ゼロトラストとは

従来のセキュリティ モデルでは不十分な理由

従来のセキュリティ モデルは、ネットワーク上のものはすべて信頼できるという前提に基づいて構築されていました。良いものは「内側」に、悪いものは「外部」にという発想です。よって、このモデルは「城と堀のセキュリティ」と呼ばれるようになりました。しかし、現在のハイブリッドかつクラウドファーストの分散型環境において、こうした境界ベースのアプローチは効果的ではありません。リモート ワーク、モバイル デバイスやSaaSアプリの利用、サードパーティーとのパートナーシップを円滑化するにはネットワーク境界を拡張する必要があるため、このアプローチではコストと複雑さの増大、生産性の低下、デジタル トランスフォーメーションの鈍化、そして何よりサイバー リスクの増大につながります。

セキュリティの観点から、サイバー脅威の攻撃チェーンのそれぞれの段階を考慮して見ていくと、従来のセキュリティ モデルには主に4つの弱点があることがわかります。

• 攻撃対象領域の拡大：ファイアウォールやVPNなどの従来のツールは、インターネットにIPアドレスを公開するように設計されています。しかし、これらのIPは、正当なユーザーだけでなく、攻撃対象領域を探している攻撃者にも見つかってしまいます。
• 不正侵入の阻止が困難：従来のセキュリティはアプライアンスを基盤としており、ハードウェアとして展開されているか仮想アプライアンスとして展開されているかによらず、必要に応じて拡張することは難しく、ほとんどの脅威が潜む暗号化されたトラフィックを検査することができません。その結果、ほとんどの攻撃は検出されずに防御をすり抜けることになります。
• 脅威のラテラル ムーブメントの発生：従来のアプローチでは、アプリへのアクセスを提供するために、各エンティティーがネットワーク接続されます。しかし、このアプローチは暗黙の信頼と過剰な権限が伴い、悪用される可能性があります。ネットワークに接続されているすべてのものへのアクセスが可能になるため、大規模な侵害を招く場合があります。
• 情報漏洩の阻止が不可能：攻撃者はネットワークで機密データを探し回り、発見したデータの持ち出しを試みます。ほとんどの組織がアプライアンスベースのセキュリティに依存しており、暗号化されたトラフィックを保護できないことを攻撃者も把握しているため、このプロセスは暗号化されたトラフィックを通じて実行されるケースが増えています。

このような弱点があるため、従来のセキュリティ アーキテクチャーは最新の脅威に対処するうえで効果的とはいえず、動的で分散された現代のIT環境をサポートするうえでも適切ではありません。組織には、暗黙の信頼を排除し、セキュリティをすべての接続の中心に据える新しいアプローチが必要です。

ゼロトラストの核となる原則

ゼロトラストは、セキュリティ アーキテクチャーの一種で、従来のサイバーセキュリティの枠組みや方法論とは大きく異なる考え方に基づいています。その核となるのは、信頼は継続的に獲得するべきものであり、ネットワーク上での場所に基づいて単一の時点で最初から付与されるものではないという発想です。ゼロトラスト セキュリティ モデルには、次の5つの基本原則があります。

決して信頼せず、常に検証する

ネットワーク上のどのエンティティーに対しても、信頼を前提とすることはありません。ユーザー、ワークロード、デバイス、外部関係者のいずれであっても、オンプレミスのエンティティーであっても同じように扱います。すべてのアクセス要求に対して、複数の要素に基づく検証を必須とします(詳細は後述)。

最小特権アクセス

アクセスは、承認されたユーザーが特定のタスクを完了するために(そのタイミングで)必要とする特定のリソースのみに対して許可されます。つまり、正当なアクセス要件を持つユーザーがアプリに直接接続されます。ネットワーク全体への接続は許可しないため、水平方向に移動してネットワークに接続された他のリソースにアクセスすることはできません。

コンテキストとリスクに基づくアクセス制御

ゼロトラストは、すべてのアクセス要求の背後にあるコンテキストを分析することで、リスクを継続的に評価します。この評価にはAI/MLを活用し、ユーザーの行動、デバイスのポスチャーや正常性、地理的場所、時刻など、コンテキストとなる情報を精査します。そして、計算されたリスクに基づいてITリソースへのアクセスを制御します。

継続的な監視とリスクの調整

ゼロトラストでは、すべてのトランザクションを継続的に監視し、リアルタイムでリスクを特定します。この動的分析により、信頼が固定されないようにします。ゼロトラスト プラットフォームでは、アクセスのコンテキストの変化に合わせてリアルタイムで調整を行い、異なるポリシーを適用できなければなりません。

