ゼロトラストとは

従来のセキュリティ モデルには、セキュリティの観点から見て主に4つの弱点があります。

• 攻撃対象領域の拡大：ファイアウォールやVPNなどの従来のツールは、インターネットにIPアドレスを公開します。これらのIPは、正当なユーザーだけでなく、攻撃対象領域を探している攻撃者にも見つかってしまいます。
• 不正侵入の阻止が困難：従来のセキュリティはアプライアンスを基盤としており、ハードウェアとして展開されているか仮想アプライアンスとして展開されているかによらず、必要に応じて拡張することは難しく、ほとんどの脅威が潜む暗号化されたトラフィックを検査することができません。ほとんどの攻撃は検出されずに防御をすり抜けることになります。
• 脅威のラテラル ムーブメントの発生：従来のアプローチでは、アプリへのアクセスを提供するために、各エンティティーがネットワーク接続されます。しかし、このアプローチは暗黙の信頼と過剰な権限が伴い、悪用される可能性があります。ネットワークに接続されているすべてのものへのアクセスが可能になるため、大規模な侵害を招く場合があります。
• 情報漏洩の阻止が不可能：攻撃者はネットワークで機密データを探し回った後、発見したデータの持ち出しを試みます。ほとんどの組織がアプライアンスベースのセキュリティに依存しており、暗号化されたトラフィックを保護できないことを攻撃者も把握しているため、このプロセスは暗号化されたトラフィックを通じて実行されるケースが増えています。

ゼロトラストは、セキュリティ アーキテクチャーの一種で、従来のサイバーセキュリティの枠組みや方法論とは大きく異なる考え方に基づいています。ゼロトラストの保護対象を示す、核となる5つの柱を紹介します。

• アイデンティティー：システムにアクセスしている人物を検証する
• デバイス：デバイスが準拠しており、信頼できるものであることを確認する
• ネットワーク：ネットワーク トラフィックをセグメント化し、分離する
• アプリケーション：特定のアプリケーションへのアクセスを制御する
• データ：保存時と転送中の機密情報を保護する

ゼロトラストでは、以上の原則を順守することでリスクを最小化し、複雑さを軽減しながら、分散型の環境におけるセキュリティを強化できます。

ゼロトラストは、インテリジェントな交換機として機能する独自のフレームワークであり、この仕組みにより、組織はネットワークをユーザーやエンティティーに拡張することなく、安全なAny-to-Any接続を確保できます。言い換えれば、インターネットそのものが新しい企業ネットワークとして機能するのです。

アーキテクチャーの仕組みを大まかに説明すると以下のようになります。

• アクセス要求の検証：最小特権アクセスを提供するには、アクセスを試行するユーザーまたはエンティティーを把握する必要があります。そのため、ITリソースに接続しようとするユーザーまたはエンティティーのすべてについて、アイデンティティーの検証を行います。
• 宛先の特定：ゼロトラストでは、各エンティティーをネットワークではなく宛先に直接接続し、ラテラル ムーブメントを防止します。そのため、ユーザーの検証後は、そのユーザーが到達しようとしているITリソースについても特定し、そのリスクを把握する必要があります。
• コンテキストに基づいたリスク計算：ITリソースへのアクセスを制御するには、アイデンティティーだけでは不十分です(盗まれる場合もあれば、許可されたユーザーが損害を発生させる場合もあるため)。そこで前述のように、ゼロトラストではリスクに基づいてアクセスを制御します。このリスクは、AI/MLでアクセスのコンテキストを評価することで判断します。
• ポリシーの施行：ポリシーは、セッション(アクセス試行)ごとにリアルタイムかつ自動で適用されます。許可、ブロック、分離、デセプションなど、いくつかのアクションを適用できます。アクセスを許可した後も、継続的な監視によってリスクの変化をリアルタイムに把握し、必要に応じてポリシーを変更します。
• 接続の確立：ユーザーがアプリに直接接続されます。SaaSとWebには「インバウンド」接続できる一方、プライベート アプリにはインサイドアウト接続が必要です。これは、App Connectorによって実現され、このコネクターがゼロトラスト クラウドに接続することで、完全な接続が確立されます。パブリックIPが不要になるため、アプリケーションが外部に露出することはありません。

