まず、ゼロトラストのセキュリティ構築に必要な機能面から見ていきます。IPA（情報処理推進機構）が2022年6月に発表した「ゼロトラスト移行のすゝめ」では、ゼロトラストを構成する要素としては次の仕組みが挙げられています。

• IDaaS（ID as a Service）
  • ID管理、シングルサインオン
• MDM（Mobile Device Management）
  • デバイスの機能制限、紛失時の対応
• EPP（Endpoint Protect Platform）
  • マルウェアの検知・遮断
• EDR（Endpoint Detection and Response）
  • 監視機能、攻撃を受けた後の対応
• IAP（Identity Aware Proxy）
  • アプリケーション単位の接続制御
• SWG（Secure Web Gateway）
  • 悪性なWEBコンテンツへのアクセス制限
• CASB（Cloud Access Security Broker）
  • シャドーITの可視化・制限、クラウドサービス利用時のマルウェア検出
• DLP（Data Loss Prevention）
  • 機密情報の不正な取り扱い防止
• IRM（Information Right Management）
  • 機密ファイルやメールの暗号化とアクセス制御
• SIEM（Security Information and Event Management）
  • あらゆる機器からのログ集約と可視化、収集したログの分析

　ゼロトラストを実現するには、これらの仕組みを併用することが基本になります。そのためには、設計・構築段階からゼロトラストを意識しなければなりません。その際に重要になるのは、ネットワークとセキュリティの両面からゼロトラストの構築を検討することです。

　例えば、ネットワークの面では「SD-WAN」（ソフトウェア定義WAN）の併用を検討することがあります。調査会社Gartnerが提唱した概念「SASE」（Secure Access Service Edge）のネットワーク機能に位置付けられます。SASEはセキュリティとネットワークの機能をクラウドでまとめて提供する概念であり、ゼロトラストを構成する要素も含まれています。

　ゼロトラストのセキュリティを構築し、その効果を最大限に引き出すためには、セキュリティポリシーの見直しも必要になります。例えば、

• 職務におけるアクセス権限の整理
• ユーザーとデバイスのひも付けとそのアクセス管理
• デバイスにおけるOSやアプリケーションのセキュリティアップデート
• 業務で使用可能なアプリケーションの定義

などが挙げられます。セキュリティポリシーの見直しについては経営層も認識する必要があります。まずは経営層がセキュリティリスクを正しく捉え、企業価値の維持、向上にゼロトラストが重要であることを意識して施策を推進する必要があります。

導入前に押さえておくべき注意点

　ゼロトラストのアーキテクチャの基本として参考になるのが、NIST（米国国立標準技術研究所）が発行するガイドライン「NIST SP 800-207」です。ゼロトラストのアーキテクチャに関して7つの考え方が示されています。IPAもゼロトラスト移行のすゝめの中で、ゼロトラストの前提知識としてこれら7つの考え方に触れています。

　SASEは、こうしたゼロトラストの構成要素を実現する機能の一つであり、それをクラウドによって実現するものです。SASEを導入することは影響範囲が全社に及ぶため、導入前の準備は重要です。複数のセキュリティツールを導入、あるいは見直すことになるため、コストも時間もかかりがちです。場合によっては数年をかけて導入を進めることもあります。

　複数のツールを新規で導入したり、従来の防御対策の後継として導入したりすると、コストが増加する場合もあります。一方で社内に設置していたセキュリティアプライアンスやサーバが不要になり、コスト効率化ができる場合もあります。ゼロトラストを構成する複数の機能を搭載したツールもあるので、ベンダーと相談しながら最適な製品やサービスを選ぶべきです。

　SASEを段階的に導入すると、その順番によっては従業員がシステムを利用する際の負荷が高くなることもあります。ゼロトラストを実装するとユーザー認証が厳しくなり、ユーザーの手間が増えてしまうことがあります。そのため、多要素認証とSSO（シングルサインオン）の仕組みを合わせて導入することも、ユーザーに負担を掛けないためには有効な選択となります。

　例えばNTTPCコミュニケーションズのゼロトラスト製品「Secure Access Gateway」には、

• DNSセキュリティ
• セキュアWebゲートウェイ
• セキュアエンドポイント
• SSO（IDaaS）

がラインアップされており、1つのツールで複数の機能を導入することができます。これにSD-WANの「Master'sONE CloudWAN」を加えることで、1つのベンダー製品でSASEを実現することができます。

　次回はゼロトラスト実装を進めるためのステップを3段階に分けて解説します。