ゼロトラストとは？従来型セキュリティとの違い・導入ポイントを紹介

SASE(サシー)との違い

ゼロトラストセキュリティとの関係性

「ゼロトラストセキュリティ」という用語があります。「ゼロトラストセキュリティ」は「あらゆるアクセスは信用できない」というゼロトラストの考え方をもとに構築されたセキュリティ対策へのアプローチのことを指します。
「ゼロトラスト」は考え方（概念）であり、その考え方をもとにしたセキュリティ対策へのアプローチが「ゼロトラストセキュリティ」である、と理解しておけばよいでしょう。前述の「境界型セキュリティ」と対になる言葉です。

ゼロトラストアーキテクチャとの違い

一方、「ゼロトラストアーキテクチャ」はゼロトラストセキュリティの「構造」や「設計思想」のことを指します。「アーキテクチャ」はもともと「構造」を指す建築用語でしたが、IT分野でも同様に「構造」の意味で使用されるようになりました。米国国立標準技術研究所（NIST）のNIST SP800-207では、データへのアクセスの許可/不許可（PE）、通信経路の確立（PA）、通信内容の監視などの構成要素（PEP）などの構成要素について言及されています。

参考：PwC「NIST SP800-207『ゼロトラスト・アーキテクチャ』の解説と日本語訳」

セキュリティレベルが大幅に向上

ゼロトラストでは、情報資産へのアクセスのたびに様々な要素を組み合わせた認証を実施するため、セキュリティレベルを大幅に向上することができます。また、アクセスログが保存されるため、利用状況を把握したり、アクセス解析を実施したりすることもできます。

社内外を問わず、どこからでもセキュアにアクセス可能

ゼロトラストでは社内と社外の区別なくセキュリティ対策を講じるため、社外からでも社内同様にセキュアに情報資産へのアクセスが可能になります。また、従来の境界型セキュリティモデルでは、クラウドなど社外のリソースにアクセスする際に、境界線上に設置されたセキュリティ機器を必ず通るため、この部分でボトルネックが発生することもありました。これが、ゼロトラストでは社外からの直接アクセスも可能となるため、トラフィックの負荷が分散できます。

セキュリティ管理の効率性向上

従来は、攻撃の種類やネットワークに応じて各種セキュリティ機器を用意していたため、そうした機器の管理が煩雑になりがちでした。ゼロトラストでは、SASE対応のサービスや製品を利用して、各種設定をクラウド上で一元管理できるため、社内外を問わず同一のセキュリティポリシーを適用することも可能です。

厳格な認証が必要

ゼロトラストでは、セキュリティ強化のため2段階認証や多要素認証などが用いられます。また、アクセス毎に認証を行うというゼロトラストの原則から、短時間で認証が切れたり、何度も認証を繰り返したりする必要も生じます。
つまりログインにひと手間かかることとなり、実装方法によっては業務効率が低下するなど欠点にもなりかねないため、一度のログインで複数の情報資産にアクセスできるシングルサインオンの導入を検討してみても良いでしょう。

導入・運用コストがかかる

ゼロトラストを実現するためには、様々な対応サービスやツールの導入が必要となります。導入には当然費用がかかりますから、セキュリティ対策コストは上昇する可能性があります。また、通信状況のモニタリングやアクセスログの監視、データへのアクセス権限の変更やセキュリティポリシーの更新など、人件費を含めた運用コストも必要となります。場合によっては、専門のセキュリティ担当者が必要になるかもしれません。

セキュリティ設定によっては利便性を損なう可能性がある

前述の認証方式のほかにも、セキュリティ設定が厳し過ぎたり、重要度の低いファイルにまでアクセス制限をかけたりなどをすると、利便性を損なう可能性があります。自社にとって適切なセキュリティレベルを設定しましょう。
また、特に導入した直後は業務の効率性や利便性が低下する場合があるため、あらかじめゼロトラスト導入により増加する工数などについても検討しておくことが重要です。

認証の手間が増える

ユーザーおよび接続機器などでアクセスをコントロールするゼロトラストセキュリティにおいても、依然IDの管理は厳格に行う必要があります。特に業務に様々なツールやクラウドサービスを利用する現代においては、従業員1名につき複数のIDを管理していることも多いでしょう。
言い換えれば、「いかにIDを適切に一元管理できるか」がゼロトラストセキュリティネットワークを構築する際のカギと言えます。管理するIDが多い場合には、シングルサインオンの導入によって、ID管理の負荷軽減と利便性の向上を両立できるようになります。

アクセス・行動履歴の可視化

ゼロトラストセキュリティネットワークの実現は、「誰がどのような場所から、どのようなファイル・アプリケーションにアクセスしているか」を可視化する試みとも言えます。アクセスログを取得するなどの手段を通じて、不正なアクセスを防止したり、万一情報漏えいが発生した場合にも速やかに検証したりといったことを実現する必要があります。
また、ユーザーが危険な行動をとっていないかを監視することで、脅威を未然に防止することも可能でしょう。

インターネット接続時に輻輳（ふくそう）が発生する

VPNで各拠点を接続していても、セキュリティを確保するため、インターネットへの接続は必ず本社のデータセンターなどを経由するようなネットワークとなっていることも多いでしょう。
その場合、インターネット接続への出口がボトルネック化して輻輳（ふくそう）が発生し、通信速度が低下するなど業務に支障をきたす恐れがあります。

データ通信量が年々増加しており回線の見直しが必要

クラウドアプリケーションなどの理由により、データ通信量は年々増加しています。それにともない、将来的に通信品質が低下したり、契約した帯域が足りなくなったりといった事態が発生するかもしれません。
こうした場合、パフォーマンスを維持するためには回線の増強や契約の見直しが必要となりますが、コストなどの要因から対応が難しい場合もあるでしょう。

セキュリティが万全ではない

専用線と同等のセキュリティ性能を目指すVPNですが、セキュリティ上のリスクが全くないわけではありません。実際にVPNゲートウェイが攻撃を受けた事例や、ログイン情報の漏えいにより外部から不正アクセスを受けた事例なども発生しています。

ユーザー認証

「ユーザー認証」は、ユーザーIDやパスワードなどのログイン情報の管理や認証を行うソリューションです。クラウド上で認証情報の管理を行うIDaaS（Identity as a Service）が代表的で、ひとつのID/パスワードで複数のサービスを利用することができる「シングルサインオン」の機能を備えたソリューションもあります。

エンドポイントセキュリティ

「エンドポイント」は、ネットワークの末端に位置する機器、すなわちPCやモバイル端末などをさします。エンドポイントセキュリティは、それらの端末を保護するソリューションです。
端末を監視するEDR（Endpoint Detection and Response）、マルウェアの感染から保護するEPP（Endpoint Protection Platform）などがあります。

ネットワークセキュリティ

「ネットワークセキュリティ」は、ネットワークの各種アクセス権限を設定するとともに、セキュリティを確保するソリューションです。
危険なサイトなどへのアクセスを遮断するSWG（Secure Web Gateway）、リアルタイムに接続可否を判断するSDP（Software Defined Perimeter）などがあります。
また、ネットワークをSD-WAN化することで、通信を暗号化して外部からの閲覧・盗聴を防ぐこともでき、不正アクセスやポリシー違反の通信を専用のダッシュボードなどから停止することもできます。

クラウドセキュリティ

「クラウドセキュリティ」は、クラウド利用に関するソリューションです。
クラウドサービスの利用状況を可視化・制御するCASB（Cloud Access Security Broker）、クラウドサービスの安全性を確認するCSPM（Cloud Security Posture Management）などがあります。