ゼロトラストモデルの強みと弱みを徹底的に解説

米国の法廷では、被告人は有罪と証明されるまで無罪とみなされます。ゼロトラスト・セキュリティモデルでは、その逆が当てはまります。すべてのもの、すべての人が疑われているとみなされ、質問され、調査され、クロスチェックされ、それが許可されても安全であることが絶対的に確認できるまでは、すべてのものが許可されていなければなりません。

ゼロトラストは、ジョン・キンダーバーグ氏がフォレスター・リサーチの副社長兼主席アナリストを務めていた2010年に考案した概念です。Kindervag氏は、サイバー攻撃、特にネットワーク内での脅威の横移動を阻止するための組織内部の失敗を見ていたとき、従来のセキュリティモデルは、組織のネットワーク内のすべてのものが信頼できるという時代遅れの仮定の上で運用されていることに気づきました。その代わりに、ゼロトラストはそのモデルを逆転させ、「絶対に信頼しない、常に検証する」という指導原則に従ってITチームを指導し、ネットワーク内部のユーザーとデータを含む境界線を再定義しました。

過去10年の間に、多くの企業がゼロトラストモデルに移行し、古い城と砦の考え方を壊し、インサイダーの脅威の現実を受け入れるようになりました。ここでは、ゼロトラストの強みと弱みを含めたゼロトラストの内部を見ていき、組織が自社の壁の中でゼロトラストの哲学を受け入れるべきか、それとも別の方法を検討すべきかを評価するのに役立ちます。

ゼロトラストの定義

ゼロトラストは情報セキュリティのフレームワークであり、組織はネットワークの境界線の内外を問わず、いかなるエンティティも信用してはならないとしています。ゼロトラストは、組織やその従業員、請負業者がビジネスデータにアクセスするために使用するすべてのデバイス、ユーザー、アプリ、ネットワークを安全に保護、管理、監視するために必要な可視性とITコントロールを提供します。

ゼロトラスト構成の目標は明確でなければなりません。財務部門の従業員は会計ソフトを必要としており、それ以外の従業員はアクセスを禁止すべきである。リモートワーカーはVPNを使用すべきであり、オープンインターネットからのアクセスは禁止すべきです。データ共有は制限され、制御されるべきです。かつてインターネットの礎の一つであった情報の自由な流れは、ネットワークへの侵入からネットワークを守り、プライバシー侵害から顧客を守り、インフラストラクチャーやオペレーションへの攻撃から組織を守るために、制限される必要があります。

ゼロトラストの戦略は、入出庫トラフィックを精査することに集約されます。しかし、これが他のセキュリティモデルとの違いは、内部トラフィック、つまり組織の境界線を越えていないトラフィックであっても、潜在的な危険性として扱われなければならないということです。

これは深刻に見えるかもしれませんが、過去10年間の脅威の状況の変化を考えてみましょう。何百件もの公開データの漏洩や漏洩、都市、学校、医療機関の数千ものエンドポイントに対するランサムウェア攻撃による業務停止、ビジネスデータベースから盗まれた何百万ものユーザーの個人情報などがあります。サイバー犯罪者が2020年に向けてビジネスターゲットに焦点を当て続ける中、ゼロトラストは、増加する攻撃を阻止するためのスマートなアプローチのように思われます。

ゼロトラストの導入

組織にゼロトラスト・セキュリティモデルを導入することは、単に考え方を変えるだけではありません。会社の部門内の機能、現在導入されているソフトウェア、アクセスレベル、デバイス、そしてそれらの要件のそれぞれが将来的にどのようになるのかを明確に把握する必要があります。

ゼロトラスト・ネットワークをゼロから構築することは、既存のネットワークをゼロトラストに再編成するよりも、移行期間中も既存のネットワークの機能を維持する必要があるため、容易であることが多い。どちらのシナリオにおいても、IT チームとセキュリティチームは、理想的な最終的なインフラストラクチャと、そこに到達するためのステップバイステップの戦略を含む合意された戦略を策定する必要があります。

例えば、リソースセンターやデータセンターを設置する場合、組織はほぼゼロから始めなければならない場合があります。特にレガシーシステムがゼロトラストのフレームワークと互換性がない場合は特にそうです。しかし、企業がゼロから始める必要がない場合でも、ソフトウェアの導入方法や従業員の登用方法、使用するストレージの方法など、セキュリティポリシー内の特定の機能を再編成する必要があるかもしれません。

