
また、取引先や委託先を経由した攻撃が発生する場合もあります。自社の対策だけでなく、接続元や通信内容を都度確認する仕組みが、被害を抑える一つの方法として位置づけられています。
働き方の多様化とクラウドサービス利用の広がり
リモートワークや複数拠点での勤務が広がり、社外から業務システムへアクセスする機会が増えています。あわせてクラウドサービスの利用も進み、社内外の境目を前提にした管理が難しくなっています。
こうした環境では、接続元がどこであっても同じ基準で確認する仕組みが求められます。ゼロトラストは、こうした働き方の変化に対応する考え方として位置づけられています。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料を取り寄せて機能や特徴をさまざまな製品で比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でゼロトラスト・セキュリティ製品の一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
ゼロトラスト・セキュリティを支える主要な要素技術
ゼロトラストは単一の製品で実現するものではなく、複数の要素技術を組み合わせて成り立ちます。ここでは代表的な要素を、利用者、デバイス、通信という3つの観点で紹介します。
ID・アクセス管理と多要素認証
利用者が誰であるかを確認するID・アクセス管理は、ゼロトラストの土台となる要素です。パスワードに加えて、ワンタイムコードや生体情報を組み合わせる多要素認証が広く使われています。
アクセスのたびに利用者を確認する仕組みを整えることで、認証情報が漏えいした場合でも不正利用のリスクを抑えやすくなります。権限は業務に必要な範囲に限定して付与することが基本です。加えて、退職や異動があった際に権限を速やかに見直す運用も欠かせません。
エンドポイントを保護する仕組み
パソコンやスマートフォンといったエンドポイントの状態を常に把握し、不審な挙動を検知する仕組みも重要な要素です。デバイスの安全性を確認したうえでアクセスを許可する運用が採られます。
具体的には、OSやソフトウェアが最新の状態であるかを確認したり、不正なプログラムの動作を検知したりする仕組みが用いられます。デバイス側の状態も、アクセス可否の判断材料の一つになります。私物端末を業務に利用する環境では、この観点での確認がより重要になります。
ネットワークアクセスを制御する仕組み
通信の経路についても、必要なリソースへの接続だけを許可するよう制御する仕組みが使われます。SASEと呼ばれる、ネットワーク機能とセキュリティ機能を組み合わせた考え方もこの領域に含まれます。
こうした仕組みにより、社外からのアクセスであっても、社内から接続する場合と同じ基準で通信を確認できます。経路ごとに異なる対策を用意する手間を減らせる場合があります。拠点数が多い組織では、拠点ごとの機器管理にかかる負担が軽くなることも期待できます。
ゼロトラスト導入を進める際の進め方と注意点
ゼロトラストは一度にすべてを切り替えるものではなく、段階的に進めることが一般的です。ここでは現状把握と適用範囲の広げ方という2つの観点から、進め方の考え方を紹介します。
現状の資産とリスクを可視化する
導入の第一歩は、守るべきデータやシステムがどこにあり、どのような利用者がアクセスしているかを可視化することです。現状を把握しないまま対策を進めると、優先順位を誤る可能性があります。
例えば重要度の高い情報がどのシステムに保管されているかを整理し、アクセス権限の設定状況とあわせて確認します。この段階を丁寧に行うことが、後の対策の精度に影響します。棚卸しの結果は定期的に更新し、状況の変化を反映させることも大切です。
段階的に適用範囲を広げる
可視化した情報をもとに、優先度の高い領域から順にゼロトラストの考え方を適用していく進め方が現実的です。全社一斉の切り替えは、業務への影響が大きくなる場合があります。
まずは一部の業務システムや部門で運用を試し、課題を確認しながら適用範囲を広げる方法が採られることがあります。導入時には、利用者の操作性や既存システムとの連携状況も確認しておく必要があります。関係部門と情報を共有しながら進めることで、現場の負担を抑えつつ運用を定着させやすくなります。
要素技術別に見るゼロトラスト対策製品
ID・アクセス管理、ネットワークアクセス制御、エンドポイント保護といった、ゼロトラストを支える要素技術の観点から代表的な製品を紹介します。
Okta Workforce Identity
- リソースへのアクセスに必要な認証と認可を実施
- エンドポイントやネットワークセキュリティなどとも連携が容易
- ユーザーライフサイクル管理、APIへのセキュアなアクセスを提供
