ゼロトラストアーキテクチャ: 信頼せず、常に検証
ゼロトラストアプローチとは何ですか？ゼロトラストアプローチは、システムから信頼を排除することでネットワークを攻撃から保護するセキュリティモデルです。信頼がないため、すべてのユーザーはアクセスしたいリソースやデータに対して検証される必要があります。
ゼロトラストの原則
ゼロトラストの原則は、場所やネットワークに関係なく、従業員からベンダー、顧客まで、すべてのユーザーによる安全なアクセス制御と監視の必要性を強調するセキュリティ概念です。ゼロトラストは「信頼せず、常に確認する」という原則に基づいており、組織は各ユーザーの身元を確認し、悪意のある活動を監視し続ける必要があります。
ゼロトラストの原則を知らない組織は、財務的、法的、評判に関する影響を受けるリスクがあります。財務的な影響には、データ侵害による金銭的損失、規制機関からの罰金、評判の損害を修復し顧客の信頼を再構築するための費用が含まれます。法的な影響には、顧客やベンダー、その他の当局からの訴訟、GDPRの罰金やデータプライバシー違反が含まれる可能性があります。最後に、評判に関する影響には、組織のブランドへのダメージ、顧客の忠誠心の低下、ステークホルダーの信頼の欠如が含まれます。
ゼロトラストはどのように機能するのか？
ゼロトラストセキュリティは、システムリソースへのアクセスを暗黙的に信頼しないセキュリティアプローチです。システムリソースへのアクセスは、許容される資格情報を使用した認証と承認を通じてのみ行われるべきです。
ゼロトラストは、マイクロペリメーターとセグメンテーションゲートウェイを使用して、重要なデータ、資産、アプリケーション、サービス（DAAS）を保護することに焦点を当てています。これらのセキュリティツールは、DAASに近い場所にセキュリティ対策を配置し、保護面をできるだけ集中させます。
潜在的な保護面を把握したら、その面を通るデータの流れとその背後の流れを決定できます。これにより、データがセキュリティサービスを通じてどのように移動し、自社のインフラ内でどのように動くかをよりよく理解できます。
最も重要なのは、ゼロトラストセキュリティの実装です。企業は、米国国立標準技術研究所（NIST）が発行した重要なセキュリティ文書、NIST Special Publication 800-207: Zero Trust Architectureを参照できます。この文書は、ゼロトラストの原則を理解し実装するためのフレームワークを示しています。
NIST SP 800-207で概説されているゼロトラストアーキテクチャの原則の一部は次のとおりです：
- すべてのサービスとデータソースをリソースとして考慮する: システムのあらゆる側面とそのセキュリティエコシステム内での位置を当然のものと考えないでください。これには、ソフトウェア、クラウドサービス、モバイルデバイス、ワークステーション、データストレージプラットフォームが含まれます。
- ネットワークの場所に関係なくすべての通信を保護する: 内部ネットワークのいかなる側面もそのまま安全であると考えず、リソースが接続または送信される可能性のあるあらゆるポイントで保護を実施してください。
- セッションごとにアクセスを制限する: ユーザーとデバイスに信頼性を示させるために、認証と承認の目的であらゆるリソースに対するマルチセッションアクセスを排除する必要があります。
- アクセスのために動的なポリシー属性を活用する: ロールベースのアクセス制御（RBAC）は、誰がリソースにアクセスできるかを決定する一般的な方法です。ゼロトラストポリシーは、デバイスの特性、時間と日付、さらには行動属性に基づく制限を組み込むために、属性ベースのアクセス制御（ABAC）も活用する必要があります。
- すべての資産を継続的に監視する: NISTは、データ、ソフトウェア、ハードウェアを問わず、あらゆる資産を定期的に監視して、資産が知らないうちに改ざんされているケースを回避することを提案しています。
- 常に厳格なアイデンティティアクセス管理を行う: システムは、アクセスが許可される前に厳格な認証と承認の制御を強制する必要があります。
- 評価と最適化: 継続的な監視は、アクセスの強制、セキュリティ、ネットワークプライバシーの最適化に寄与することができ、またそうすべきです。
ゼロトラストネットワークとは何か？