ゼロトラストの強み

ゼロトラストを組織のインフラストラクチャの基盤に組み込むことで、ITとセキュリティの基盤となる多くの柱を強化することができます。身分証明書やアクセスポリシーの強化やデータのセグメント化など、簡単な侵入障壁を追加し、必要に応じてアクセスを許可することで、ゼロトラストは組織のセキュリティ態勢を強化し、攻撃対象を限定するのに役立ちます。

ここでは、組織が取り入れるべきだと考える「ゼロトラスト」の4つの柱を紹介します。

  • 強力なユーザー識別とアクセスポリシー
  • データと資源のセグメンテーション
  • ストレージと転送における強力なデータセキュリティ
  • セキュリティオーケストレーション

ユーザーの識別とアクセス

多要素認証(MFA)で安全な要素の組み合わせを使用することで、チームは誰がリクエストを行っているのかを十分に把握することができ、よく考え抜かれたポリシー構造は、その識別に基づいてどのリソースにアクセスできるかを確認する必要があります。

多くの組織では、シングル・サインオン・サービスを使用した IDaaS(Identity-as-a-Service)クラウド・プラットフォームを選択することで、データやアプリケーションへのアクセスをゲートしています。ゼロトラスト・モデルでは、アクセスを許可する前に、アクセスを要求している人、要求の文脈、およびアクセス環境のリスクを検証することで、アクセスをさらに保護します。場合によっては、これはリソースの機能を制限することを意味します。他のケースでは、認証やセッションのタイムアウトを追加することになるかもしれません。

セグメンテーション

しかし、堅牢なアクセスポリシーは、データとリソースを適切にセグメント化しなければ意味をなさない。入口テストに合格した人なら誰でも好きなものに飛び込んでアクセスできるようなデータの大きなプールを作っても、機密データが共有されるのを防ぐことはできませんし、内部の人間がセキュリティツールやその他のリソースを悪用するのを防ぐこともできません。

組織のネットワークをセグメントに分割することで、ゼロトラストは不正なユーザーから重要な知的財産を保護し、脆弱なシステムを十分にガードすることで攻撃の対象を減らし、ネットワークを介した脅威の横移動を防ぎます。また、セグメント化は、従業員に物理的な危険をもたらす可能性のあるインサイダーの脅威を含む、インサイダーの脅威の影響を制限するのに役立ちます。

データセキュリティ

データへのアクセスを制限し、セグメンテーションによって攻撃の対象を減らしても、組織は保管中および輸送中のデータを安全に保護しなければ、データの侵害、データ漏洩、およびデータの傍受の危険にさらされることになります。エンドツーエンドの暗号化、ハッシュ化されたデータ、自動化されたバックアップ、および漏洩したバケットの安全性を確保することは、組織がゼロトラストをデータセキュリティ計画に導入できる方法です。

セキュリティ・オーケストレーション

最後に、これらの柱のすべてに通じるものとして、セキュリティオーケストレーションの重要性があります。セキュリティ管理システムがなくても、ゼロトラストを利用する組織は、セキュリティソリューションがうまく連携して、可能性のあるすべての攻撃ベクトルをカバーできるようにする必要があります。重複はそれ自体は問題ではありませんが、効率を最大化し、競合を最小化するための適切な設定を見つけるのは厄介なことです。

ゼロトラストの課題

ゼロトラストは、ユーザー、エンドユーザーデバイス、API、IoT、マイクロサービス、コンテナなどからのネットワーク、アプリケーション、環境全体のアクセスを確保するための包括的なアプローチとされています。ワークフォース、ワークロード、職場を保護することを目的としていますが、ゼロトラストにはいくつかの課題があります。それには以下のようなものがあります。

  • 利用者の種類が増えてきている(オフィスでもテレワークでも)
  • より多くの異なる種類のデバイス(モバイル、IoT、バイオテック)
  • より多くの異なる種類のアプリケーション(CMS、イントラネット、デザインプラットフォーム)
  • データ(ドライブ、クラウド、エッジ)にアクセスして保存する方法を増やしました

そう遠くない過去には、労働者の大多数が労働時間の大半を勤務地で過ごすことが当たり前のように行われていました。しかし、フォーブスによると、米国の人口の少なくとも50%が何らかの形でリモートワークに従事していると言われている現在はそうではありません。つまり、VPNサービスを利用しない限り、自宅のIPやルーター、公衆Wi-Fiからデータにアクセスすることになります。

しかし、ユーザーは必ずしも労働力に限定されているわけではありません。顧客は、業界によっては組織のリソースにアクセスする必要があることもあります。例えば、次の配送先の注文を選択したり、在庫を確認したり、デモやトライアルに参加したり、もちろん企業のウェブサイトにアクセスしたりする顧客の場合を考えてみましょう。サプライヤーやサードパーティのサービス会社は、オペレーション、安全性、進捗状況を確認するために、組織のインフラストラクチャの他の部分にアクセスする必要があるかもしれません。