パブリックIPアドレスの排除

許可されていないユーザーやデバイスは、明示的なアクセス許可がないサービスやデータを発見できないようにする必要があります。そのためゼロトラストでは、アプリケーションがインターネット上で覗き見られないよう保護しなければなりません。つまり、パブリックIPアドレスを排除し、インバウンド接続ではなくインサイドアウト接続を採用することで攻撃対象領域を最小化します。

ゼロトラストでは、以上の原則を順守することでリスクを最小化し、複雑さを軽減しながら、分散型の環境におけるセキュリティを強化できます。

ゼロトラストの仕組み

ゼロトラストは、既存のセキュリティ モデルを維持するための単なるアプライアンスやツールではありません。インテリジェントな交換機として機能する独自のフレームワークであり、差別化されたアーキテクチャーです。この仕組みにより、組織はネットワークをユーザーやエンティティーに拡張することなく、安全なAny-to-Any接続を確保できます。言い換えれば、インターネットそのものが新しい企業ネットワークとして機能するのです。

これを実現するのが、トラフィックを仲介し、このアーキテクチャーを専用のクラウドからサービスとして提供するゼロトラスト プラットフォームです(この他にも、アイデンティティー プロバイダー(IdP)が提供するアイデンティティー管理とエンドポイントでの検知と対応(EDR)という他の2つのソリューションが必要です)。このアーキテクチャーの大まかな仕組みは次のとおりです。

• アクセス要求の検証：最小特権アクセスを提供するには、アクセスを試行するユーザーまたはエンティティーを把握する必要があります。そのため、ITリソースに接続しようとするユーザーまたはエンティティーのすべてについて、アイデンティティーの検証を行います。
• 宛先の特定：ゼロトラストでは、各エンティティーをネットワークではなく宛先に直接接続し、ラテラル ムーブメントを防止します。そのため、ユーザーの検証後は、そのユーザーが到達しようとしているITリソースについても特定し、そのリスクを把握する必要があります。
• コンテキストに基づいたリスク計算：ITリソースへのアクセスを制御するには、アイデンティティーだけでは不十分です(盗まれる場合もあれば、許可されたユーザーが損害を発生させる場合もあるため)。そこで前述のように、ゼロトラストではリスクに基づいてアクセスを制御します。このリスクは、AI/MLでアクセスのコンテキストを評価することで判断します。
• ポリシーの施行：ポリシーは、セッション(アクセス試行)ごとにリアルタイムかつ自動で適用されます。許可、ブロック、分離、デセプションなど、いくつかのアクションを適用できます。アクセスを許可した後も、継続的な監視によってリスクの変化をリアルタイムに把握し、必要に応じてポリシーを変更します。
• 接続の確立：ユーザーがアプリに直接接続されます。SaaSとWebには「インバウンド」接続できる一方、プライベート アプリにはインサイドアウト接続が必要です。これは、App Connectorによって実現され、このコネクターがゼロトラスト クラウドに接続することで、完全な接続が確立されます。パブリックIPが不要になるため、アプリケーションが外部に露出することはありません。

ゼロトラストでは、ユーザー、システム、デバイスによって開始されたすべての接続が同じレベルの検証対象として扱われます。これにより、攻撃者に悪用される隙を最小化しながら、正当なユーザーにはスムーズで安全なエクスペリエンスを提供できます。

ゼロトラストのビジネス上のメリット

セキュリティ モデルを最小特権アクセスに基づくものに移行することで、ゼロトラストはセキュリティとビジネス両方の面からメリットを提供します。具体的には以下のようなものです。

サイバーセキュリティの強化

ゼロトラストでは、さまざまな形態(ネットワーク接続、パブリックIPなど)の暗黙の信頼をすべて排除するとともに、コンテキストに基づくアクセス、アプリへの直接接続によるセグメンテーション、継続的な監視を通じて侵害のリスクを低減し、潜在的な影響範囲を最小限に抑えます。

複雑さとコストの削減

ゼロトラストでは、セキュリティやネットワークのポイント製品を単一のプラットフォームに統合することで、ITインフラの簡素化、管理効率の向上、運用負荷の最小化を実現し、コストを削減できます。また、侵害とそれに関連するコストも防ぎ、優れたデジタル エクスペリエンスなどを通じてユーザーの生産性を向上させます。これらすべての結果として、組織はイノベーションに投資し、将来の課題に安全に対応するため能力を強化できます。

デジタル トランスフォーメーションのサポート

最新のアーキテクチャーであるゼロトラストを採用することで、組織はクラウド コンピューティング、リモート ワーク、IoT/OTデバイスなどの最新技術を安全に導入できるようになります。

