fbpx

政府機関のためのゼロトラスト対応手引き

好きな所から読む

序章

政府機関に対するサイバーセキュリティ攻撃の頻発と絶え間なく高度化していることから、1つのシンプルな真実が導き出されました。これが、政府の最高情報責任者(CIO)と最高情報セキュリティ責任者(CISO)のデフォルトの地位に急速になりつつあるゼロトラストへの動きの背後にあるコンセプトです。

ゼロトラストの原理や原則を詳しく知りたい方はこちらもご覧ください。今だけ無料で公開されているようです。

バックグラウンドリーディング

背景については、ゼロトラストに関する最近の2つのレポートをお読みください。

ゼロトラスト・モデルは、これらの指針に基づいて構築されています。

  • ネットワークは常に敵対的であると仮定しなければならない
  • ネットワーク上には、外部脅威と内部脅威が常に存在します。
  • ネットワークの信頼性を決定するためには、局所性が十分ではない
  • すべてのデバイス、ユーザー、ネットワークフローは認証され、承認されなければなりません。
  • セキュリティポリシーは、可能な限り多くのデータソースから動的に決定される必要があります。

政府機関やネットワークには、特定のニーズがあることが多い。

  • 複数のハードウェアとソフトウェアの世代にまたがるレガシーアプリケーションとプラットフォームに依存しています。
  • 極めて機密性の高いデータを安全な施設に保管していることが多い
  • 敵対的な国民国家を含む複数のアクターから継続的な攻撃を受けていることが多い。

米連邦政府人事管理局(OPM)におけるセキュリティ侵害

米国史上最悪の政府情報漏洩事件

米連邦政府人事管理局とは、米国連邦政府全体の中央人事部門としての役割を果たしている政府機関です。2015年、当局が不正アクセスによる情報流出を発表しました。事件内容としては、2014年に米連邦政府人事管理局(OPM)(以下OPM)のシステムへの不正アクセスを検知したことを受け、OPMを含む連邦当局のネットワークセキュリティの強化を図る。しかし翌年の2015年の4月にOPMのシステムへの不正侵入を検知。5月になって情報流出を確認する事態となった。6月に、情報流出の影響を受けたと思われる対象者への通知を開始したとされる。2012年に始まり、2015年までに及ぶ情報漏洩であったとされるが、約2150万人の連邦政府の職員及び契約職員、その候補者と広範囲に渡った。盗まれたデータは、現職員及び元職員の氏名、社会保険番号、生年月日、出生地、職務内容、研修歴、人事評価、現在及び過去の住所などが含まれるとされる。

なぜOPMが標的となったのか。OPMは米国連邦政府全体の中央人事部門として主要な役割を果たしているため、攻撃者にとって価値が高いターゲットであったからとの見解が有力である。前例にない事件であり、ネットワーク社会の普及と発展が著しい速度で増加していた時代に、かなりの衝撃を与えた事件でもあった。

その後のOPMの対応としては、当局が長期的な視点からサイバー攻撃や不正アクセスといった脅威に対処し、防御するシステムを検討。OPMが導入した方法として、CylancePROTECT、つまり人工知能 (AI) と機械学習技術を利用して、システム内に深く埋め込まれた脅威を除去すること。Cylance Consultingサービスの協力を得て、OPMは侵害を識別し、適切な除去を行った結果、IT環境全体を保護することが可能なシステムを成し遂げた。そして10日間で発見されたマルウェアをすべて隔離するといいた異例のスピードだった。10,000以上のデバイスでCylancePROTECTが活用され、2,000個以上のマルウェアが検出され無効化。その結果として、OPMは従来の業務を見直し改革し高度なセキュリティを実装するまでに至った。

こうした事例のように、政府内における国家機密を守る為にも情報セキュリティ防衛対策は検討すべき問題であると容易に理解できるだろう。

国内におけるサイバー攻撃の情勢

日本国内においても、近年では多数の機関や団体、事業者等でサイバー攻撃などといった情報窃取等の被害が頻発している。データによれば、平成27年上半期中に警察が把握した標的型メール攻撃は1472件、前年度に比べると約7倍に増加しているとのこと。約9割型が非公開のメールアドレスに対する攻撃であり、また送信元メールアドレスについては、実在する事業者等のメールアドレスを詐称したものが多数確認されているなど、手口が巧妙化している。

