ゼロトラストセキュリティとは？コロナ禍で推進される新しい組織管理の方法とは
DX（デジタルトランスフォーメーション）が盛んになってきています。ITのデジタル技術によって生活やビジネスなどが変革するのがDXです。
コロナ禍で益々推進されていますDXですが、その反面サイバー攻撃も増えてきているため、ゼロトラストセキュリティについても注目されています。
ゼロトラストセキュリティは、「全て信頼しない」情報セキュリティですので、今回はそんなゼロトラストセキュリティについて詳しく図解します。
目次
- 動画で図解を⾒る
導入 「ゼロトラストセキュリティ(=全て信頼しない)」とは何か?
ゼロトラストセキュリティは「全て信頼しない」という意味になります。DX（デジタルトランスフォーメーション）が進むにつれて、サイバー攻撃などのリスクは大きなものとなっているでしょう。
DXを進めるためには、さらに高度な動的セキュリティ強化を行う必要があります。社内ネットワークだけに限らず、インターネットを介すことも多いために、これまでの認証や検証などを信頼しないのが「ゼロトラストセキュリティ」の考え方です。その都度データにアクセスする厳密な認証を行い、セキュリティの強化を努めるのが特徴です。
実際にゼロトラストセキュリティを目指す新しい組織管理はどういう形になるのかが気になるでしょう。詳しく見ていきます。
課題 「ゼロトラスト」の基本とは？従来の情報セキュリティの考え方との違い
「ゼロトラスト」の基本とは何かですが、「全て信頼しない」というところからスタートしています。
これまでの情報セキュリティは、過去の認証を信用したものでしたが、「ゼロトラスト」では、その都度認証を行うようにし、過去の認証は一切信用していない考え方です。ユーザー認証、デバイス認証をその都度行うのが特徴です。
従来は、VPNに接続するIDとパスワードで社内システムに入ることができ、アプリケーションを利用可能でした。
しかし、それだけでは信頼しないのが「ゼロトラスト」の考え方で、VPNを使わない通信などが提唱されています。クラウドサービスを活用してセキュリティを強化したり、それぞれのファイルごとに細かく閲覧可能者を設定し、認証したりするなどが異なります。
解決 「ゼロトラストにおける7つの基本原則」とは？
NIST（米国立標準技術研究所）が発行したレポートでは、ゼロトラストにおける7つの基本原則が書かれています。
1つ目は、データソースとコンピュータサービスは、全てリソースと見なす
2つ目は、「ネットワークの場所」に関係なく、通信は全て保護される
3つ目は、組織のリソースへのアクセスは、全て個別のセッションごとに許可される
4つ目は、リソースへのアクセスは動的なポリシーによって決定される
5つ目は、組織が保有するデバイスは、全て正しくセキュリティが保たれているように継続的に監視する
6つ目は、リソースの認証と認可は、全てアクセスが許可される前に動的かつ厳密に実施される
7つ目は、資産・ネットワーク・通信の状態について可能な限り多くの情報を収集し、セキュリティを高めるために利用する
この7つの基本原則を満たすことがゼロトラストとなっています。
ポイントとしては、全リソースへのアクセスの認証と認可がリクエストごとにその都度動的に決められ、認証されるべきということ。そして、全てのリソースの機器や通信の状態が可視化で監視されているなど、新しい組織管理が必要となっています。
結論 ゼロトラストによるこれからの新しい組織形成とは
ゼロトラストは、サイバー攻撃などのリスクに備えるために、「全て信頼しない」という考え方から、VPNで社内のネットワークに入るという方式から脱却する新しい組織管理と言えるでしょう。
セキュリティを強化したクラウドサービスを活用。全リソースへのアクセスの認証と認可はその都度動的に行われ、細かなファイルごとに管理が行われます。そして、それが常に可視化され、監視されている新しい組織を作っていくことがゼロトラストの取り組みです。
コロナ禍ではテレワークも盛んになり、厳密な「ゼロトラスト」の考え方が求められる時代となっています。こうした取り組みは、コロナ禍の新しい組織形成としてこれから注目されていくでしょう。
