はじめに
DX（デジタルトランスフォーメーション）推進や新型コロナウイルス感染症の影響を受けて働き方は大きく変化し、ニューノーマルとよばれる時代になりました。クラウドサービスの利用増加や在宅ワークの普及により、企業のネットワークアクセスも大きく変容しています。このニューノーマルに対応できるポテンシャルをもつ高度なセキュリティ対策として、「ゼロトラストセキュリティ」が注目されています。
本記事ではゼロトラストセキュリティの考え方や注目されている理由などを、従来のセキュリティと比較しながら分かりやすく解説していきます。
ゼロトラストとは？
「ゼロトラスト」とは、英語のZero（ゼロ）とTrust（信頼、信用）を組み合わせた言葉で、『すべての要素を信頼しない』という考え方です。その考え方をもとに、ネットワーク・ユーザ・デバイスなど企業の情報に関するすべてに疑いの目を向け、厳格な認証や検証を行うことが「ゼロトラストセキュリティ」です。
社内と社外で境界線を引き、境界外を対策することで安全を担保する「境界型セキュリティモデル」に対し、社内・社外で境界を分けずにセキュリティ対策を講じるため、「境界のないセキュリティモデル」とも呼称されます。
2010年に米国の調査企業が提唱したのをきっかけに広く認知されたこの考え方は、近年セキュリティ対策の新たな考え方として実用されています。
なぜ今ゼロトラストセキュリティなのか
2010年に提唱されたものがなぜ今になって注目を集めているのか。それは「ネットワークセキュリティ」に求められる要件が、ニューノーマルな働き方にあわせて変化したことが理由にあげられます。ネットワークセキュリティに大きな影響を与えるきっかけとなった2つの変化を見ていきましょう。
テレワーク、ハイブリッドワークなどアクセス場所の多様化
テレワークやハイブリッドワークの推進によりオフィス外からの勤務も珍しくなくなりました。また、スマートフォンやタブレットなどモバイルデバイスの進歩により、出張時に出先からネットワークにアクセスするというニーズも加速度的に増えました。こうして社員が社内のデータにアクセスする場所が多様化したことから、社内と社外で対策を分ける意味がなくなったことが理由の一つです。
クラウドサービスの利用による管理方法の変化
クラウドサービスの拡大に従って、保護すべき自社の情報資産の管理方法も変化しました。自社の情報資産を社内で管理するオンプレミスと異なり、クラウドサービスの利用で自社の資産がインターネット上に保管されることも多くなっています。
アクセス場所の多様化にあわせ情報資産管理の変化も、ネットワークセキュリティの要件が変わったとされる大きな理由です。
境界線型セキュリティではニューノーマルに対応できない
従来のセキュリティは「境界型」と呼ばれる方法が一般的でした。内部（社内ネットワーク）と外部（インターネット）を分け、内部は安全であることを前提とし、社外からのアクセスはファイアウォールに代表されるセキュリティシステムやVPNなどの利用で安全性を担保する方法です。
しかしこの方法はアクセス場所の多様化やクラウドサービスの利用拡大に従い、効果も薄れつつあります。安全であると規定した「内部」でのやり取りが減り、「外部」が増えていくにつれ、「内部」と「外部」を分けて考えること自体が余計なコストになってしまったためです。
またVPNの利用増加にともない、同じ回線を多くのユーザが同時に使用することでアクセス速度が低下した、といった新たな課題もみられます。
「境界型」はコストがかさむだけでなく、ユーザの快適性の面から見ても魅力的とはいえなくなっています。
今こそゼロトラストセキュリティを
ニューノーマルな社会に対応したネットワークセキュリティ構築のため、「ゼロトラスト」という考え方が実用されるようになりました。この考え方に則れば、従来のオフィス中心のワークスタイルから、ほぼすべての社員がリモートから業務を行うといったニューノーマルなワークスタイルまで、無理なく対応が可能です。
働き方が激変した近年では従来の境界型セキュリティをバージョンアップさせ継続して使うよりも、ゼロトラストセキュリティへと切り替えた方が長期的な視点でみて、利便性とコストのバランスが取りやすいのです。
ゼロトラストのサイバー攻撃に対する強み
ゼロトラストセキュリティは従来のセキュリティ対策では対応が難しい部分への効果が見込まれるだけでなく、増加するサイバー攻撃の被害を低減させるためにも有効です。
ニューノーマルな働き方が浸透した現在は、従来の境界型セキュリティでは対応困難なサイバー攻撃が急増しています。たとえば、メールでやり取りする機会の多いテレワークでは、なりすましメールによるサイバー攻撃に遭遇するリスクが高くなっています。また、社用機器を社外に持ち出す機会も多くなったことから、機器の紛失も後を絶ちません。
ネットワークの内外を分け、内部のチェックを簡略化することでコストと利便性のバランスを取ってきた境界型セキュリティと異なり、すべてのユーザ・ネットワーク・デバイスに対し検証と認証を行うゼロトラストセキュリティは、従来に比べセキュリティ強度を格段に高められます。アクセス監視やログ収集を常時行なうことで、不正アクセスやサイバー攻撃などのインシデントへも迅速な対応が可能になり、またアクセス権限の細分化により機密性が保たれ、情報漏洩リスクも低減できます。
これによりリモート環境からでも安全にネットワークにアクセスし、またセキュリティ面に不安のあったクラウドサービスも安心して利用できます。社員一人ひとりが柔軟な働き方を選択できるようになり社員の満足度が向上すれば、生産性の面でも大いに期待できるでしょう。
※ゼロトラストセキュリティ実現のためには、必要なポイントやそれに沿ったソリューション選びなど、理解しなければならないことが多数あります。次の記事はゼロトラストセキュリティを実践する方法について解説していますのであわせてご覧ください。
「ゼロトラストセキュリティ実現のために｜知っておきたいポイントや具体策を解説」
まとめ
本記事ではゼロトラストセキュリティの考え方や注目されている理由などを従来のセキュリティと比較しながら解説しました。
ニューノーマルな働き方が浸透し、従来のセキュリティ対策では安全なネットワーク環境の維持が難しくなった今、すべての要素を信頼せず認証と検証を行うゼロトラストセキュリティは必要不可欠であるといえます。
セキュリティレベルを向上し、社員が安心して業務を行い、またセキュリティ管理者の負担軽減のためにも、ゼロトラストセキュリティの導入を検討しましょう。
自社のネットワーク環境に不安がある、セキュリティ強化を図りたい、などの悩みごとやご要望がございましたら、ぜひ一度セラクへご相談ください。
