ゼロトラストとは？境界防御型モデルとの違いや、必要とされる理由を解説

ゼロトラスト（Zero Trust）とは、「全てを信頼しない」という前提でセキュリティ対策を実施する考え方です。

ゼロトラストでは、LANの内部・外部を問わず、どのような場所・端末でも、強固な利用者認証と厳格なアクセス制御を徹底します。

これまでは、セキュリティ対策として主に「境界防御型モデル」が採用されてきました。境界防御型モデルとは、LANの境界を超えるデータに着目して、「外部からの攻撃」や「内部からの情報漏洩」に備える手法です。

LANの内部と外部を区別した上で、LANの内部を信頼する点が、ゼロトラストとの違いです。ゼロトラストでは、LANの内部も信頼しません。

近年では、LAN内部から外部のクラウドサービスを利用したり、リモートワーク中の従業員が社内LANにアクセスしたりするケースが増えています。また、従業員が私用のパソコンやスマートフォン、タブレットなどを社内ネットワークに接続する例もしばしば見られます。

さらに、社外の関係者とチャットツールなどを使って共同でプロジェクトを進める場面も珍しくありません。

このようにネットワークの境界が曖昧になっているなかで、「LAN内部は信頼できる」という前提に基づく従来の境界防御型モデルでは、セキュリティ対策として不十分です。そこで、全てのアクセスを前提から見直す「ゼロトラスト」の考え方が、現在必要とされています。

2020年8月に米国国立標準技術研究所（NIST）が公表した文書^※では、ゼロトラストの原則として以下の7項目が挙げられています。

1. 企業が所有する全リソースを対象とする
2. ネットワークの場所に関係なく、全通信を保護する
3. 企業リソースへのアクセスに関しての許可・不許可をセッション単位で判断する
4. ユーザーの所属部門・役職・行動履歴などを踏まえて、アクセスを許可するかどうかを動的に判断する
5. 全デバイスを継続的に監視・測定する
6. 継続的にコミュニケーションし、信用を動的に再評価する（多要素認証の実施を含む）
7. 情報資産やネットワークの状態に関して、可能な限り多くの情報を収集し、セキュリティを高めるために利用する

上記を満たすように、「ID管理」「ネットワーク制御」「端末管理・制御」「状況監視」に関するプロダクト・ソリューションを組み合わせましょう。

※出典：米国国立標準技術研究所「NIST SP800-207 Zero Trust Architecture」

ゼロトラストを実施するためのツール・ソリューションを導入する際には、一定のコストがかかります。費用はベンダーによって異なるため、複数社から見積もりを取り、機能やサポート内容を比較した上で、自社の予算やニーズに合った製品を選定するのが望ましいです。

また、導入直後は従業員からの問合せが増えるため、システム部門が迅速に回答できる体制を整えておく必要があります。最初はビジネスへの影響が小さい部分から導入し、徐々に適用範囲を拡大しましょう。

社内にITに詳しい人材がいない場合は、外部の専門家からアドバイスを受けることもご検討ください。

ゼロトラストとは、LANの内部・外部を問わず「全てを信頼しない」という前提に基づいてセキュリティ対策を行う考え方です。近年では、クラウドサービスの活用や、リモートワーク中の従業員による社内LANへのアクセスが増加しています。

こうした状況では、従来の「内部は安全、外部は危険」という境界防御型モデルでは十分な対応が難しくなっています。そのため、全てのアクセスを検証・制御するゼロトラストの考え方に基づいたセキュリティ対策が求められています。

RX Japanの展示会「Japan IT Week」の「情報セキュリティEXPO」では、ゼロトラストを実施するためのツール・ソリューションが多数展示されます。

ゼロトラストへの移行を検討している場合は、ご来場の上、最新情報を収集してはいかがでしょうか。また、ゼロトラストを実施するためのツール・ソリューションを提供している企業の場合は、新規顧客開拓のために、ぜひ出展をご検討ください。

日本最大のシステム開発・運用・保守に関する総合展「Japan IT Week」の詳細はこちら