事例としてあげればきりがない程数多くの企業や団体が被害を受けており、セキュリティ対策については検討を重要視しなければならない。大手企業で言えば、三菱電気、NEC、組織だと日本年金機構がサイバー攻撃を受けていたことを発表している。中でも、国内ウェブサイトが閲覧不可となった事案が多発。この事件の背景としては、国際的な事情が絡んでいる。国際ハッカー集団と名乗るものが犯行声明とともにイルカ漁や捕鯨に対する抗議を表しており、国内だけの問題のみならず、国際情勢を揺るがす問題に拡大しているのも事実である。

日本政府による情報システムの検討

まず先に理解しておきたい事項として「境界型セキュリティ」と「ゼロトラスト」の二つの定義がある。「ゼロトラスト」については下記でも述べるが、下記でもざっくり紹介する。

境界型セキュリティ

境界型防衛ともいい、ネットワーク上の外部と社内ネットワークを遮断して、外部からの攻撃をブロックし、内部からの情報流出も防止する役割もある。外部からのマルウェア侵入や攻撃を防ぎ、社内ネットワークに不正なアクセスがないかチェックするセキュリティ対策。「信頼できないもの」が内部に入り込まないこと、「信頼できるもの」のみが社内ネットワークに存在することを前提としている。防御対象はネットワーク。

ゼロトラスト

「内部であっても信頼しない、外侮も内部も区別なく疑う」と言う「性悪説」に基づいた考え方を言う。社内内部の人間であっても利用する場合は全てのものを疑い、端末すらも疑う。認可や許可を受けた限られたユーザーのみしかアクセスすることが許されない。防御対処はネットワーク。

より詳しく最新のゼロトラストが必要な背景が気になる方は、
他のホワイトペーパーもご覧ください。今だけ無料で公開しています。

時代とともに変わるセキュリティ対策

従来は境界型セキュリ ティに基づく考えであった。境界で内側と外側を遮断して外部からの攻撃や内部 からの情報流出を防止を対策としていて、 具体的には強固な壁をつくり安全な内側と危険な外側を分離することで内部の情報を守る策をとっていた。あくまでも、内部では安全が保証された世界であって、外部との接続を遮り、内部への攻撃や不正アクセスを防ぐことが目的であった。

しかし、近年のクラウド化や、複数端末の利用、リモートワークの普及に伴い、境界型セキュリティの限界が見始めた。外部からの攻撃やウイルスなども、情報社会のめまぐるしい発展に伴い強固たるものに進化している。もはや、「壁」を作るだけでは侵入には対処できなくなってきているのだ。通信の暗号化が普及したことで侵入するマルウェアの検出や流出する情報の検出も困難となり、本来の業務の生産 性低下と運用負荷の増大を招きざるを得ない。

官庁内においても、パブリック・クラウドの利用、働き方改革、デジタル・ガバメントが実現となれば、今まで壁の内側で守られてきた「ユーザー」「データ」 「デバイス」、あるいは「サーバ」などが、壁の外側で活用される局面が増大するとの考えを示している。境界線セキュリティは、「制限する」セキュリティであり、壁 を越えて企業や国民と連携しなければならない状況を見据えた上では、この従来のセキュリティ対策では新たな兆しが見えない。その結果として、組織や社会の DX(デジタルトランスフォーメーション)が立ち遅れ、 国際競争力にも影響を与えるとの懸念も示している。

ゼロトラスト に向けた政府の検討

上記を踏まえたのち、政府は境界型セキュリティの限界を示した。そこで、政府CIOポータルでは今後のセキュリティ対策の一環としてゼロトラストの適用を取り組んでいることを表示。また、ディスカッションペーパーにより国民の意見を募集している。政府によるゼロトラストの要点として以下を掲げている。政府関係者や団体、政府機関のものはぜひ理解を深めて欲しい。

  • パブリック・クラウド利用可能システムと利用不可システムの分離
  • システムのクラウド化徹底とネットワークセキュリティ依存の最小化
  • エンドポイント・セキュリティの強化
  • セキュリティ対策のクラウド化
  • 認証、及び認可の動的管理の一元化

特に「システムのクラウド化 徹底」、「エンドポイント・セキュリティの強化」、「セキュリティ対策のクラウ ド化」については、並行実施を原則に検討している模様。

ゼロトラストとは?

