ゼロトラスト・セキュリティとは？背景の解説やCARTAへの道筋など徹底解説

ほぼすべてのゼロトラストプロジェクトは、2つのタイプのゼロトラストネットワーキングのうちの1つを参照しています。なぜネットワーキングなのか？インターネットは、接続をブロックするために設計されたのではなく、簡単に接続できるように設計されています。インターネットは本質的に弱い識別子（具体的にはIPアドレス）を使って接続します。IPアドレスとルートがあれば、他のIPアドレスに接続して通信することができます。IPアドレスは認証機構として設計されていません。認証の面倒な問題は、スタックの上位レベル、一般的には OS やアプリケーション層で処理されます。ネットワーク接続では、このデフォルトの許可姿勢は、過剰な量の暗黙の信頼を生み出します。

攻撃者はこの信頼を悪用します。最初にパブリック・インターネットに接続した企業は、社内ネットワークがインターネットに接続するための境界線が必要であることにすぐに気付きました。これが最終的に、境界ファイアウォールの数十億ドル規模の市場を生み出しました。内部のネットワーク化されたシステムは「信頼された」ものであり、お互いに自由に通信することができました。外部システムは「信頼されていない」システムであり、外部との通信は、インバウンドでもアウトバウンドでも、デフォルトでブロックされていました。必要に応じて、ファイアウォールに穴を開けて例外ルールを設定する必要がありました。

レガシーな境界線セキュリティは、デジタルビジネスやデジタル政府の要件に対応することはできませんし、拡張性もありません。デジタルトランスフォーメーション（DX）は、セキュリティモデル全体を覆し、レガシーなネットワークセキュリティモデルのリスクをさらに増大させます。その結果、次のようなことが起きています。

• 社内のユーザーよりも社外のユーザーの方が、社内のユーザーよりもシステムやサービスにアクセスする数が多くなります。
• 当社のシステムやサービスに接続する非管理型端末の数は、管理型端末の数を上回ります。
• 社内のユーザーは、社内のユーザーよりも社外から配信されるアプリケーションや SaaSサービスを多く利用するようになります。
• 支店からのトラフィックは、データセンター経由よりもインターネット経由の方が多くなります。
• モバイル・ユーザーや管理されていない端末の世界では、IPアドレスは一時的なものであり、多くの場合、アドレス変換が使用されます。モバイルユーザーのアプリケーションやサービスへのアクセスを IP アドレスに基づいて制限しようとしても無駄であり、ユーザーは、SaaS アプリケーションであっても、アクセスのためにオンプレミスのシステムを経由してトラフィックをルーティングするために、ネットワークの体操を行わざるを得ません。セキュリティ・ポリシーを設定するためにIPアドレスを使用することは効果的ではありません。
• 最近のハイブリッド・データセンターやパブリック・クラウドのIaaSでは、VMやコンテナ、サーバーレス機能を使用したクラウドネイティブ・アーキテクチャを採用しており、IPアドレスは一過性のものであり、多くの場合、アドレス変換が使用されています。繰り返しになりますが、IPアドレスはセキュリティポリシーを設定するための効果的な方法ではありません。

レガシー・ネットワークの「内側対外側」（南北とも呼ばれる）境界線の価値が低下すると、ネットワーク・トラストを構築するための新しいアプローチが必要になります。これは、境界線がなくなるという意味ではありません。ペリメーターレス」ネットワークに関する誇大広告は、実際には信頼の境界線の数が減少するのではなく、増加することになるため、見当違いです。ペリメータはより細かくなり、保護している論理的なエンティティ、特にユーザー、端末、アプリケーション、ワークロード（マイクロサービス・アーキテクチャのネットワーク化されたコンテナを含む）のアイデンティティに近づくべきです。これが、「アイデンティティが新しい境界線」という言葉が広く使われている理由です。このシフトは、ハイブリッドデータセンター内からのネットワーク接続と、企業のシステムやアプリケーションへの外部ネットワークアクセスの両方に適用されます。

