ゼロトラスト・セキュリティとは? メリットやデメリットを紹介

クラウドサービスの普及やテレワークの進展により、企業のセキュリティ対策は変化を求められています。新しい概念として注目されているのが、ゼロトラスト・セキュリティモデルです。本記事では、ゼロトラストについて、その基本概念や仕組み、メリット・デメリットについて紹介します。

ゼロトラスト・セキュリティとは

ゼロトラスト・セキュリティ（zero trust security）とは、「何もない（zero）」と「信頼する（trust）」の言葉が示すとおり、「全て信頼しない」ことをコンセプトとした情報セキュリティモデルです。2010年にアメリカ企業Forrester Research社のジョン・キンダーバーグ氏によって提唱されました。
従来は「外部は信頼できないが、社内は信頼できる、つまり安全」という考えのもと、社内と社外ネットワークの境界線上に対策をたてる境界型セキュリティモデルが主流でした。しかし、ゼロトラスト・セキュリティモデルではネットワークの内外を区別せず、情報資産やシステムにアクセスしようとする全てを信頼することなく、検証します。

なぜゼロトラスト・セキュリティが注目されているのか

クラウドシフト化やモバイル端末の利用、テレワークをはじめとする働き方の多様化により、社内と社外の「境界」そのものが曖昧になりつつあります。さらにマルウェアやウイルスを使ったサイバー攻撃は日々巧妙化しているため、内部での情報漏洩が頻発しています。
このような社会的変化により、社内と社外の間にファイアウォールやVPNを設ける従来の方法では、大事な情報資産を守れなくなってきているのです。このリスクを解消し、より堅牢なセキュリティ環境を構築するものとして、ゼロトラスト・セキュリティに関心が集まるようになりました。

ゼロトラストネットワークとは

ゼロトラストネットワークとは、ゼロトラストの概念を基に構築されたネットワークです。
従来のネットワークセキュリティでは、ファイアウォールなどを境界線に設けることで脅威が社内に及ぶことを防ぎ、社内は安全としてきました。しかしゼロトラストネットワークにおいては「全てを信頼しない」として、被害を最小限またはゼロに食い止めるために全てのアクセスやデバイスへの認証・認可やログ取得を行い、あらゆる脅威にすばやく対応します。

ゼロトラスト・セキュリティの基本原則

2020年、米国国立標準技術研究所（NIST）は、「NIST SP 800-207ゼロトラストアーキテクチャ（ZTA）」を発表し、ゼロトラスト・セキュリティを具現化するための7つの基本原則を示しました。
基本原則をまとめた以下の3項目を実行することが、ゼ ロトラスト・セキュリティの実現につながります。
①全てのリソースに対し、あらゆるネットワークからアクセスが要求される際に用いる
②ネットワーク境界線上でのスタティック（静的）なコントロールではなく、アクセスごとにダイナミック（動的）に認証と認可を行う
③全てのリソースのデバイスや通信を保護すると同時に、セキュリティ動作に関する情報を監視し、測定する

ゼロトラスト・セキュリティの仕組み

ゼロトラスト・セキュリティの基本は「全てを信頼しない」ことです。これまではIDとパスワードさえ合っていれば、データにアクセスできました。しかしゼロトラストでは全てのアクセスを信頼しないため、リクエストがある度にデバイス、 ID の権限、アクティビティなどに対し、認証・確認をリアルタイムで行い、安全が確認できたもののみ最低限の許可を付与します。そしてマルウェア感染や不正アクセス、ファイルの改ざんなどが検知された場合は、自動的にアクセスが制御される仕組みです。
そのため、ゼロトラストにおいてはデータの種類や目的に応じてネットワークを分割し、ネットワークの境界ごとにセキュリティ対策を講じることが求められます。つまり企業として、まずは守るべきデータ、データを管理する場所、利用できる権限を持つユーザーを整理することが必要です。

ゼロトラスト・セキュリティのメリット

「全てを信頼しない」ことを原則とするゼロトラスト・セキュリティにより、どのようなメリットを得られるのでしょうか。従来の境界型セキュリティモデルと比較しながら解説します。

今までよりセキュリティを強化できる

データへのアクセスやシステム利用の度に認証が行われるゼロトラスト・セキュリティの最大のメリットは、セキュリティが強化されることです。日々巧妙化するサイバー攻撃から重要なデータ資産を守るのはもちろん、社内における情報漏洩も防げます。セキュリティ上のリスクを無視できないクラウドサービスを安心して利用できる点も大きなメリットです。テレワークやハイブリットワークへの移行もスムーズに進むでしょう。

設定がシンプル

ゼロトラスト・セキュリティの設定は、比較的シンプルです。
従来の境界型セキュリティモデルには、VPN やファイアウォールの導入・運用が必要で、その設定は非常に複雑でした。また、テレワーク急増によるVPN渋滞や、VPNゲートウェイそのものを攻撃される問題が指摘されていました。
ゼロトラストなら、VPNやファイアウォールの複雑な設定は必要ありません。比較的容易な設定やCASB（Cloud Access Security Broker）、SWG（Secure Web Gateway）といったソリューションの導入で、シンプルなセキュリティ管理が実現します。

社内システムを利用するデバイスを選ばない

ゼロトラスト・セキュリティなら、使用するデバイスに関係なくデータにアクセスできます。境界型セキュリティモデルの場合、社内と社外の境界線がしっかり引かれていたため、外部からの認証されていないデバイスなどからのアクセスは、基本的に不可能でした。
ゼロトラスト・セキュリティは、どのデバイスを使ってもアクセスの度に認証されるので、社内はもちろん自宅パソコンなど、社外のデバイスやネットワークからでも利用できます。

ゼロトラスト・セキュリティのデメリット

セキュリティや利便性の面でメリットの多いゼロトラスト・セキュリティですが、導入にあたってはデメリットも確認しておかなければなりません。特に費用や業務に支障をきたさないかについて、シミュレーションする必要があります。

構築に費用や手間がかかる

ゼロトラスト・セキュリティモデルを構築するには、導入や運用に一定の費用がかかります。しかし、情報漏洩が起こった時の被害を考えると、セキュリティ強化は企業として無視できない課題です。
そこで、重点的にコストをかける部分を明確にしたり、一から自社でシステムを構築したりするのではなく既存のシステムにCASBを活用するなどの工夫が必要です。ただし、セキュリティ強化については必要なコストをしっかりかけることが重要です。メリハリのきいた投資を行うことで、コストに見合った効果が得られるでしょう。

業務に支障をきたす恐れがある

ゼロトラスト・セキュリティの基本概念は「何も信用しない」ことです。かといって「リスクがある」という理由でクラウドシフトしなければ、業務効率や競争力の低下を招くでしょう。また、漏洩しても問題ないような重要度の低いデータや業務も含めすべてに強固なセキュリティ対策を行うと、コストがかさむだけでなく生産性が低下し、利便性も損なわれる恐れがあります。

生産性や利便性を損なわずにゼロトラスト・セキュリティを実現するには、重要なデータについてのみ対策を講じるといった重要な判断も求められます。

まとめ

「全てを信頼しない」ことに忠実になりすぎると、業務効率が低下しかねません。Azure ADはシングルサインオンが可能なため、セキュアな環境を保ちつつID・パスワードを入力する手間を省きます。ハイブリッドワークへの移行が進むなか、情報資産を守るためにもAzure ADの導入をご検討ください。