ゼロトラストのコンセプトは、機密性の高い重要なデータの周囲に効果的な境界線を確立することに焦点を当てています。ペリメーターには、ファイアウォールVPN、アクセス制御などの従来の防御技術だけでなく、アイデンティティ、アプリケーション、データ層レベルでの認証、ロギング、制御も含まれます。

ゼロトラストの概念の多くは、「防御の深化」や「侵害の想定」など、確立されたベストプラクティスと正しく比較されています。ゼロトラストは、実際には、これらの概念とその結果としてのアーキテクチャを進化させたものであり、根本的な新しいアプローチではありません。

しかし、コンセプトはよく知られていますが、ゼロトラストセキュリティの実現は、特に政府機関では、以下のような理由から複雑になっています。

  • 多くの政府機関は、物理、仮想、クラウド環境に分散した複数世代のIT資産に依存しています。
  • 多くの機関は、不満を持つ個人から、組織化され、資金的に動機づけられた犯罪シンジケートや敵対的な国民国家に至るまで、悪質な行為者からの継続的な攻撃を受けている。

大きな課題は、ゼロトラストに向けた進展は、機関の現在のセキュリティ姿勢と能力を低下させることなく、飛行中に行われなければならないということです。

他のホワイトペーパーもご覧ください。今だけ無料で公開しています。

ACT-IAC報告書に沿ったもの

政府機関に対しては、ゼロトラストモデルを導入することで、ACT-IAC報告書で特定された目標とする成果を達成することができます。

  • より安全なネットワークの構築
  • データをより安全に
  • 違反による悪影響の軽減
  • コンプライアンスと視認性の向上
  • サイバーセキュリティ全体のコストを削減
  • 組織のセキュリティとリスク姿勢の改善

なぜ今、ゼロトラストが必要なのか?

ニュースを読むだけで、なぜゼロトラストが重要視されるようになったのかを知ることができます。私たちは、毎日のようにセキュリティが破られ、データが盗まれる世界に生きています。これらの攻撃は非常に破壊的であり、個人の財務データや健康データのプライバシーから、国家安全保障を含む政府の運営や機関の完全性まで、あらゆるものに影響を与えています。

ゼロトラストに向けて前進することが政府機関の目標でなければならないという転換点に達しています。ゼロトラストへの道のりは様々であり、どの機関も同じ戦略に従う必要はありませんが、今すぐに最初の一歩を踏み出すことが重要です。特にVPN等を使った境界型セキュリティでは内部犯行やサプライチェーン攻撃に対応できないため、ゼロトラストネットワークへの移行が必須です。

良いニュースは、どこから始めるかに関係なく、ゼロトラストに向けた一歩一歩を踏み出すことで、資産、データ、および使命のセキュリティが強化されるということです。

VPNがなぜテレワークに適していないのか、詳細をホワイトペーパーにまとめております。
今だけ無料で公開していますので、是非ご覧ください。

ゼロトラストのすべてにメリットがある

多くのベンダーは、ゼロトラストを達成することは、自社製品を購入するのと同じくらい簡単だと主張しています。しかし、現実はもっと複雑です。ゼロトラスト・モデルは、一朝一夕に設計して実装することはできません。それは、最も複雑な政府環境の中には、完全には実現できないかもしれない結果に向けての旅路である。

しかし、ゼロトラスト・ネットワーク・アーキテクチャ(ZTNA)を開発することで、セキュリティと運用上のメリットを提供する基礎能力の広範なセットを構築することができます。

基礎的な能力

まず最初に、ファウンダメンタル・ケイパビリティ、これは以下のように識別されます。

  • ネットワーク資産のインベントリと管理
    – レガシーアプリケーションを含むアプリケーションのインベントリ
    – データインベントリ
    – リモートアクセスの方法
  • 連続データの識別と分類
  • 二要素認証(ハードウェアデバイスまたはトークンベース)
  • ユーザーとアプリケーションの両方に対応したセントラル・アイデンティティ・クレデンシャル・アクセス管理(ICAM)
  • ジョブの役割とデータアクセスのニーズに基づいて、ユーザーグループと権限を細かく設定

