ゼロトラストに関する考察

TL;DR

この記事では、ゼロトラストセキュリティモデルの基本概念、主要原則、導入方法、および実際の事例について考察する。

はじめに

ゼロトラストは、2010年にForrester ResearchのJohn Kindervag氏が提唱したセキュリティモデルである¹。
NIST SP 800-207では「いかなるネットワークトラフィックも本質的に信頼されるべきではない」と定義されている²。

独⽴⾏政法⼈情報処理推進機構(IPA)もゼロトラストの重要性を指摘しており、特にリモートワーク環境におけるセキュリティ強化の観点から注目されている³。

従来の境界防御モデル（Perimeter Security）は、ネットワークを「内部の場合、信頼できる」「外部の場合、信頼できない」と二分する考え方だったが、
クラウド化とリモートワークの普及により、この境界が曖昧になった。

ゼロトラストの核心原則

NISTが定める主要原則は以下の通りである²³：

1. すべてのデータソースとコンピューティングサービスをリソースとみなす
2. ネットワーク位置に関係なく、すべての通信を保護する
3. 個々のリソースへのアクセスはセッション単位で付与する

ゼロトラストの進め方

IPAのガイドライン³では、As-Is分析からはじめ、To-Beモデル構成およびCan-Be構成を描き、投資判断をした上で環境構築や検証および改善を行う段階的アプローチが推奨されている。

ゼロトラストの事例

Google社のBeyondCorpは、この動的評価を実装した先駆的事例である⁴⁵。

個人的な感想

私の観察では、ゼロトラスト導入の最大の障壁は「技術的複雑さ」ではなく「組織文化の変革」にあると考える。

「VPN接続は安全」という従来の思考から脱却するには、セキュリティチームだけでなく、全社的な意識改革が必要である。

参考文献

1. Forrester-No-More-Chewy-Centers.pdf ↩

2. Zero Trust Architecture ↩ ↩²

3. ゼロトラスト移⾏のすゝめ ↩ ↩² ↩³

4. BeyondCorp: A New Approach to Enterprise Security ↩

5. BeyondCorp ゼロトラスト企業セキュリティ | Google Cloud ↩