ゼロトラストネットワーク（ZTN）は、組織内のすべてのユーザー、システム、ネットワークが潜在的に信頼できないと仮定する高度なセキュリティモデルです。「信頼せず、常に確認する」という原則に基づいており、すべてのユーザーとデバイスに一意のIDと資格情報が割り当てられ、すべての通信が認証を通じて保護されます。
ゼロトラストネットワークを導入することで、企業は脅威をより迅速に検出し、攻撃の成功の可能性を減少させることができます。「信頼された」アクセスの概念を排除することで、攻撃面を減少させ、内側から外側への追加の保護層を提供します。
ゼロトラストネットワークは、データセキュリティとネットワーク全体の通信に焦点を当てたゼロトラストアーキテクチャ（ZTA）とは異なります。ZTAは、アイデンティティとアクセス管理により重点を置いています。両方のモデルは、攻撃面を減少させるためにマイクロセグメンテーションに焦点を当てていますが、ゼロトラストネットワークはマイクロセグメント間の安全な通信を強調し、ゼロトラストアーキテクチャはアクセス制御を強調します。
ゼロトラストセキュリティモデルとは何か？
ゼロトラストセキュリティモデルは、ユーザー、デバイス、アプリケーションに対して信頼を仮定しないセキュリティモデルです。代わりに、すべてのトラフィックはデフォルトで信頼されていないと見なされ、IDと資格情報を証明できる場合にのみネットワークへのアクセスが許可されます。これは、組織がユーザーの本質だけでなく、デバイスとアプリケーションのセキュリティ姿勢も確認することを要求するサイバーセキュリティアプローチです。
ゼロトラストセキュリティモデルを使用することで、企業はネットワークに追加の保護層を提供し、すべての受信トラフィックを確認してからアクセスを許可する必要があります。このモデルは、悪意のある行為者を抑止し、ユーザーのIDを検証し、信頼されたエンティティにのみアクセスを許可することで、データ侵害やその他のサイバー攻撃のリスクを軽減します。さらに、ゼロトラストセキュリティモデルは、GDPRなどのデータプライバシー規制の遵守を確保し、従来の境界ベースのセキュリティモデルよりもコスト効率が高いです。
ゼロトラストを推進する技術
ゼロトラストアーキテクチャの効果的な展開を可能にするために、いくつかの新しいまたは新興の技術が道を開いています。これには以下が含まれます：
特定のユーザー中心の領域では、
さらに、
ゼロトラストのユースケース
今日のデジタル世界では、悪意のある行為者がますます巧妙化しているため、ゼロトラストは不可欠です。
ゼロトラストには3つの顕著なユースケースがあります。
- クラウドアクセスのセキュリティ: ゼロトラストは、クラウドアプリケーションとサービスへのアクセスを保護するために使用できます。アイデンティティとアクセス管理（IAM）および多要素認証（MFA）技術を活用することで、組織はクラウドサービスとアプリケーションにアクセスしようとするユーザーを安全に認証し、許可されたユーザーのみがアクセスできるようにします。
- ネットワーク防御: ゼロトラストは、認証され承認されたユーザーとデバイスのみがネットワークとそのサービスにアクセスできるようにすることで、ネットワーク環境を保護します。また、ネットワークに出入りするすべてのトラフィックに対する可視性を向上させ、潜在的な侵害が発生した場合に迅速に対応できるようにします。
- データ保護: ゼロトラストは、機密データや機密情報を不正アクセスから保護します。暗号化技術を活用することで、組織はデータを保存中および転送中に保護し、許可されたユーザーのみがアクセスできるようにします。企業は、ロールベースのアクセス制御とデータ損失防止ソリューションを通じて、この安全なアクセスを強制することができます。
ゼロトラストアーキテクチャのベストプラクティスと利点は何か？
ゼロトラストモデルを構成する原則を基本的に理解しているかもしれませんが、このアーキテクチャを実装することはまったく別のことです。これらの原則が特定のITシステム内で、特定のインフラ内で、そしてビジネス目標に関連してどのように展開されるかを考慮する必要があります。
ゼロトラストアーキテクチャを実装するには、いくつかのステップがあります：
