ゼロトラストの7つの柱

組織は、サイバーセキュリティとサイバーレジリエンスを向上させるために、ますますゼロトラストモデルを採用しています。本資料では、ゼロトラストとは何か、その主要なメリットと課題、そしてゼロトラスト導入の7つの柱について解説します。

ゼロトラストとは？

従来のサイバーセキュリティ戦略は、境界ベースのフレームワーク（perimeter-based framework）に基づいていました。主な重点は、悪意のある主体がネットワークに侵入するのを防ぐことでした。一方で、境界内にいるユーザー、プロセス、デバイス、およびその他のエンティティには、IT リソースへの幅広いアクセス権が付与されていました。「私たちはかなりフラットなネットワーク（we have a rather flat network）を持っている」という用語は、境界内の誰もがすべて（またはほとんどすべて）を見てアクセスでき、内部の境界が設定されていないことを説明するために使われました。

しかし、リモートワーク、BYOD（Bring-your-own-device）ポリシー、複雑なサプライチェーンなどの要因により、長年の間にネットワーク内とネットワーク外のエンティティの区別はますます曖昧になってきました。さらに、インシデントフォレンジックでは、ネットワークに侵入した脅威アクターが、正規のユーザー資格情報を盗む、あるいは推測するといった形で侵入することが多いにもかかわらず、その後内部に数週間、数か月、場合によっては数年にわたって潜伏し、こっそり横方向に移動しながら権限を昇格させ、機密性の高いシステムやデータにアクセスできるようになるまで権限昇格を続けることが明らかになっています。加えて、資格情報の所有者自身も、意図的である場合、またはエラーや不注意によって、被害を引き起こす可能性があります。

これらの現実に対応するために、Zero Trust は「never trust, always verify（決して信頼せず、常に検証する）」として要約される新しいサイバーセキュリティのアプローチを提示します。実際のところ、Zero Trust には、次のようなさまざまなセキュリティ制御が含まれます：

• リスクベースの再認証（Risk-based re-authentication）— ユーザー、プロセス、その他のアイデンティティについて、最初のアクセスが多要素認証（MFA）で確認されていたとしても、一度認証しただけで IT リソースに自由にアクセスさせることは避けるべきです。代わりに、各アクセス要求のリスクをさまざまな要因に基づいて評価し、そのリスクが定義されたしきい値を超える場合は、追加の認証を要求する必要があります。要因の例としては、要求の時間と場所、要求されるリソースの分類方法（公開、機密、または最高機密など）、要求元のデバイスの特性（ソフトウェアのバージョン詳細など）、および当該エンティティにおける通常の活動パターンに関する行動分析（behavioral analytics）などが挙げられます。
• 最小権限の原則（least-privilege principle）を厳格に遵守する— さらに Zero Trust では、特定のタスクを完了するために必要なリソースに対してのみアクセスを許可し、そのアクセスは時間制限を設けるべきだと求めています。これにより、ネットワーク内のいかなるアイデンティティも、正規の所有者が使用している場合であっても、あるいは攻撃者に侵害されている場合であっても、引き起こせる被害を抑えることができます。
• アクティビティの綿密な監視 — 脅威を迅速に検知するために、Zero Trust では、IT インフラ全体にわたって、エンドユーザー、管理者、サービスアカウント、デバイスなどのアクションを含め、アクティビティを継続的に監視する必要があります。

Zero Trust の 7 つの柱とは何ですか？

米国国防総省（DoD）"Zero Trust Reference Architecture"Department of Defense (DoD) "Zero Trust Reference Architecture" は、Zero Trust の原則を実装するための相互に連携する 7 つの柱を示しています：

• ユーザー — この領域には、ユーザーの身元を認証し、その特権を管理することに関連するすべてのプロセスが含まれます。例としては、identity and access management（IAM）、privileged access management（PAM）、および多要素認証があります。
• デバイス — この柱では、デバイスのアイデンティティを認証し、デバイスがセキュリティ基準を満たしていることを保証します。たとえば、最新のソフトウェアを備えていることや、非承認のコンポーネントがないことなどです。デバイスのセキュリティのためのツールには、継続的な診断およびミティゲーション（CDM）システム、モバイルデバイス管理（MDM）ソリューション、トラステッド・プラットフォーム・モジュール（TPM）などがあります。
• ネットワーク/環境 — この領域では、オンサイト環境とオフサイト環境の両方を含め、ネットワークの分離と制御を行います。主要なネットワークセキュリティ戦略には、きめ細かなアクセス権限と、マイクロ分離およびマクロ分離（セグメンテーション）が含まれます。
• アプリケーションとワークロード— この柱には、ソフトウェアが実行するすべてのタスクが含まれます。ここではプロキシ技術が役立つ場合があります。
• データ — この領域には、組織が保存し処理するすべてのデータが含まれます。包括的なデータ管理戦略には、最小権限を徹底するためのデータアクセスの見直しや、誤った相手の手に渡った場合でもデータを保護するための暗号化などの統制が含まれます。
• 可視性とアナリティクス — この柱では、脅威を検知するためにネットワークおよびシステムのアクティビティを分析します。関連技術として、ネットワーク／システムのアクティビティログ、脅威インテリジェンスフィード、SIEM ツールなどがあります。
• 自動化とオーケストレーション — この領域では、脅威の検知や対応などのセキュリティプロセスを自動化し、セキュリティポリシーの実装におけるスピードと一貫性を高めます。

