十分なモチベーションと時間とリソースがあれば、敵対者は最終的には組織の防御を突破する方法を考案します。残念ながら、そのような事態が発生した場合、ほとんどのセキュリティ製品は「攻撃に気付く事なく予防に失敗」してしまいます。侵入を検出することはおろか、侵入を警告することもできません。これにより、攻撃者は数週間から数ヶ月間、お客様の環境を自由に徘徊することができます。この状況は、可視性、セキュリティリソース、専門知識の不足によって更に悪化する可能性もあります。
現代社会の企業は、リモートアクセスであるVPNの現代的な後継として、ゼロトラスト・リモートアクセス・ソリューション（ZTRA）を評価しています。（ゼロトラストの原理や原則を詳しく知りたい方はこちらもご覧ください。）
VPNの起源は1996年にさかのぼりますが、当時はデータセンターがもっとシンプルで静的で、インターネットへの露出が少なかった時代でした。
Active Directory (AD)は、MicrosoftがWindows 2000 Serverで最初にリリースした1999年から存在しています。長年にわたり、IDベースの関連活動を管理するための重要なオンプレミスサービスとなっています。しかし、クラウドサービスやアプリケーションに対する需要の高まりに伴い、昨今の企業はADがクラウド中心の世界や今日のユースケース向けに構築されたものではないことに気づき始めています。
ゼロトラストネットワークアクセス（ZTNA）は、従来の技術に取って代わる新しい概念です。もう従業員やパートナーに過度の信頼を寄せてアクセス環境を用意する必要はありません。セキュリティやリスクマネジメントの責任者は、従業員やパートナー向けのアプリケーションを対象としたゼロトラストネットワークアクセス（ZTNA）プロジェクトを計画する必要がでてきています。
大手IaaSプロバイダーの自動化、プログラム化されたインフラストラクチャ、および組み込みのセキュリティ機能により、企業はパブリッククラウドのインフラ構成を改善し、規模を迅速に拡大することができます。適切に管理されていれば、パブリッククラウドであってもデータセンターよりも優れたセキュリティをクラウドで確保することができます。尚、本記事ではゼロトラストという考え方に則った形でセキュリティを強化する内容になっています。ゼロトラストの原理や原則をより詳しく知りたい方はこちらもご覧ください。
テレワーク対応を業務環境として容易する企業が増加している一方で、社内インフラがテレワークに対応出来ていない、セキュリティ上の懸念があるとのことから、一部の経営者はリモートアクセスを許容することやテレワーク体制を採用することを躊躇しています。例えば、従業員が沖縄やバリのコーヒーショップで公衆無線LANを使って会社のデータにアクセスすることは、セキュリティの責任者にとって最悪の悪夢です。しかし、コロナウィルスも広がっている中で、今後もテレワーク体制の整備、そのためのセキュリティ対策強化やペーパーレスの推進は今後も続くでしょう。
世界的なコロナウイルスのパンデミックは、多くの経済的なインパクトを及ぼしています。そしてそれを防ぐべく、各国は堅牢な検疫体制の強化を進めています。日本の緊急事態宣言による、外出自粛・テレワーク対応要請も顕著な例の一つです。これらの政策は、リモートアクセス時の認証情報や脆弱な個人用デバイス、はたまた保護されていないエンドポイントまで、標的型のサイバー攻撃急増を引き起こしています。そしてこのような混沌とした状況は、セキュリティ責任者やCISOの肩に重い責任を負わせています。
この記事の最後のテンプレートでは、組織のサイバー防御がこの困難な時代をうまく乗り切るためにチェックすべき基本的なプラクティスを簡潔、明確、かつ実行可能な形でまとめています。
多くの企業では、オフィスや従業員にテレワークをさせるために、仮想プライベートネットワーク（VPN）に接続させます。しかし、VPNは昨今ハッカーの主要なターゲットになっています。たとえあなたの会社がファイヤーウォールなどとVPNをつなぐなどセキュリティ面において非常に優れていても、セキュリティは一部でも欠陥があると攻撃者がは防御を迂回して壊滅的な打撃を与える事が出来てしまいます。
業者やサービス提供者に許可を与える事業者はよりセキュリティ面に注意を払う必要があります。
ハッカーは自分たちでターゲットを決めて、何十もの社内ネットワークに潜入することができます。複数のベンダーにまたがるソリューションは、人為的な設定ミスを招き、セキュリティホールを生み出しかねません。なるべく単一のベンダーにて事業を展開していきましょう。さらにこのチェックリストを使用して、より安全なセキュリティアプローチを1社でも多くの企業が展開出来ることを祈っています。
ゼロトラストセキュリティとは、「信頼された」内部ネットワークと「信頼されていない 」外部ネットワーク、という考えを捨てるべく生まれたセキュリティ対策の考え方です。
企業がモバイル端末とクラウドサーバーを利用することは、もはや自然な事となりました。それはつまり、ネットワークの境界線を中心のするセキュリティ対策の終わりを意味します。いわゆるペリメタモデルです。そしてその境界型セキュリティの代わりに、場所/デバイス/ネットワーク環境に関係なく、さまざまな利用者（従業員、パートナー、契約者など）のアクセスを安全に可能にする必要がでてきました。ゼロトラスト・セキュリティを実現するための銀の弾丸はありませんが、IDとアクセス管理は、企業がゼロトラストへの対応を始める上で中心となる技術です。
この記事では、ゼロトラストの誕生につながった背景としてどのような環境の変化があったのか、最先端のゼロトラスト拡張エコシステム（ZTX）フレームワークはどのようなものなのか、企業が現在および将来のゼロトラストプログラムを成功させるための基盤としてIDaaSをどのように活用できるかを探ります。尚、ゼロトラストの原理や原則を詳しく知りたい方はこちらもご覧ください。
