テレワークで変わる企業のセキュリティ【第3回】

「ゼロトラストセキュリティ」に満足できない企業の条件とは？

「ゼロトラストセキュリティ」は、テレワークを支える有力なセキュリティアーキテクチャだ。ただし全ての企業がゼロトラストセキュリティの価値を引き出せるわけではない。どのような企業に向かないのか。

公開 2021年08月02日 05時01分

[TechTarget]

印刷する連載新着通知を受け取る

　デバイスの状態に基づいてデバイスやエンドユーザーに適切なアクセス権限を与えるセキュリティアーキテクチャ「ゼロトラストセキュリティ」が、テレワークの拡大とともに企業の注目を浴びている。「新たな技術を取り入れ続ける企業では、ゼロトラストセキュリティが有効だ」というのが、セキュリティ専門家の共通見解だ。

　「2020年春に私物PCの業務利用について聞かれたとすると、『私物PCを業務に利用している』と答えた当社の顧客企業は1％もいなかっただろう」と、調査会社Gartnerでアナリストを務めるロブ・スミス氏は話す。ロックダウン（都市封鎖）が始まったことで、企業には選択の余地がなくなった。従業員がオフィスのPCを持ち帰れずに自宅で仕事をすることになったためだ。

　2021年春現在、Gartnerの顧客企業の約3分の2が私物PCを業務で利用しているという。「企業が私物PCを業務で利用するようになったことが、ゼロトラストセキュリティやDesktop as a Service（DaaS）といった新しいモデルへの移行を本格的に促している」とスミス氏は説明する。

併せて読みたいお薦め記事

テレワークで注意すべきセキュリティ問題

ゼロトラストセキュリティをテレワーク保護に役立てる

　ゼロトラストセキュリティは全ての企業に適しているわけではない。既存技術から脱却できるかどうかは、企業がその技術をどのように利用しているのかによる。スミス氏によると、具体的にはエンドユーザー、デバイス、データ、場所の4つに左右されるという。「企業規模が大きく、歴史が長いほど、機能しない手段を使い続けている可能性が高くなる」と同氏は指摘。一方で「中小企業ならVPN（仮想プライベートネットワーク）から脱却しやすい」とみる。

「ゼロトラストセキュリティ」が合わない企業の条件とは

　全てのエンドユーザーが同じ要件を持つわけではない。ゼロトラストセキュリティの考え方に基づいて、ネットワークやデバイスを問わない認証が必要なエンドユーザーもいれば、そうでないエンドユーザーもいる。エンドユーザーがどのようなアプリケーションやデータにアクセスする必要があるのかを把握することが重要だ。

　アクセス先のアプリケーションやデータがオンプレミスインフラにあるのか、クラウドサービスにあるのかも問題になる。国や地域ごとに法律が異なるからだ。エンドユーザーの場所も考慮しなければならない。

　スミス氏によると、金融をはじめとする一部の業種では特別なセキュリティ対策が必要になる場合がある。例えば、ほとんどの業務をクラウドサービスではなくオンプレミスシステムで実行している金融機関では、ゼロトラストセキュリティは最適でない可能性がある。

　Kaspersky Labsで研究者を務めるディミトリー・ガロブ氏もスミス氏と同様に、「『ゼロトラストネットワーク』（ZTN：ゼロトラストセキュリティを基にしたネットワーク）の活用には複雑さが伴う」と語る。ゼロトラストセキュリティはネットワークのセグメンテーション（小規模なネットワークへの分割）から認証に至るまで、さまざまな分野の技術が絡む。その上、ZTNを実現する方法が複数存在する。「社内LANをセグメンテーションすることで、複数の手段を同時に使用できることに気付くのが重要だ」とガロブ氏は語る。

　GoogleでGoogle Cloud Security部門の製品管理担当シニアディレクターを務めるアーモル・キャベ氏は「ゼロトラストセキュリティの導入に長い工程が必要なことも課題だ」と語る。キャベ氏によると、目標となる機能や仕組みを明確にしてから、小さく始め、徐々にコストをかけていく手順が、ゼロトラストセキュリティ実装の鍵になる。