ゼロトラスト・アーキテクチャとは？

ゼロトラストの柱（ピラー）を実装するには、組織はゼロトラスト・アーキテクチャを構築する必要があります。 NIST SP 800-207 “Zero Trust Architecture” は主要な構成要素を次のように示しています：

図の中央に、ポリシー（policy）コンポーネントがあります：

• ポリシー・エンジン（PE） — リクエストに関するデータを収集し、企業のポリシーを用いて、そのリクエストを承認するかどうかを判断します
• ポリシー管理者（PA） — PE から認証の判断を受け取り、セッションを許可するための認証情報（credentials）またはトークンを生成（または生成しない）します
• ポリシー執行ポイント（PEP） — PAが送信したコマンドに基づいて、要求デバイスとプライベートリソース間の接続を管理します。

左側と右側には、PE に情報を供給するデータソースがあります。

• 継続的診断・緩和（CDM）システム — 要求デバイスの特性に関する情報を収集します
• 業界のコンプライアンスシステム — 適用される規制（例：FISMA または ）の遵守を確実にするのに役立つように、ポリシールールをエンコードします。
• 脅威インテリジェンスフィード — アクセス制御プロセスに関連する攻撃または脆弱性に関する情報を提供します
• ネットワークおよびシステムのアクティビティログ — 脅威検知を改善し、異常な挙動を測定するために、ネットワーク内のイベントに関する情報を記録します
• データアクセスポリシー — 特定の時間に特定のリソースへアクセスすることが許可される主体（対象）を決める基本的なルールを定義します
• セキュリティ情報およびイベント管理（SIEM）システム — 多様なソースからデータを収集・分析し、セキュリティ脅威を特定します
• アイデンティティ管理システム — リソースへのアクセスを要求するアカウントのアイデンティティ記録を管理します

ゼロトラスト（Zero Trust）の導入にはどのような課題がありますか？

Zero Trust モデルを導入する際の主な課題は、次のとおりです。

• レガシーシステムからの移行 — 多くの組織では、Zero Trust をゼロから導入することはできません。そのため、既存のシステムやプロセスを Zero Trust の代替手段に段階的に置き換える必要があります。移行期間中は、古いコンポーネントと新しいコンポーネントがスムーズに連携できるようにして、強固なセキュリティを維持することが重要です。
• 堅牢なデータソースの構築 — 別の導入上の課題は、信頼性の高い認証判断を可能にするために、PE に投入するのに十分なデータを収集することです。そのためには、企業の資産、主体、そしてビジネスプロセスに関する詳細な知識が必要になります。
• ポリシーコンポーネントの保護 — 認証プロセス、ひいてはビジネス運用が中断されるのを防ぐため、組織は PE、PA、PEP を保護する必要があります。これらは安全な環境に配置するか、複数の環境にレプリケートしてください。さらに、設定変更はすべてログに記録し、監査(audited)するなどして、慎重に監視する必要があります。
• ユーザーの受容を促す — Zero Trust では、権限を最小化し、リスクの高いアクセス要求には再認証を求める必要があるため、ユーザーは変更に対して不満や戸惑いを感じることがあります。セキュリティ疲れ を減らすには、ユーザーが実際に必要としているアクセス権を取り除かないこと、そして MFA は正当な場合にのみ求めることに注意してください。さらに広い観点では、セキュリティ上のメリットを説明することで Zero Trust という考え方を育むことが重要です。また、誤解も解いておく価値があります。“Zero Trust” は、人としての従業員に対する信頼がないことを意味する、という誤解です。実際には、どのデバイス、システム、ユーザー、またはその他のエンティティも自動的に信頼しない、ということを指すだけだと説明してください。
• 適切な権限レベルの管理 – 権限を最小化することは、権限をゼロにすることと同じではありません。ユーザーは認証後、一定の権限を持つことになりますが、利用可能なすべての権限を付与すべきではありません。2023年の Microsoft のレポートでは、クラウド上で「付与された権限」と「実際に使用された権限」の間にリスクの高いギャップがあることが示されています。これは、アイデンティティが自分に付与された権限のわずか1%しか使用しないためです。これに対処するには、ユーザーの役割（複数可）と、その役割に対して付与される権限が適切に管理され、可能な限り最小化されていることを確認してください。さらに、必要な権利を割り当てる際に、just-in-time の例外を許可するプロセス、または監査可能なセルフサービス方式で必要な権利を付与できる仕組みを用意しておくと、ゼロトラスト（zero trust）の運用が容易になります。

まとめ

ゼロトラスト（Zero Trust）のセキュリティモデルを導入するのは、すぐに終わる簡単な作業ではありません。しかし、7つのゼロトラストの柱（pillars）は、必要なツールやプロセスを特定するための確かな土台を提供します。朗報は、メリットを得るためにそれらをすべて導入する必要はないということです。ゼロトラストのアーキテクチャを構築していく各ステップが、あなたのサイバーセキュリティとサイバー・レジリエンス（cyber resilience）を高めていきます。