従来のVPNは、いったんユーザーが内部に入ると、ネットワークへの広範なアクセスを許可する「城と堀」のセキュリティ モデルに依存しています。ゼロトラストは異なるアプローチを採用しており、アクセスを継続的に検証し、ユーザーが必要とする特定のアプリやリソースのみの限定します。

ゼロトラストは、最小特権アクセスを基盤とするセキュリティ モデルに移行することで、以下のようなセキュリティとビジネス上のメリットをもたらします。

1. サイバーセキュリティの強化：ゼロトラストは、ネットワーク接続やパブリックIPなど、さまざまな形で存在する暗黙の信頼を排除し、コンテキストに応じたアクセス、アプリケーションへの直接接続によるセグメンテーション、継続的な監視を施行します。これにより、侵害の可能性を軽減し、侵害が発生した場合の影響範囲を最小限に抑えます。
2. 複雑さとコストの削減：ゼロトラストでは、セキュリティやネットワークのポイント製品を単一のプラットフォームに統合することで、ITインフラの簡素化、管理効率の向上、運用負荷の最小化を実現し、コストを削減できます。また、侵害とそれに関連するコストも防ぎ、改善されたデジタル エクスペリエンスなどを通じてユーザーの生産性を向上させます。これらすべての結果として、組織はイノベーションに投資し、将来の課題に安全に対応するため能力を強化できます。
3. ユーザーの生産性向上：アプリへの直接接続をエッジで提供することで、離れた場所にあるデータ センターやクラウドにトラフィックをバックホールする必要がなくなります。そのため、ネットワーク ホップ、VPNのボトルネック、ユーザー エクスペリエンスに悪影響を及ぼすその他の問題に関連するレイテンシーが解消されます。
4. AIの安全な導入とセキュリティ：基盤となるゼロトラスト アーキテクチャーにより、LLMのセキュリティ、AIエージェントのアクセス制御、生成AIのデータ保護、プロンプト インジェクションの防止をすべて簡素化します。アイデンティティー、コンテキスト、最小特権アクセスをセキュリティ フレームワークの中核に据えることで、AIデータかどうかを問わず、データの保護にかかる手間を軽減します。

ゼロトラストの原則は、さまざまなシナリオに適用でき、現代の組織の多様なセキュリティ ニーズを満たすことが可能です。一般的なユース ケースは次のとおりです。

• VPNを使用しないリモート アクセス：ネットワークを公開したり、複雑なVPN接続を利用したりすることなく、ユーザーがプライベート アプリケーションに安全に直接接続できるようにします。
• 機密データの保護：ゼロトラスト プラットフォームは、情報漏洩防止(DLP)機能も提供し、Webに転送されるデータ、クラウドの保存データ、エンドポイントの使用中データに含まれる機密情報を検出して保護します。
• マルチクラウド環境でのワークロードの保護：ワークロードは、Webや他のワークロードと頻繁に通信を行います。ゼロトラストはこれらのワークロード通信を保護し、脅威の感染やデータ漏洩を防止できます。
• IoT/OTセキュリティ：ゼロトラストの原則を拠点や製造工場、その他の産業環境に拡張し、最小特権ポリシー制御を施行することでIoT/OTデバイスを保護します。
• サードパーティーとパートナーのアクセス：請負業者、ベンダー、テクノロジー パートナーに、ITリソースへの安全なゼロトラスト アクセスを提供します。広範なネットワークを公開したり、エンドポイント エージェントを使用したりすることはありません。
• AIセキュリティ：組織の成長に合わせてAIモデルを安全に導入し、シャドーAIを防止するとともに、AIデータを容易に保護することで、SOCの負担を軽減し、経営陣へのプレッシャーを軽減します。

AI向けのゼロトラストは、「決して信頼せず、常に検証する」という原則を、大規模言語モデル(LLM)、AIエージェント、トレーニング データ パイプライン、推論ワークロードなどの人工知能システムにも適用するものです。最新のAIセキュリティの基盤となるこのアプローチにより、組織が生成AIコパイロット、自律型エージェント、AIを活用した自動化を導入する際、各AIコンポーネントを新たなアイデンティティーとして扱い、継続的に検証、認可、監視することが可能になります。

