デジタルトランスフォーメーションは、ネットワークの境界に制限されることなく業務の運用を可能にする。このパラダイムシフトには、クラウドホスト型のシステムやサービスを導入することや、業務プロセスを専門テクノロジーパートナーに外部委託することも含まれる。だが、これによって社外へと広がるネットワーク上の機器、システム、アプリケーションの制御や責任の境界が曖昧になる。その結果、セキュリティの課題が飛躍的に増加する。
この状況をさらに悪化させるのがシャドーITだ。個人や部門が各自の職務のためとはいえ、IT部門の管理が及ばない製品やサービスを購入すると、それらはセキュリティ標準プロセスの管轄外になる。
このような変化によって、これまで境界を利用してきたネットワークセキュリティ戦略の有用性が失われる。そこで重視されるようになってきたのがゼロトラストによってセキュリティを確保するアプローチだ。ゼロトラストでは、認証済みのユーザーでも悪意を持った操作を行う恐れがあると想定してアクセス許可を設定する。
ゼロトラストの考え方は単純だが、何も信頼しないことが前提となるため導入と管理が複雑になり、リソースを大量に消費する恐れがある。業務で実際に必要なレベルを超えるセキュリティが設けられる可能性もある。それによってセキュリティが厳格かつ過度になり、業務効率が損なわれるかもしれない。そこで、ゼロトラストが本当に必要なのかそれとも願望にすぎないのかをまず考える必要がある。
重要なのは、着信トラフィックと発信トラフィックを両方制御できるかどうかだ。例えば、オンラインショッピングサイトで顧客が在庫を確認できるようにするという戦略を決めたとする。その場合、在庫情報を公開する必要がある。そうなると、信頼していない人々もその情報を見られるようになる。同様に、政府が企業データへのアクセスを合法的に要求できる国もあれば、技術的な暗号化レベルが不適切な場合もある。ゼロトラストポリシーを追求するかどうかの決定は、企業のリスク許容度と技術力次第だ。
それでもゼロトラストが確かな目標であり続けるならば、1回限りの改革として導入するのは非現実的で不可能になる恐れが高いことを理解しなければならない。ゼロトラストによって生じる例外の量や業務に起きる混乱、そして言うまでもなく導入にかかる実際の直接的コストを考えれば、とても実行可能とは言い難い。
続きを読むには、［続きを読む］ボタンを押して
ください（PDFをダウンロードします）。
CEOと従業員の給与差「299倍」をどう考える？
今回は、米国の労働事情における想像を超える格差について取り上げます。
日立ソリューションズが仮想イベントプラットフォームを提供開始
セミナーやショールームなどを仮想空間上に構築。
経営にSDGsを取り入れるために必要な考え方とは？ 眞鍋和博氏（北九州市立大学教授）と語る【前編】
企業がSDGsを推進するために何が必要なのか。北九州市立大学の眞鍋和博教授と語り合った。
ITmediaはアイティメディア株式会社の登録商標です。
iStock.com/NatalyaBurova