信頼はIPアドレスで確立されるべきではありません。ユーザーの場合は、ユーザーと端末の信頼性を文脈に沿って評価し、データ、アプリケーション、またはトランザクションにアクセスされるリスクを評価して、信頼を確立する必要があります。ワークロードとアプリケーションについては、信頼は、アイデンティティ、実行中のアプリケーション/サービス、処理されるデータ、および関連するタグ/ラベルを含むワークロードの文脈に基づく評価に基づいて確立されるべきである。このような変化と、攻撃の表面積を減らすことでリスクを軽減する必要性から、2つのゼロトラスト・ネットワーキング・プロジェクトに大きな関心が寄せられています。1つのプロジェクトはネットワーク内部の攻撃からの保護を強化し（「悪いものを外に出さない」）、もう1つのプロジェクトは安全なアクセスを強化し（「良いものを中に入れる」）ます。これらのプロジェクトは、CARTA戦略的アプローチに直接対応させることができます。

CARTA の戦略的アプローチでは、情報セキュリティを、リスクと信頼のレベルに基づいたデータ駆動型のフィードバックループを持つ、絡み合い、相互に依存した適応的なプロセス、機能、およびコントロールのセットとして捉えています。さらに、CARTA は、このアプローチを新しいデジタル機能の創出やリスクガバナンスにまで拡大しています。リスクと信頼の評価と可視化、そしてコンテキストの交換が、デジタルビジネスの免疫システムとなります。

その結果、私たちが実際に観察しているリスクと信頼の相対的なレベルに基づいて、常に監視、評価、学習、適応を行っている情報セキュリティの未来の姿が見えてきます。情報セキュリティは、データ駆動型の継続的な改善プロセスになりつつあります。CARTA を構築する研究では、製造業における継続的な改善との類似点を多く発見しました。

デジタルビジネスの世界では、物事を成し遂げるためには信頼が必要です。一度拡張された信頼は、固定された量であってはなりません。信頼は、現在の状況やリスクレベルに応じて適応し、最適化されなければならない。私たちはこれを「ジャストインタイム、ジャストイーブンの信頼」と表現してきましたが、これはリーン製造オペレーションにおける在庫によく似ています。同様に、製造業では、物事を完了させるために在庫が必要です。”セキュリティにおける「信頼をゼロにする」というのは、製造環境における「在庫をゼロにする」のと同じことです。両方とも、熱望的である。しかし、信頼、および在庫は、物事を完了させるために必要とされています。

また、一度信頼が広がれば、リスクは避けられない。製造業では、生産が始まれば、ある程度の数の欠陥は避けられません。”リスクゼロ “は “欠陥ゼロ “と同じくらい達成不可能です。単に「不良ゼロ」をイデオロギーとして採用するだけでは、継続的改善のためのライフサイクルアプローチやシックスシグマの品質管理プログラムの方法論は生まれません。シックスシグマは、製造業における継続的改善のための規律ある戦略的アプローチです。それが情報セキュリティのCARTAであり、リスクと信頼を継続的に評価することで、情報セキュリティに継続的な改善をもたらす規律ある戦略的アプローチなのです。CARTAの戦略的アプローチは、情報セキュリティのためのシックスシグマです。

信頼は、インベントリと同様に、現在の状況に応じてリスクを最適化しなければなりません。ゼロの信頼はゴールではなく、リーンの信頼（「リスクに最適化された信頼」、「リスクに応じた信頼」、「適応的な信頼」とも言う）がゴールです。リーン生産では、継続的な改善とデータに基づいた意思決定が、適応して無駄を最小限に抑えるために用いられます。リーン・トラストでは、CARTAにインスパイアされた継続的な改善とデータに基づくリスクベースの意思決定が、ジャスト・イン・タイムなジャスト・イーブン・トラストを提供するために使用されます。過剰な在庫と同様に、過剰な信頼は無駄であり、組織にとってのコストとなります。トラストの使用は、在庫と同様に最適化されなければなりません。CARTA の戦略的アプローチは、現在の状況やリスクレベル、組織のリスク許容度を考慮した上で、無駄のない信頼（ジャストインタイムで十分な信頼）をサポートするセキュリティインフラを想定しています。

ここで紹介した 2 つのゼロトラストネットワーキングプロジェクト以外にも、情報セキュリティの分野には、過剰な信頼が攻撃者の標的となる潜在的なリスクの集中を生み出しているものがたくさんあると考えています。CARTAにインスパイアされた「リーン・トラスト」や「リスクに最適化されたトラスト」の概念を適用することで、組織はこれらの過剰な信頼の特定の領域をターゲットにすることで、全体的なセキュリティ態勢を大幅に改善することができると考えており、今後の研究で検討されるであろう新しいアプローチを用いています。