AIにゼロトラストが必要な理由

• AIが攻撃対象領域を拡大：あらゆるモデル、エージェント、データ パイプラインが、攻撃者による操作、データ窃取、不正アクセスの侵入口となる可能性があります。
• モデルとエージェントが新たなアイデンティティー：ユーザーやデバイスに検証が必要なのと同様に、AIモデルや自律型エージェントも、組織データへのアクセスやアクションの実行に先立って、認証と承認を受ける必要があります。
• データ アクセスには最小特権を適用：AIシステムがアクセスできるのは、特定のタスクに必要な最小限のデータに限るべきです。データセット全体や、アクセス制限のないナレッジベースへのアクセスを許可すべきではありません。
• AIエージェントの自律的なアクションを最小化：AIエージェントの権限範囲を厳密に制限し、重要なシステムに影響を及ぼす可能性のある過剰なアクションや意図しないアクションを防ぐ必要があります。
• 継続的な監視によりAI特有の脅威を検知：ゼロトラストでは、プロンプト インジェクション、モデル ドリフト、データ ポイズニング、シャドーAIの使用、敵対的な回避の試みを特定するために、リアルタイムの振る舞い分析が必要です。
• AIデータ パイプラインのエンドツーエンド保護が必須：トレーニング データの取り込みからモデルの推論結果の出力までAIライフサイクルのすべての段階で、インライン検査、アクセス ガバナンス、ポリシーの施行が必要です。

AIにゼロトラストの原則を適用することで、組織は機密データが未承認のモデルにさらされることを防ぎ、攻撃者による出力の操作を伴う攻撃を未然に阻止するとともに、急速に拡大するAI導入環境全体のガバナンスを維持できます。

ZscalerZero Trust Exchangeプラットフォームは、ユーザー、ワークロード、デバイス、サードパーティー、クラウド、アプリケーション、拠点を安全に接続するクラウド ネイティブ アーキテクチャーを提供することで、ゼロトラスト セキュリティ モデルを全面的に導入できるよう組織を支援します。インテリジェントな交換機として機能し、組織のITエコシステムのすべてのトランザクションと構成要素が厳格なゼロトラストの原則に従うように通信を仲介します。

• 攻撃対象領域の最小化：ファイアウォールを取り除き、アプリをZero Trust Exchangeの背後に隠すことで、攻撃者の侵入口を排除します。
• 侵害の阻止：高パフォーマンスなクラウドですべてのトラフィック(TLS/SSLで暗号化されたトラフィックを含む)を大規模に検査し、リアルタイムの脅威検出を実行するとともに、ポリシーを施行して脅威を阻止します。
• ラテラル ムーブメントの防止：ゼロトラスト セグメンテーションにより、すべてのユーザーやエンティティーをネットワークから切り離し、ネットワークに接続されたリソース間でのラテラル ムーブメントを防止します。
• ユーザー エクスペリエンスの向上：ユーザーは、従来のVPNのようなストレスを感じることなく、必要なアプリケーションやデータにすばやくシームレスに直接接続できます。
• ITインフラとセキュリティ運用の簡素化：統合型のクラウド ネイティブ プラットフォームによってセキュリティ機能を統合し、複雑さを軽減しながらコストを削減できます。

ZscalerのAI向けゼロトラスト

Zero Trust Exchangeは、ZscalerのあらゆるAIセキュリティ機能の中核を担っています。

• AI資産管理：データとAIモデルをエンドツーエンドで可視化し、AIに関連するリスクを未然に防ぎます。
• AIアクセス セキュリティ：一般的な生成AIアプリ、AI SaaS、組み込み型AI、開発ツールにおけるアクセスとコンテンツを制御します。
• 自動化された継続的なレッド チーム演習：組織のAIを迅速かつ確実にテスト、保護、導入します。
• AIガードレール：高パフォーマンスのAI検査により、脅威を軽減し、データ漏洩を防ぎ、コンテンツを適切に管理します。

Zscaler Zero Trust Exchangeで組織のセキュリティと運用効率を変革する仕組みの詳細は、こちらからデモを依頼して、Zscalerのプラットフォームをご覧ください。