失敗しない「ゼロトラスト」導入法：実は困難なゼロトラスト

今、セキュリティかいわいでは「ゼロトラスト」がもてはやされている。だが導入・実践は困難でコストもかかる。ゼロトラストの効果を早期に得ることができる導入方法を紹介する。

[Simon Persin，Computer Weekly]

iStock.com/NatalyaBurova

　デジタルトランスフォーメーションは、ネットワークの境界に制限されることなく業務の運用を可能にする。このパラダイムシフトには、クラウドホスト型のシステムやサービスを導入することや、業務プロセスを専門テクノロジーパートナーに外部委託することも含まれる。だが、これによって社外へと広がるネットワーク上の機器、システム、アプリケーションの制御や責任の境界が曖昧になる。その結果、セキュリティの課題が飛躍的に増加する。

　この状況をさらに悪化させるのがシャドーITだ。個人や部門が各自の職務のためとはいえ、IT部門の管理が及ばない製品やサービスを購入すると、それらはセキュリティ標準プロセスの管轄外になる。

　このような変化によって、これまで境界を利用してきたネットワークセキュリティ戦略の有用性が失われる。そこで重視されるようになってきたのがゼロトラストによってセキュリティを確保するアプローチだ。ゼロトラストでは、認証済みのユーザーでも悪意を持った操作を行う恐れがあると想定してアクセス許可を設定する。

　ゼロトラストの考え方は単純だが、何も信頼しないことが前提となるため導入と管理が複雑になり、リソースを大量に消費する恐れがある。業務で実際に必要なレベルを超えるセキュリティが設けられる可能性もある。それによってセキュリティが厳格かつ過度になり、業務効率が損なわれるかもしれない。そこで、ゼロトラストが本当に必要なのかそれとも願望にすぎないのかをまず考える必要がある。

　重要なのは、着信トラフィックと発信トラフィックを両方制御できるかどうかだ。例えば、オンラインショッピングサイトで顧客が在庫を確認できるようにするという戦略を決めたとする。その場合、在庫情報を公開する必要がある。そうなると、信頼していない人々もその情報を見られるようになる。同様に、政府が企業データへのアクセスを合法的に要求できる国もあれば、技術的な暗号化レベルが不適切な場合もある。ゼロトラストポリシーを追求するかどうかの決定は、企業のリスク許容度と技術力次第だ。

リスクベースのアプローチ

　それでもゼロトラストが確かな目標であり続けるならば、1回限りの改革として導入するのは非現実的で不可能になる恐れが高いことを理解しなければならない。ゼロトラストによって生じる例外の量や業務に起きる混乱、そして言うまでもなく導入にかかる実際の直接的コストを考えれば、とても実行可能とは言い難い。

続きを読むには、［続きを読む］ボタンを押して
ください（PDFをダウンロードします）。

関連記事

Intel SGXをコアとしたコンフィデンシャルコンピューティングの実現

クラウド時代の認証方式SDP（Software Defined Perimeter）導入事例

ブロックチェーンはセキュリティの「魔法のつえ」ではない

従来型ネットワークセキュリティからの解放

複雑化するデータリスクに対応する統合リスク管理のアプローチ