これらの例はいずれも、ユーザー層のばらつきが大きく、カバーすべきアクセスポイントの数が多いことを示しています。これらのグループや個人ごとに具体的なポリシーを策定するのは時間のかかる作業であり、新しい従業員や顧客の流入を継続的に維持することは、今後この作業を管理する者にとって大きな負担となります。

デバイス

BYODポリシーとIoT機器、さらにはリモート従業員のための「常時接続」というメンタリティの時代にあって、組織は仕事で使用されるデバイスとそれに付属するオペレーティング・システムの多様性を許容しなければなりません。これらのデバイスにはそれぞれ独自の特性、要件、通信プロトコルがあり、ゼロトラスト・モデルの下で追跡し、保護する必要があります。繰り返しになりますが、これにはもう少し前もっての作業が必要ですが、プラスの結果が得られる可能性が高いです。

アプリケーション

ゼロトラスト戦略を採用する際に考慮しなければならないもう一つの困難な要因は、組織全体で人々やチームが共同作業やコミュニケーションを行うために使用されているアプリケーションの数です。これらのアプリケーションの中で最も汎用性の高いものは、クラウドベースのもので、複数のプラットフォームで使用することができます。しかし、この汎用性は、何を許可して何を許可しないかを決定する際に、複雑な要因となることがあります。

アプリはサードパーティのサービス、代理店、またはベンダーと共有されているか?コミュニケーションプラットフォームは外向きで、従業員だけのものではありませんか?このアプリケーションは、財務、デザイン、プログラミングなどの特定の部門にのみ必要なものなのか?やみくもに全従業員のために60のアプリケーションのスタックを採用する前に、これらの質問のすべてに答えなければなりません。

データ

旧来のセキュリティポリシーが支持されなくなってきている理由の1つは、もはや保護すべき場所が1つではなく、固定された場所になってしまったことです。組織はエンドポイントや企業ネットワークだけを保護することはできません。リソース、データ、さらにはアプリケーションまでもがクラウドベースの環境に保存されるケースが増えています。

これは、エッジ・コンピューティングへの移行の可能性があるため、IT チームは中央集権型のトップダウン・インフラストラクチャから分散型の信頼モデルへの切り替えが必要になることで、さらに複雑化しています。漏洩したクラウドリソース(AWSバケットやエラスティックサーバー)についてのシリーズで見てきたように、企業がゼロトラスト戦略の最弱のリンクとして終わることを望まないのであれば、クラウドサービスやそれ以降のデータインフラストラクチャの構成は完璧である必要があります。

信用するかしないか

ゼロトラスト・セキュリティフレームワークへのオーバーホールは簡単にはできませんが、組織全体のセキュリティ姿勢と意識を強化することができると私たちは考えています。古参の経営者を説得しようとしているITチームは、自分たちの主張をするために、絶好の機会を探しているかもしれません。例えば、すでにクラウドベースのリソースへの移行が計画されている場合は、ゼロトラストの採用を提案するのに適したタイミングです。

VPNやCitrixの最近の脆弱性や、リモート・デスクトップ・プロトコル(RDP)を介して配信されるランサムウェアなど、脅威の状況が変化しているため、アイデンティティとアクセス管理のためだけにゼロトラスト・ソリューションを調査する組織が増えているかもしれません。これらの組織は、移行期間を設け、大きな変化に備える必要があります。

境界線内のトラフィックを自動的に許可しない適切なゼロトラストのフレームワークは、ハッカーが侵害されたネットワークを掌握するために使用する横方向の脅威の動きを確実に妨げることになります。EmotetやTrickBotのようなビジネスに焦点を当てたトップレベルの脅威は、セグメント化されたネットワークの中でサーバからサーバへと移動することができないため、拡散の妨げになります。侵入ポイントは通常、攻撃者のターゲットとなる場所ではないため、内部境界線を設定することで、攻撃が成功した場合の深刻度を制限することもできます。

これらの層に、強力なデータセキュリティの衛生管理と、脅威の種類、オペレーティングシステム、およびプラットフォームを幅広くカバーするインテリジェントなオーケストレーションを加えれば、企業は、今日のセキュリティフレームワークを打ち破るのはかなり困難になるでしょう。私たちの目には、これがゼロトラストをヒーローにしていると映っています。

SNSでもご購読できます。

コメントを残す

*