ゼロトラストとは？基本的な考え方と理論的背景を徹底解説

ゼロトラストの基本的な定義とその考え方

ゼロトラストは、その名称の通り「だれも信頼しない」という前提にたったセキュリティ設計のことをいいます。社内外のネットワーク環境において情報システムやサービスへの通信があった際に、すべてを信用できない領域として、通信を検知し認証を求めるという考え方です。

ゼロトラストの基礎知識や、ゼロトラストの導入検討手順の概要などが記載されているNIST SP 800-207（米国国立標準技術研究所 発行）にはゼロトラスト・アーキテクチャ７つの基本的な考え方がより詳細に掲載されています。

これは、後続の章「ゼロトラスト基本的な７つの考え方」で解説します。

ゼロトラストが求められる背景と必要性

ゼロトラストが注目される背景として、サイバー攻撃の高度化やテレワークなど働き方の多様化、DX推進を目的としたクラウドサービスの急速な普及があります。

そのため、従来の境界の内側を守る考え方だけでは、セキュリティ対策として情報漏洩やサイバー攻撃から情報資産を守ることが困難となってきました。

ここからは、代表的な3つの背景を説明します。

クラウドサービスの利用拡大

企業ではビジネス環境の変化に対応するために、より迅速に IT システムを構築できるクラウドサービスを利用する動きが急速に広がっています。以前はインターネットに接続されたクラウドサービスへのセキュリティ面での不安を感じる企業も多く、一部の限られた IT システムでのみ利用されているような状況でした。

しかし、セキュリティに関する問題を重点的に対策する企業が増えたことにより、さまざまな可用性を踏まえた機能や自社で運用が難しいAIや機械学習なども、クラウド上での運用が可能となり、多くの企業にとってより身近なものとなりました。

リモートワークの普及

以前は自宅や外出先で情報を扱う際のセキュリティ面や通信速度の問題から利用は限定的でした。しかし、新型コロナウィルスの影響、働き方の多様性確保など、社会の動きに合わせてリモートワークが急速に浸透しています。

結果として、業務に関連するデータやシステムに対して、不特定多数のネットワークからアクセス可能な状態になり、利便性が増す一方でセキュリティリスクの拡大も懸念されています。

ITシステムやデータの外部連携の増加

企業の事業活動やその成長において、データの活用がより重要視されています。社内データはもちろん、社外のデータを共有、連結・加工などすることでより高度なデータ分析と示唆を導くことができます。あらゆるデータが多くの人によってアクセスしやすく運用されやすい状態になりました。

一方で、それらに目をつけ悪用を考える攻撃者がいるのも事実で、セキュリティリスクが高まる要因にもなっています。

以上3点の背景から、セキュリティにおける意識も高まりつつあり、ゼロトラストという考え方により注目が集まるようになりました。

ゼロトラスト基本的な７つの考え方

ゼロトラストには、7つの基本的な考え方があります。ここでは、それぞれのポイントを解説します。

1. すべてのデータソースとコンピューティングサービスをリソースとみなす

ネットワーク上に存在するあらゆる要素—たとえばデバイス、ユーザー、アプリケーション、データなど—をすべて「リソース」とみなします。もし企業が所有するリソースに、個人が使うデバイスを通じてアクセスする場合は、その個人デバイスも同じくリソースとして扱うのがポイントです。

2. ネットワークの場所に関係なく、すべての通信を保護する

企業の内部ネットワークだからといって無条件に「安全」とは見なさず、外部ネットワークと同じく警戒すべき対象と捉えます。たとえ社内にあるネットワークでも、「認証がきちんと行われているか」「セキュリティ基準を満たしているか」を常に確認し、アクセスする際は最も安全な手段を使うことを大切にします。

3. 企業リソースへのアクセスをセッション単位で付与する

一度アクセス権限を与えたらずっと有効、という考え方をやめ、セッションごとにその都度アクセス権を確認し付与します。初回の認証が通ったから安心、ではなく、必要なときに必要な権限を与え、リスクを最小限に抑える仕組みづくりが求められます。

4. リソースへのアクセスは動的ポリシーで決定する

アクセスを許可するかどうかを判断する際は、「誰が（ユーザー ID）」「何を使って（デバイスの状態）」「どんな目的で（アプリケーションやサービス）」「どのような振る舞いか（行動属性）」といった複数の要素を総合的に評価します。機密度が高いデータへのアクセスであればあるほど、厳格な確認ステップを踏むことが重要です。

5. すべての資産を常に監視し、セキュリティを確保する

企業や組織が管理するデバイスやネットワーク、アプリケーションは、最新の状態を維持できているか絶えず監視する必要があります。たとえばOSやソフトウェアのバージョンが古いままになっていないか、セキュリティパッチが適用されているかなど、継続的なチェックが欠かせません。

6. リソースへの認証と認可を“アクセス前”に厳格に実施する

あらかじめ決めた静的ルールだけに頼らず、リアルタイムの状況に応じた認証と認可を行います。たとえば、通常と異なるIPアドレスや時間帯からのアクセスが発生した場合は、追加の多要素認証を要求するといった対応が考えられます。いつでも同じルールではなく、リスクや状況に合わせて最適な認証手段を組み合わせます。

7. 資産やネットワークの現状をなるべく多く収集し、セキュリティ強化に役立てる

システムの稼働状況やネットワークトラフィック、アクセスログといった情報を幅広く記録し、分析することで、セキュリティを継続的に強化していきます。異常なアクセスパターンを早期に発見したり、未然にトラブルを防いだりするためにも、あらゆる角度からのデータ収集・モニタリングが欠かせません。

ゼロトラストとASM（Attack Surface Management）

同じセキュリティの概念ではありますが、それぞれの相違点と共通点について説明します。

２つの概念はそれぞれアプローチ方法も大きく違います。ゼロトラストがネットワーク上のリソースを常に監視するのに対し、ASMは攻撃者視点からサイバーセキュリティの脆弱性を検出、分析するものとなっています。

現代のセキュリティ課題や、複雑化するIT環境、進化し続ける脅威、拡大する攻撃対象領域に対応するため、ゼロトラストとASMは、それぞれ異なるアプローチを取りながら、組織の包括的なセキュリティ強化という同じ目標を目指しているものとなります。

まとめ

クラウドサービスやリモートワークの普及は、各種調査で利用率が年々増加している通り、企業のセキュリティリスクを一段と高めています。こうした環境下で有効とされるゼロトラストは、すべてのアクセスを常に検証し、信頼度を見直すことで被害範囲を最小化する考え方です。さらに、ASM（Attack Surface Management）を併用することで、攻撃者視点での脆弱性発見とゼロトラストの厳格な認証を組み合わせることもできます。

日々進化する脅威に対応するために、柔軟で包括的な対策を企業として取り組んでいきましょう。