ゼロトラストモデルは、安全性を保証できない今日のデジタル時代に力を発揮する、認証フレームワークです。このモデルでは、すべての人間、エンドポイント、モバイルデバイス、サーバー、ネットワークコンポーネント、ネットワーク接続、アプリケーションワークロード、ビジネスプロセス、データフローを本質的に信頼しません。
したがって、すべてのトランザクションは実行時に継続的に認証、許可される必要があり、あらゆるアクションはリアルタイムと事後に監査可能でなければなりません。ゼロトラストは柔軟に対応できるシステムで、すべてのアクセスに関するルールを継続的に見直して変更し、あらゆる認証されたトランザクションをその都度検証します。Gartner, Inc.の予測では、2026年までに成熟した測定可能なゼロトラストプログラムを導入する大企業の比率は、現在の1%未満から10%まで増加するとしています。ゼロトラストの採用にこれほどの時間がかかるのは、スケーラブルなレベルで会社全体に統合することが難しいためです。
ゼロトラストは、単に5年後の世界を予想する未来予測で語られるようなテーマではなく、アクセス、認証、承認、監査、継続的監視に対する組織の取り組みを変える、必須かつ根本的な変化と言えます。堅牢なIDおよびアクセス管理（IAM）プログラムは、悪意のある攻撃者に対して対策を講じることを目指すあらゆるセキュリティ組織の第一歩となります。
ゼロトラストの採用にはそれなりに時間がかかりますが、現在蔓延る脅威や今後生まれる脅威から組織を守るための取り組みであることを認識しつつ、今日から対策を始めることは可能です。
ゼロトラストは、セキュリティ組織が 最小特権アクセス(LPA) の力、つまり、個人とコンポーネントが必要なアクションを実行するために必要な最小限のアクセス権しか持つべきではないという概念を実現できるようにすることで機能します。まず最初の認証に成功した場合、第二の認証を適応します。
認証の試行全体のリスクがリアルタイムで評価され、例えば、ある人の接続が許可されたジオフェンス内に存在するか、アクセス時間がその人の通常の動作モード内にあるか、その人に既存の確立されたセッションがあるかなどが確認されます。
仮に攻撃者が、組織が予算上実装可能な脆弱なSMSによる2要素認証（2FA）を使って多要素コードを取得できた場合でも、接続には成功するかもしれませんが、すべてのイントラネットシステムとサービス全般にアクセスできるわけではありません。実際、VPN接続では、定義された一連のアプリケーションやサービスへのアクセスのみが許可され、攻撃者がネットワークスキャンを試行したり、その他のネットワーク動作を実行しようとすると、監視システムに警告が届き、その個人と接続は調査のために検疫されます。
各トランザクションには、一連の認証、承認、動作監査ルールが定義されており、包括的なゼロトラストシステムによってインタラクションの安全が継続的に確保されます。
ゼロトラストセキュリティの方法論は、インターネットや接続されたシステムに接続するあらゆるデバイス、アプリケーションや人に実際に適用できます。ビジネスの保護の最適化のため、認証は、あらゆるケース、特に機密性の高いケースに適用されます。いくつかのユースケースを具体的に見てみましょう。
モノのインターネット（IoT）デバイスは、企業ネットワーク上の任意の数のアプリケーションとの間でデータを常に送信、要求します。従来型のセキュリティモデルでは、多くの要素に基づいてIoTデバイスに一定レベルの安全性があると判断されていました。こうしたデバイスの数とそのユーザーの攻撃可能領域が拡大する現在、セキュリティを強化し、すべてが認証されるようにゼロトラストを実装することが重要となります。
コロナ禍で世界中の企業が生産性低下の軽減を目指してリモート勤務の導入を推進したことが、攻撃者にとっては格好の狙い目となりました。適切なセキュリティの確保よりも事業継続が優先されたことから、攻撃範囲が急激に拡大しました。
コロナ禍の影響で、世界の多くの企業で週の数日はオフィス勤務、数日は自宅勤務というハイブリッド勤務が一般化した現在、ビジネスを保護するためには、ゼロトラストのようなソリューションを維持し、従業員のそれぞれが企業ネットワークアプリケーションへのアクセスを毎日認証する必要があります。
今日の経済では、外部のサプライヤーやベンダーとの協業が必須で、企業やセキュリティ組織が自前のみで成功を収めることはできません。ステークホルダーは、第三者による自社のネットワークへのアクセスはすべて脆弱であると想定する必要があります。したがって、これらの外部ベンダーは、サプライヤーの自社環境から発生する可能性のあるサイバー脅威を軽減するため、ネットワークプレゼンスを継続的に検証、認証しなければなりません。
ランサムウェアの根本原因は、誤設定、人的ミス、脆弱な認証プロトコル、一般的なサイバーセキュリティ意識の欠如など、多数のエラーに起因し、その多くが人為的なものです。人やアプリケーションがアクションを実行する必要がある領域のみへのアクセスの認証を要求するゼロトラストの仕組みが、ランサムウェアとの戦いで重要な武器となる理由はまさにここにあります。
このセクションだけで本が一冊書けるほどの内容ですが、ゼロトラストへの移行の最初のシナリオについて概説します。まず最初に、この新しいモデルに移行するためのビジネスプロセスやサービスアクセスのシナリオを少なくとも1つ選択する必要があります。
ビジネスプロセスやサービスの実現に責任を負うあらゆるコンポーネントと人を特定し、アーキテクチャを完全に文書化します。この時点で、必要な制御ポイントと監査ポイントを確実に配置するために、アーキテクチャの再考が必要となる可能性もあります。
次に、プロセスまたはサービスの接続のそれぞれにおいてアクセス決定をサポートするための認証、承認、監査、リスク評価、実施ソリューションが必要となります。最後に、従来のパッチ適用、緩和、構成管理の施行に加えて、施行されるルールの作成と維持に対応する人員が必要になります。
その後、他のすべてのプロセスとサービスに対してこの手順を繰り返します。つまり、スケーラブルなゼロトラストを軌道に乗せるのはかなりの労力が必要となります。
すべてのビジネスプロセスやサービスを一挙にゼロトラストに移行するのは現実的に不可能ですし、そうすべきではありませんが、最初のサービスを評価したら、必要なツールを入手し、必要なスタッフを採用して、成功への下準備が始まります。その後、資金と時間の都合がついた時点で最初のサービスをゼロトラストに移行し、安全性と回復力を維持するために何が必要かを評価しながら当面その状態を続けることができます。ツールや人員配置計画を適宜調整できたら、それから残りのプロセスやサービスに着手すればよいのです。
幸い、こうしたコンポーネントと人員の多くは既存のセキュリティやコンプライアンスのソリューションとプロセスにすでに存在する可能性があり、最終的には、ほとんどの組織で通常使用する比率（5〜15%）よりも既存投資を有効に活用できるようになります。
考え方の面で、ゼロトラストを組織に導入する際に克服すべき最大の課題に、このモデルの制約により生産性が低下し、創造性が妨げられるのではないかという不安があります。こうした不安は、「ゼロトラスト」という考え方を適切にフレーミングすることで克服できます。