ゼロトラストとは
働き方が大きく変わったニューノーマル時代。
働き方だけでなくセキュリティへのアプローチも大きく
変えなければなりません。
ここではWebサービス・クラウドサービス導入の鍵となる「ゼロトラスト」
という次世代のネットワークセキュリティ概念について解説します。
ゼロトラストが注目されている背景
今までは、ファイアウォールなどでネットワークの境界を守り、境界の外は脅威であり、内は安全という「境界型セキュリティ」の考え方が一般的でした。また社内のリソースやクラウドサービスへのアクセスはパスワードを使って認証するということが当たり前でした。
しかしながら昨今、企業におけるクラウドサービスの利用が増加し働き方改革でのリモートワークが増加、さらに新型コロナウィルスの流行により多くの企業がリモートワーク 導入を余儀なくされました。以前までなら仕事で取り扱う重要なデータはファイアウォールで保護された企業のネットワーク内で管理されていましたが、リモートワークの導入により社員は様々な場所・端末・ネットワークからアクセスをするようになりました。また、内部不正による情報漏洩も後を絶たず、境界の内であれば安全という定説は崩れつつあります。
そのため全てのアクセス・端末・操作を疑うべき時代となったのです。
ゼロトラスト (Zero Trust) とは
元々はゼロトラストネットワークと呼ばれ、2010年にForrester Research社（John Kindervag氏）が提唱した次世代ネットワークセキュリティの概念です。
“社内は安全である”という前提に立って境界を守るやり方では守れなくなった現状を踏まえ、「信頼できない・しないこと（ゼロトラスト)を前提とし、全てのトラフィックを検査、ログ取得を行う」という性悪説のアプローチです。つまり、ネットワークの中と外を区別せずに接続者、接続端末がなんであれ、アクセス管理を徹底することです。
このゼロトラストと言う考え方はクラウドが主流となり、外と中の境界が曖昧になってきた昨今のセキュリティの考え方なのです。
“社内は安全である”という前提に立って境界を守るやり方では守れなくなった現状を踏まえ、「信頼できない・しないこと（ゼロトラスト)を前提とし、全てのトラフィックを検査、ログ取得を行う」という性悪説のアプローチです。つまり、ネットワークの中と外を区別せずに接続者、接続端末がなんであれ、アクセス管理を徹底することです。
このゼロトラストと言う考え方はクラウドが主流となり、外と中の境界が曖昧になってきた昨今のセキュリティの考え方なのです。
ゼロトラストを取り入れるには？
このゼロトラストで一番重要なポイントは徹底したアクセス制限とID管理です。
具体的には、SaaS、IaaS、サーバーなどのITリソースへのアクセスに対し、セキュリティレベルを確認し、安全が確認できた端末や人（＝ID）のみにアクセスすることを許可します。また、社員がアクセスできるWebサービスを制御して「必要な人に必要なだけのアクセス」を設定します。
例えば、
· アクセスしているデバイスが会社所有の端末か？
· デバイスのセキュリティ対策が最新か？（暗号化済み、対策ソフト導入＆最新の定義ファイル適用済み）
· アクセスしているユーザーが（生体認証のデバイス等を用いて）本人かどうか？
などの様に、ログインするたびに毎回「信頼されているか」ということを確認します。
具体的には、SaaS、IaaS、サーバーなどのITリソースへのアクセスに対し、セキュリティレベルを確認し、安全が確認できた端末や人（＝ID）のみにアクセスすることを許可します。また、社員がアクセスできるWebサービスを制御して「必要な人に必要なだけのアクセス」を設定します。
例えば、
· アクセスしているデバイスが会社所有の端末か？
· デバイスのセキュリティ対策が最新か？（暗号化済み、対策ソフト導入＆最新の定義ファイル適用済み）
· アクセスしているユーザーが（生体認証のデバイス等を用いて）本人かどうか？
などの様に、ログインするたびに毎回「信頼されているか」ということを確認します。