アプリケーション機能

資産を発明したら、次のアプリケーション機能を開発します。

  • アプリケーションと中央ICAM間の統合
  • アプリケーション層とデータ層の両方でのユーザーグループとロールベースのパーミッション
  • ICAMを活用したアプリケーション開発者研修
  • 中央ログ管理プラットフォームへの堅牢なアクセスロギング
  • 開発標準とアーキテクチャを継続的に更新
  • レガシーアプリケーションのフェーズアウトまたは移行のための開発計画

セキュリティ機能

次に、セキュリティ機能をアプリケーション機能にオーバーレイします。

  • 可視性とセキュリティをサポートするデータアーキテクチャとスキーマ
  • 復号化されたネットワークトラフィック、アクセスゲートウェイ(プロキシ)、アプリケーションログによるアプリケーションの可視化
  • セキュリティ情報・イベント管理(SIEM)の上にルールや検出を記述する
  • ネットワーク層の可視性
  • デバイスまたはエンドポイントの可視性
  • アプリケーションのロギングと可視性
  • アイデンティティのロギングと可視性
  • データ層のロギングと可視性

トレーニングとサポート機能

最後に、ゼロトラストの人間的要素を強化するために、堅牢で継続的なトレーニングとサポート能力を開発し、実施する。

  • ユーザーを役割別およびレベル別のグループに分類し、各グループのトレーニング要件を特定する
  • そして、各グループ、新規ユーザー、既存ユーザー、アプリケーション開発者に対するトレーニングとサポートを提供します。

ゼロトラストに関して気になる点

これまで述べてきたように、ゼロトラストへの道には、正しい道も間違った道もありません。しかし、旅のあらゆる段階で質問すべきことがあります。

あなたのネットワーク資産をどのくらい知っていますか?

すべてのゼロトラストの取り組みは、組織内のハードウェアおよびソフトウェア資産を理解することから始めなければなりません。この理解を得て、常に変化し続けるITの状況の中でそれを維持することは、DHSの継続的診断と緩和(CDM)プログラムのフェーズ1、すなわちハードウェアとソフトウェアの資産管理と構成設定の自動化に対応しています。

資産の管理が自動化されれば、保護すべき資産をリアルタイムで正確に登録することができます。

ゼロトラストの世界でデータはどのように管理されているのか?

従来のユーザー中心のデータ管理戦略(例えば、ユーザーの役割によってデータアクセスのレベルが定義される)とは異なり、ゼロトラストの世界では、この戦略はデータ中心にならなければなりません。

このモデルでは、データの機密性に基づいて、ストレージ層でのデータアクセス制御から始まる同心円状の防御策を構築し、このデータにアクセスしようとするデバイス、ユーザー、および場所の強力な認証を強制します。

ネットワークアクセスは誰が持っているのか、その理由は?

歴史的に、ほとんどのネットワークの脅威は、その機関から暗黙のうちに信頼されているユーザーからもたらされてきました。対照的に、ゼロトラスト・モデルでは、すべてのユーザ、デバイス、アプリケーション、およびネットワーク・フローが認証され、承認されなければなりません。

ユーザーレベルでは、従業員、請負業者、または第三者にどのレベルのデータアクセスが許可されているかを把握し、継続的に見直し、更新し、必要に応じてそのアクセスを取り消すことが重要です。

ゼロトラストはペリメーターレスを意味するのか?

一言で言えば「ノー」です。ゼロトラスト・アーキテクチャでは、境界線の概念をマイクロ・セグメンテーション・レベルと呼ばれるものに適用します。このモデルでは、もはやセキュリティを確保する必要があるのはネットワークの境界だけではありません。ゼロトラスト・アーキテクチャは、アプリケーション・レイヤーとそれに関連するデータ、そして非リーガシーなIT環境では通常このレイヤーの基盤となるコンピュート・コンテナや仮想マシンも保護する必要があります。

ゼロトラスト・アーキテクチャをサポートするために必要なデータの可視性を持っていますか?

ネットワークデータをセグメント化、分離、制御するために、ネットワーク全体のエンドツーエンドの可視性を確保することは、ゼロトラスト・アーキテクチャにとって非常に重要です。可視性は、情報を提供し、管理し、実施する必要があり、そのためには、動的で多くのデータソースから構築されたセキュリティポリシーを開発する必要があります。

暗号化されたトラフィックの可視性を得ることは、暗号化されたトラフィックに悪意のあるペイロードが隠されている可能性があるため、特に脅威となります。暗号化されたトラフィックを管理するためには、自社に適したアプローチを使用してください。

人を自由にするツールを使っていますか?

