現在、ネットワークセキュリティで「ゼロトラストモデル」「ゼロトラストネットワーク」という概念が注目を集めています。
“ゼロトラスト＝Zero Trust”とは、日本語で「信用できない」という意味になります。これまでのネットワークセキュリティは、境界防御が一般的でしたが、ゼロトラストでは内部ネットワークも“信用しない”セキュリティモデルです。
この記事では、ゼロトラストモデルの仕組みやメリットを従来のネットワークセキュリティと比較しながら解説します。
従来モデルの境界防御とは？
セキュリティとウイルスなどのサイバー攻撃は、いたちごっこを繰り返していました。そのためエンドポイントのセキュリティは、脅威の侵入を「予防」することに重点が置かれていましたが、侵入は100%防ぐことはできないという考え方から「侵入されることを前提」として、できるだけ早い「検知」と「対処」によって、被害を最小限に食い止めるセキュリティ対策へと変化してきました。
◎「EDR」とは？ エンドポイントセキュリティの重要性とともに解説
また、これまでのネットワークセキュリティでは、境界防御モデル（ペリメタセキュリティ）が一般的でした。境界防御とは、内部ネットワークを信頼できる領域と考え、基幹システム、業務系ソフトウェア、ファイルサーバーなど機密性の高い情報を設置します。一方でインターネット（外部ネットワーク）を危険と考え、内部と外部の境界線にUTM（Unified Threat Management＝総合脅威管理システム）、IDS（Intrusion Detection System）、IPS（Intrusion Prevention System）などを導入するセキュリティ対策です。
つまり内部ネットワークは信用し、外部は信用しないというセキュリティ対策になります。
ゼロトラストが注目され始めた背景
ゼロトラストモデルが注目され始めた背景には、クラウドサービスの普及と働き方の多様化が挙げられます。
クラウドサービス（SaaS）の普及とマルチデバイス
テクノロジーと通信技術の発展で、近年世界中でクラウドサービスが爆発的に普及しています。日本も例外ではありません。総務省「平成30年通信利用動向調査の結果」によると、「全体的に利用している」「一部の事務所又は部門で利用している」と回答した企業の割合は2016年には46.9%でしたが、2018年には58.7%と2年で10%以上も増加しています。
基幹システム、ファイルサーバもクラウド上で管理する企業が増え、内部ネットワークに守るべき情報資産がなくなってきた、という現状があります。それに伴い、モバイル端末のビジネス利用も増えています。つまり内部ネットワークを介さずに直接インターネット経由で、クラウドサービスを利用するため境界防御の概念自体が成り立たなくなってきています。
働き方の多様化
働き方の多様化もクラウドサービスとモバイル端末の普及に並び、車の両輪のようにネットワークセキュリティの変化を促進させています。働き方改革により、テレワークやモバイルワークなどオフィス以外で働くスタイルが普及してきたため、社外からさまざまなデバイスを通してクラウドや内部ネットワークに接続します。
そのためリモートアクセスには安全性・利便性が高いVPNを利用するのが一般的です。しかし、リモートアクセスの数が増えていることと、認証情報さえあればアクセスできる仕組みになっているため、境界防御による内部ネットワークは安全とはいえなくなってきています。
たとえば、BYODで企業ネットワークにアクセスが認められているケースで、端末の紛失・盗難・乗っ取りが起きると、簡単に情報資産にアクセスされてしまいます。
◎VPNとは？インターネット接続の安全性を高めるVPNについて解説
ゼロトラストモデルのメリットと事例
ゼロトラストモデルの仕組みについて説明します。
ゼロトラストモデルは、ネットワーク内外の境界を排除し、守るべき情報資産にアクセスするものはすべて検証し、脅威を防ぐという考え方です。アクセス制御の地点を境界から各ユーザー・デバイスに移すことで、すべてのトラフィックを検証し、安全性を確保します。
裏を返せば「いつでも、どこからでも情報資産に安全にアクセスできる」ということになります。つまりゼロトラストモデルは、現行の働き方やデジタルトランスフォーメーション自体にもっともフィットしたセキュリティ対策といえます。
ゼロトラストモデルの事例：グーグルのBeyondCorp
グーグルは以前より「社外からVPNを介さずにインターネットからどこでも内部ネットワークにアクセスする」環境を構築しています。それが「BeyondCorp」です。
考え方や仕組みはゼロトラストモデルと同様で、ユーザーと端末の情報に応じたアクセス権が付与される仕組みです。そのためグーグルは、従業員はもちろん、契約業者もいつでもどこでもインターネットを介して、社内の情報やサービスにアクセスすることが可能となりました。
ゼロトラストモデルは働き方改革に必要なセキュリティ
これまで解説してきたように、ゼロトラストモデルはテレワークなどの多様な働き方を促進する際の足かせとなっていたセキュリティ問題を解決しうる新しい概念です。
場所やデバイスを選ばずに、いつでも社内ネットワークに安全にアクセスできることは、業務効率化の観点からも革新的といえるでしょう。またクラウドサービスが一般的となった現在は、必須ともいえるセキュリティ対策かもしれません。
2020年から5Gが実用化され、IoTやビッグデータ、AIの活用がさらに進むと、ゼロトラストモデルの必要性はさらに増してくるでしょう。
一方で、新しい概念のため、導入にはコストや技術面でのハードルがいくつか存在します。理想の働き方と生産性、必要なセキュリティ対策をしっかりと見極めて、今後の導入に向けて検討してみてはいかがでしょうか。