ユーザーの生産性の向上

アプリへの直接接続をエッジで提供することで、離れた場所にあるデータ センターやクラウドにトラフィックをバックホールする必要がなくなります。そのため、ネットワーク ホップ、VPNのボトルネック、ユーザー エクスペリエンスに悪影響を及ぼすその他の問題に関連するレイテンシーが解消されます。

ゼロトラストの一般的なユース ケース

ゼロトラストの原則は、さまざまなシナリオに適用でき、現代の組織の多様なセキュリティ ニーズを満たすことが可能です。一般的なユース ケースは次のとおりです。

ユーザー中心のユース ケース

• VPNを使用しないリモート アクセス：ネットワークを公開したり、複雑なVPN接続を利用したりすることなく、ユーザーがプライベート アプリケーションに安全に直接接続できるようにします。
• SaaSアプリ向けのクラウド セキュリティの導入：ゼロトラスト ポリシーをSaaSに拡張し、Microsoft 365やSalesforceなどの業務に不可欠なアプリに対しても最小特権アクセスを適用します。
• 機密データの保護：ゼロトラスト プラットフォームは、情報漏洩防止(DLP)機能も提供し、Webに転送されるデータ、クラウドの保存データ、エンドポイントの使用中データに含まれる機密情報を検出して保護します。

他のエンティティーのユース ケース

• マルチクラウド環境でのワークロードの保護：ワークロードは、Webや他のワークロードと頻繁に通信を行います。Any-to-Any接続の保護の一環として、ゼロトラストはこれらのワークロード通信を保護し、感染やデータ流出を防止できます。
• IoT/OTセキュリティ：ゼロトラストの原則を拠点や製造工場、その他の産業環境に拡張し、最小特権ポリシー制御を施行することでIoT/OTデバイスを保護します。
• サードパーティーとパートナーのアクセス：請負業者、ベンダー、テクノロジー パートナーに、ITリソースへの安全なゼロトラスト アクセスを提供します。広範なネットワークを公開したり、エンドポイント エージェントを使用したりすることはありません。

ゼロトラストへの確実な移行

ゼロトラストは、現代の組織を保護するための基盤となる戦略です。暗黙の信頼を排除し、厳格な最小特権アクセスを適用しながら、すべての接続を継続的に検証することで、今日の最も差し迫ったサイバーセキュリティ脅威から組織を保護します。

ゼロトラストを運用化するには、複雑さをもたらすことなく、あらゆるITリソース(SaaS以外も含む)にアクセスするすべてのエンティティー(ユーザー以外も含む)を保護しながら、分散型の環境でシームレスなデジタル エクスペリエンスを提供できるプラットフォームが必要です。

Zscaler Zero Trust Exchange

ZscalerZero Trust Exchangeプラットフォームは、ユーザー、ワークロード、デバイス、サードパーティー、クラウド、アプリケーション、拠点を安全に接続するクラウド ネイティブ アーキテクチャーを提供することで、ゼロトラスト セキュリティ モデルを全面的に導入できるよう組織を支援します。インテリジェントな交換機として機能し、組織のITエコシステムのすべてのトランザクションと構成要素が厳格なゼロトラストの原則に従うように通信を仲介します。主なメリットは次のとおりです。

• 攻撃対象領域の最小化：ファイアウォールを取り除き、アプリをZero Trust Exchangeの背後に隠すことで不可視化し、攻撃者の侵入口を排除します。
• 侵害の阻止：高パフォーマンスなクラウドですべてのトラフィック(TLS/SSLで暗号化されたトラフィックを含む)を大規模に検査し、リアルタイムの脅威検出を実行するとともに、ポリシーを施行して脅威を阻止します。
• ラテラル ムーブメントの防止：ゼロトラスト セグメンテーションにより、すべてのユーザーやエンティティーをネットワークから切り離し、ネットワークに接続されたリソース間でのラテラル ムーブメントを防止します。
• 情報漏洩の防止：暗号化されたトラフィックで転送されるもの、SaaS、クラウド アプリ、ユーザー デバイスで保存されているものなど、あらゆる場所のデータを保護できます。また、AIを活用した自動データ分類により、管理上の負担を最小限に抑えます。
• ユーザー エクスペリエンスの向上：ユーザーは、従来のVPNのようなストレスを感じることなく、必要なアプリケーションやデータにすばやくシームレスに直接接続できます。
• ITインフラとセキュリティ運用の簡素化：統合型のクラウド ネイティブ プラットフォームによってセキュリティ機能を統合し、複雑さを軽減しながらコストを削減できます。

Zscaler Zero Trust Exchangeで組織のセキュリティと運用効率を変革する仕組みの詳細は、ゼロトラスト アーキテクチャーの理解と実装に必要なすべてを学べるZscalerの3部構成のウェビナー シリーズ(英語)でご確認ください。