代理店がゼロトラストネットワークを継続的に監視できるようにするには、ツールを使用して、日常的なネットワーク管理タスクを可能な限り自動化してください。

しかし、そのようなツールは単にタスクを自動化するだけのものではないことに注意することが重要です。また、予想されるトラフィックパターンや動作に対する例外を迅速に特定し、分離し、分析することができなければなりません。脅威の数が増え、多様化し、洗練されてきている現在、自動化および分析ツールは、時間と労力を節約し、脅威の検出や対応など、より価値の高い機能に適用できる不可欠なコンポーネントとなっています。

政府機関がクラウドにおけるセキュリティシステムで検討すべき課題

これまでゼロトラストの導入について様々なメリットを述べてきた。しかし、メリットがあればデメリットがつきもの。クラウドに関する環境は近年大きな飛躍と進歩を遂げているが、政府機関が高度なセキュリティ対策を導入し運用するにあたって、まだ多くの取り組みと課題が残されいるのも事実である。

最も考慮しなければならないのが万能なハイブリット環境は存在しないこと。組織内部は様々な固有の機能を保持し、また組織内においても複雑な機能です。これらを全て網羅するシステムを実現しようとするとなると膨大な時間と労力がかかります。会社全体に完璧なアプローチを実装するのはほぼ不可能であることは念頭に入れるべきです。それでも、ゼロトラストセキュリティは今までも進化を遂げ、さらに現在も成長を継続しています。現在の環境にあったゼロトラストを取り入れ、さらに環境の変化とともにゼロトラストセキュリティの見直しを図ったのち、アップデートすることを忘れないようにしてください。ゼロトラストを導入するにあたっては、内部の一貫したポリシーが重要となってきます。データ保護やサイバー攻撃といった脅威を管理するには、内部での認識と管理体制の強化が重要です。情報管理担当者は、情報セキュリティポリシーで定めた事項が組織全体で実 施されるように、情報システムの管理・運用、従業員に対する教育・監督を適切に行うことが重要です。全てをクラウド環境で行い、そのセキュリティを管理することは、IT担当部門にとっては非常に複雑で、業務負担が大きくなる可能性があります。タスクを自動化し、クラウドの内外どこでも継続的に保護できるツールが必要です。

すでに企業・組織の情報資産を脅かす新しい脅威が出現している中、これらの脅威について情報を 収集し、必要に応じて組織幹部や外部の専門家とも連携しながら、継続的に組織全体の情報セキュリティの体制や対策を見直していくことと併用して、組織全体の業務形態を見直すことも検討するのも、セキュリティ対策を円滑に進めるのに重要であると考えます。

他のホワイトペーパーもご覧ください。今だけ無料で公開しています。

リモートワーク普及によるセキュリティ対策の検討の重要性

新型コロナウィルスの流行を機に働き方を見直す動きが広まっています。政府によるリモートワークの推進など、もはや新型コロナウィルスのおかげで本格的にリモートワークを導入しなければならない時代にきました。リモートワークを実施するに伴ってクラウドサービスの活用が増加、あらゆる場所から業務を行うためには、必要な情報にアクセスできる環境が必要です。そこで政府としても、リモートワークに伴い付随する問題を検討しながら対策をとっていく必要があります。例えば、リモートワークの普及を悪用し、企業ネットワークに侵入しようとする不正アクセスもすでに観測されています。

より詳しく最新のゼロトラストが必要な背景が気になる方は、
他のホワイトペーパーもご覧ください。今だけ無料で公開しています。

あなたのゼロトラスト対応はどこから始めますか?

多くの政府機関がゼロトラストモデルを検討しているにもかかわらず、このアプローチを導入し始めたのは約35%に過ぎません。最初の重要なステップを踏んでいますか?

まだ導入プロセスを開始していない場合は、多くのモデルやリソースを利用することができます。ゼロトラストの早期導入者である政府のCIOCISOの多くは、すでに、彼らが遭遇した複雑な問題にどのように対処するのが最善かについて情報を共有しています。

ゼロトラストの原理や原則を詳しく知りたい方はこちらのホワイトペーパーもご覧ください。

SNSでもご購読できます。

コメントを残す

*