Okta Japan株式会社が提供する「Okta Workforce Identity」は、企業の従業員向けID・アクセス管理を実現するクラウド型サービスです。シングルサインオンや多要素認証により、利用者の本人確認を都度行いながら、業務に必要なクラウドサービスや社内システムへのアクセスを一元的に管理できます。デバイスやアクセス状況に応じた条件付きアクセス制御にも対応し、退職や異動に伴う権限の見直しなど、ID管理を軸としたゼロトラストの実践を支援します。
Cloudflare One
- VPN不要のゼロトラスト(ZTNA)を既存環境と併用し段階的に導入
- SWG・CASB・DLP等の多層防御を単一画面で一元管理
- 世界125カ国330都市以上の拠点網が低遅延かつ高可用性を提供
TDI株式会社が提供する「Cloudflare One」は、ネットワークとセキュリティの機能を統合したSASE型のサービスです。社内外を問わず、利用者やデバイスの状態を確認したうえで必要なアプリケーションへの接続だけを許可するゼロトラストネットワークアクセスの仕組みを備えています。拠点や在宅勤務先など接続元の場所にかかわらず同じ基準でアクセスを制御できるため、クラウド活用やリモートワークが広がる環境における通信経路の管理に活用できます。
KAMOME SASE
- 既存環境を活かして段階導入できる国産ゼロトラストSASE
- オンプレ・クラウド・SaaSを統一ポリシーでアクセス制御
- 閉域網や拠点間通信もゼロトラストで安全に制御
かもめエンジニアリング株式会社が提供する「KAMOME SASE」は、ネットワーク機能とセキュリティ機能を統合したSASE型のサービスです。社内外からのアクセスを一律に検証したうえで許可する仕組みを備え、拠点ごとに個別の機器を用意することなく、クラウド上で通信経路の管理やアクセス制御をまとめて行えます。リモートワークや複数拠点での利用が広がる環境において、ネットワークアクセスを制御する要素技術のひとつとして活用できます。
AppGuard
- 定義ファイル不要の「OSプロテクト型」
- 未知・既知を問わず、高度なサイバー攻撃による侵害を未然に防止
- 端末に対して悪いコトをさせず、「攻撃の無効化」を実現
DAIKO XTECH株式会社が提供する「AppGuard」は、パソコンなどのエンドポイントを保護するセキュリティソフトです。プロセスの挙動を監視し、不正なプログラムがシステムの重要な領域に影響を及ぼす動作を防ぐ仕組みを備えています。パターンファイルに依存しない防御方式のため、未知の攻撃に対しても一定の効果が期待できます。デバイスの安全性を確認したうえでアクセスを許可する、エンドポイント保護の要素技術として活用できます。
ZscalerInternetAccess （ゼットスケーラー株式会社）
- 全トラフィックを検査し、高度な脅威を阻止します。
- クラウドで高速・場所を問わない一貫したセキュリティ
- 従来の機器を置き換え、ネットワーク構成と運用を簡素化
SophosZTNA （ソフォス株式会社）
- アプリ単位でのアクセス制御とユーザー分離。
- Sophos Centralで端末・ID・リスク情報を統合管理。
- ゲートウェイ等で既存アプリに導入可能。
IllumioEdge （Illumio Japan 合同会社）
- ゼロトラストで不要な通信を遮断し、横展開を抑制。
- クラウド管理の軽量エージェントでエンドポイントを一括制御。
- NGAV・EDR連携で既知・未知マルウェア拡散を防止。
ゼロトラスト・セキュリティに関するFAQ
ゼロトラスト・セキュリティについて、よくある質問をまとめました。導入を検討する際の参考にしてください。
- Q1：ゼロトラストと従来のセキュリティ対策は併用できますか？
- 併用は可能です。既存のファイアウォールなどの対策を残しつつ、ID管理やアクセス制御の仕組みを段階的に組み合わせて導入する進め方が採られる場合があります。
- Q2：ゼロトラストを導入すれば、対策は万全になりますか？
- ゼロトラストはリスクを抑えるための考え方の一つであり、導入によってすべての脅威を防げるとは限りません。運用状況の見直しや利用者への教育とあわせて取り組むことが重要です。
- Q3：中小規模の組織でも導入を検討する意味はありますか？
- 組織の規模にかかわらず、クラウドサービスの利用やリモートワークを行っていれば検討する意味があります。まずは自社の利用状況を確認したうえで、必要な範囲から進める方法が考えられます。
まとめ
ゼロトラスト・セキュリティとは、社内外を問わずすべての通信を検証してから許可する考え方であり、境界防御に代わる考え方として位置づけられます。背景にある攻撃手法や働き方の変化を踏まえ、ID管理やエンドポイント保護などの要素技術を組み合わせながら、自社の状況に応じて優先順位を付けつつ段階的に導入を進めることが大切です。
