ゼロトラストの実装を成功させるには、時間と継続的な取り組み、強いコミットメントが必要だ。成功に向けたステップを7つに分けて説明する。
ゼロトラストとは、「社内外の通信とユーザーを常に検証し、必要最小限の権限だけを与える」という考えに基づくセキュリティモデルだ。「社内だから信頼する」という発想を改め、まずは信頼しない状態からスタートし、リスク評価と検証のしやすさに応じてアクセス範囲を段階的に許可する。ネットワークの内外を問わず脅威が存在すると想定し、社内外のユーザーに対し、データやシステムにアクセスするたび厳格な認証と認可を求める。
ゼロトラストを効果的に導入するには、強固なセキュリティと業務の使いやすさを両立させるバランス感覚が欠かせない。適切に設計すれば侵害発生率が低下することに加え、仮に発生しても攻撃者により多くの時間と労力を強いることになるため、被害を最小限に抑えられる。セキュリティチームは攻撃の早期発見と影響の最小化が可能となる。
以下では、専任チームの編成や資産棚卸し、ギャップ分析など、ゼロトラストの実装を成功させるための具体的なステップを解説する。
効果的なゼロトラスト戦略を展開するには、以下のステップに従うとよい。
ゼロトラストへの移行を担う専任の小規模チームを編成する。このチームには、ゼロトラスト戦略の立案と設計を主導するメンバーを割り当てる必要がある。アーキテクチャ変更やセキュリティ技術、ポリシーを組み合わせてゼロトラストを実現する仕組みについて、チームを教育することが重要だ。
以下のような複数分野に精通した人材の登用も検討すべきだ。
このステップは、組織の「攻撃対象領域」（アタックサーフェス）と潜在リスクを把握する上で不可欠だ。保護すべき資産を全て洗い出し、リスクの大きさに応じて更新や変更の優先順位を決める手掛りとなる。
まずデータやデバイス、サービス、アプリケーション、システム、ネットワークなど、保護すべきあらゆる資産を棚卸しする。網羅的かつ最新の状態を維持することが求められる。各資産には次の情報を付与することが望ましい。
これに併せて、既に導入済みのゼロトラスト関連コンポーネントを特定し始める。今後数カ月から数年以内に導入予定の技術がゼロトラスト戦略に組み込めるかを確認するため、現在のセキュリティ調達計画を見直すべきだ。
ゼロトラストに関するビジネス目標を明確にし、自社の現状と目標との差を把握するためギャップ分析を実施する。この分析では、利便性を保ちながらリスク相応のアクセス制限を実現することが要となる。
ゼロトラストの最適解は組織によって異なる。ギャップ分析には、開発中の製品やサービスが負う可能性のあるセキュリティリスクを特定し、事前対策を検討する「脅威モデリング」などの手法を取り入れると効果的だ。
ゼロトラストを実装するための万能なアプローチは存在しない。最適解は、各組織が保有する技術基盤や運用プロセス、課題、強みに応じて決まる。まず現状を棚卸しし、どの方式から着手すれば効果が高いかを見極める必要がある。米国国立標準技術研究所（NIST）は代表的なゼロトラストアーキテクチャを次の4種類に分類している。
ゼロトラストの全面的な導入は、数年単位の取り組みになると見込むべきだ。多くの組織は既に多要素認証や一部ネットワーク分割などの要素を持つが、足りない部分を補完し、既存資産を再構成しながら進める必要がある。そのためには、新たなエンタープライズ向けセキュリティ技術の選定および導入も避けて通れない。
計画段階では製品評価や調達、PoC（概念実証）、本番展開と工程が多く、それぞれに1年以上を要する場合がある。その間、既存のコンポーネントや運用プロセスを有効活用し、段階的にゼロトラスト体制へ移行することが重要だ。
計画には、以下の要素を含める必要がある。
ゼロトラストの導入は一度に大規模な変更を実施するのではなく、長期的に小さな改修を積み重ねる方が現実的だ。まずはシングルサインオン（SSO）のように早期に小さな成果を積み上げる「クイックウィン」を優先し、裏側で必要となる基盤整備を並行して進めるとよい。
各変更を展開する前には必ずユーザビリティを評価する。正式なテストが難しい場合は、技術スタッフを早期導入者として起用し、フィードバックを反映させた上で全社展開へ移行する。
実装フェーズごとに計画を点検し、状況に応じて更新することが肝心である。たとえば、既存のセキュリティ製品がゼロトラスト機能を追加した結果、別製品の導入が不要になるケースもある。
ゼロトラストは導入して終わりではなく、継続的に育成、改善すべきものだ。サイバー資産や業務プロセスが変化するたびにポリシーを見直し、最小権限と動的リスク評価の原則が常に機能するよう維持する必要がある。
そのためには、既存資産がゼロトラスト基準を満たし続けているかを監視し、新規資産を投入する際には必ず戦略に組み込む仕組みを整えることが求められる。
Copyright © ITmedia, Inc. All Rights Reserved.
なぜクラウド全盛の今「メインフレーム」が再び脚光を浴びるのか
メインフレームを支える人材の高齢化が進み、企業の基幹IT運用に大きなリスクが迫っている。一方で、メインフレームは再評価の時を迎えている。
「サイト内検索」＆「ライブチャット」売れ筋TOP5（2025年5月）
今週は、サイト内検索ツールとライブチャットの国内売れ筋TOP5をそれぞれ紹介します。
「ECプラットフォーム」売れ筋TOP10（2025年5月）
今週は、ECプラットフォーム製品（ECサイト構築ツール）の国内売れ筋TOP10を紹介します。
「パーソナライゼーション」＆「A／Bテスト」ツール売れ筋TOP5（2025年5月）
今週は、パーソナライゼーション製品と「A／Bテスト」ツールの国内売れ筋各TOP5を紹介し...
ITmediaはアイティメディア株式会社の登録商標です。
