多くのセキュリティベンダで「ゼロトラスト」や「ZTNA」という言葉を耳にします。 セキュリティ専任者のいない中小企業では よく聞くけど対策はどうしたらいいのか？そもそも用語の意味は？という風になってしまうことも少なくありません。 ここでは、「ゼロトラスト（ZTNA）」の概要と中小企業でも導入しやすい弊社おすすめの製品を紹介します。
「ゼロトラスト（ZTNA）」って？
「ゼロトラスト（ZTNA）」（※以下ゼロトラストと呼称します）は、情報セキュリティ対策における概念、考え方の一種です。 あくまで考え方なので、ゼロトラストのための製品があるわけではないということに留意が必要です。 「ゼロトラスト」は、直訳すると「信頼がゼロ」という意味になり、誰も信頼しないところからセキュリティ対策を組み立てていくという考え方です。
情報セキュリティ対策における概念について
ではどうしてこのような考え方が生み出されたのでしょうか。
これを理解するには、従来のセキュリティの考え方である「境界型防御」の説明から始める必要があります。
「境界型防御」はファイヤーウォールの外側が危険で、内側が安全という考え方です。
「境界型防御」の場合、「ファイアウォールの内側は信頼できるエリアだ」と見なします。それに対して「ゼロトラスト」は、「ファイアウォールの内側であっても信頼しない」と考えるのです。
つまり「ゼロトラスト」とは、場所を問わずセキュアな環境を維持することを目指す考え方なのです。
ゼロトラストは製品名ではなく「考え方」なのですね……。ではどうしてそのような考え方が誕生したのでしょうか？
新たなセキュリティの考え方が誕生した背景
なぜ、「境界型防御」から「ゼロトラスト」の考え方が広まるに至ったのでしょうか。
それには、企業の情報システムを取り巻く環境の変化、そして時代背景があります。
昔は社内にオンプレミスサーバーがあり、それを社内からアクセスする形で情報システムを利用していました。
社外からはアクセスを許さず、安全な社内でのみ利用する。まさに境界型防御が有効な環境です。
そのため、企業は社内の出入り口をしっかり守るだけでセキュリティの確保をすることができました。
ところが技術の進歩や変化に伴い、オンプレミスではなくクラウド型のサービスが増えてきました。 クラウド型のサービスは、オンプレミス型には無い沢山のメリットがあります。 一方、データの保管先がクラウドになってしまう ため、社内の防御機構だけでは対応できません。
環境の変化を加速させたもう一つの要因
そしてもう一つ忘れてはならないのがコロナ禍です。コロナ禍をきっかけに、多くの企業がリモートワークの導入やレンタルオフィスへの切り替えを実施しました。 現在は以前よりも出社をする企業の割合が増えてきてはいますが、それでもリモートワークや社外での作業など、社外環境で仕事をする割合はコロナ禍以前と比較して著しく増加しています。 このように、社内にサーバーを配置し社内からのみ情報システムを利用する環境から、クラウドを利用し場所を問わず情報システムを利用する環境へと大きく変化を遂げたのです。
「ゼロトラスト」環境を実現するには
先ほども解説した通り、「ゼロトラスト」はあくまでもセキュリティ対策の考え方の一種です。
そのため、ゼロトラスト環境を実現するために決まった製品があるわけではありませんし、
ある単独の製品を導入しただけでは実現しません。ましてや、現在導入しているセキュリティ製品がすべて必要なくなることはありません。
ゼロトラストの実現には、既存のセキュリティ環境を活用しつつ、ハイブリッド型ですこしずつ進めていくのが最も現実的な方法となります。
結構地道な作業が必要なのですね……。でも社内に専任者がいない場合はどこから手をつけたらいいか……。
まずはここから！おすすめの製品
本来はご利用環境によって最適な製品は様々であることは大前提になりますが、利用環境を把握して最適な製品を選定して・・・というのは非常にハードルが高いもの。 そこで、まずは「ゼロトラストは場所を問わずセキュアな環境を維持することを目指す考え方である」というところに軸をおいて考えてみてください。 そうすれば、アクセスした人が正当な利用者であるかどうか確認し、どのような環境でも適切な権限を付与することがゼロトラスト環境構築の土台として必要になってくることが明らかになってきます。
その観点から、弊社ではゼロトラスト環境構築のはじめの一歩として「SingleID」をおすすめしています。 「SingleID」は高度な認証機能を備えたIDaaS製品です。
SingleIDは高度なID管理の他、パスワードや二要素認証に加え、PKI（公開鍵基盤）を認証方式として提供し、ゼロトラスト環境の構築を後押しさせることが可能です。 さらにSingleIDは無線APやVPN機器などのネットワーク機器の認証にも対応します。
2024年に発生した岡山県でのランサムウェア事案では、ID・パスワードの使いまわしが原因の一つとなりました。 例えばSingleIDでPKI認証を利用すれば、ID・パスワードを使いまわす心配は無くなります。 SingleIDは、高度なID管理を実現するだけでなく、こうしたセキュリティ課題への対策もできるようになります。
近年セキュリティ対策がどんどん高度化するなか、なかなか穴を埋めるに至らないのが、IDとパスワードの認証管理です。人が管理しなくてはならないうちは、覚えられないなどの理由によりパスワードの使いまわしや単純化などのリスクを抱えてしまいがちです。
SingleIDを利用すればこの問題を解決できるので、全体のセキュリティレベルを一気に上昇させることができます。