- セキュリティリソースを過剰に拡張しないように、DAASに近い保護面を定義する。 この文脈で「近い」とは何を意味するのかを考えるのは混乱するかもしれません。アクセス制御とセキュリティ対策は、広範で不要な技術やリソースをカバーすべきではありません。代わりに、必要な場所に明確で限定的かつターゲットを絞った保護面を実装する必要があります。このアプローチにより、トラフィックとシステムアクセスをより適切に制御し、必要に応じて境界セキュリティを調整することができます。
- データの取引とフローを追跡する、インフラの異なる部分を横断する情報のすべての移動を含む。NISTによれば、ネットワーク内の情報が安全であると仮定してはなりません。ゼロトラストアーキテクチャには、特に保護面に関連して、データがネットワークをどのように移動するかを追跡するための制御が必要です。
- 「キプリング法」に基づいてセキュリティとゼロトラストポリシーを開発する。 キプリング法は、ラドヤード・キプリングの詩に由来することが多く、セキュリティインフラについて尋ねることができる一連の普遍的な質問を定義します：誰が？何を？いつ？どこで？なぜ？そしてどのように？このアプローチを使用することで、役割、属性、その他の詳細な制御に基づいてゼロトラストポリシーを構築することができます。
- 継続的な監視とメンテナンス計画を作成し、それを実施する。 NIST SP 800-207は、監視と最適化がゼロトラストアーキテクチャの一部になることを提案しています。データ駆動型の監査ログと監視ツールを使用して、既存のリソースでもゼロトラストの原則を実装できます。既存のリソースが侵害されていない、または脅威に対して安全であると仮定してはなりません。
ゼロトラストを実装するための完全なアプローチを理解するには、NIST SP 800-207を参照してください。これには、準拠した高レベルのアーキテクチャガイドラインが含まれています。
もちろん、ゼロトラストアーキテクチャには、主にセキュリティとコンプライアンスに関連する多くの利点があります：
- セキュリティ: ゼロトラストの原則は、特に認証と承認に関連するセキュリティのギャップを埋めます。ユーザー、デバイス、リソースが暗黙的に信頼されないため、ハッカーが悪用できる攻撃面が少なくなります。持続的標的型攻撃（APT）などの攻撃がシステム内で広がるベクトルも制限されます。
- コンプライアンス: いくつかの連邦および防衛コンプライアンス基準は、ゼロトラストアーキテクチャを推奨または要求しています。さらに、サイバーセキュリティに関する大統領令は、すべての連邦機関と請負業者がゼロトラストセキュリティに移行することを求めています。これらの原則を実装することで、コンプライアンスの姿勢を向上させることができます。
ゼロトラストメールアーキテクチャとは何か？
ゼロトラストメールアーキテクチャ（ZTEA）は、組織のメールシステムのインフラにゼロトラストの原則を適用するメールセキュリティフレームワークです。これは、ユーザー、企業資産、機密データを悪意のある行為者から保護し、組織とその外部パートナー間の安全な通信を確保するように設計されています。対照的に、ゼロトラストアーキテクチャは、内部および外部の両方のソースからの不正アクセスを防ぐことに焦点を当てたサイバーセキュリティ戦略です。
ゼロトラストメールアーキテクチャは、この概念をさらに一歩進め、組織外に送信されるメールに追加のセキュリティ層を追加します。これには、すべてのメールの暗号化、メールの送受信を制御すること、内部および外部のメールアカウントに対する認証の強制が含まれます。
ゼロトラストメールアーキテクチャは、組織がPII、PHI、知的財産などの機密情報を外部に共有する際に保護するのに役立ちます。すべてのメールを暗号化することで、組織は意図された受信者のみが機密情報にアクセスできるようにします。さらに、メールの送受信を制御し、強力な認証を強制することで、悪意のある行為者がメールシステムにアクセスするのを防ぐことができます。
ゼロトラストメールアーキテクチャは、欧州連合の一般データ保護規則（GDPR）などのデータプライバシー規制の遵守にも役立ちます。たとえば、GDPRは、個人データが安全に保たれ、許可された人員のみがアクセスできることを組織に要求しています。ゼロトラストメールアーキテクチャを実装することで、組織はメールの送受信を制御し、すべてのメールを暗号化し、認証を強制することで、この要件を満たすことができます。
ゼロトラストを実装するためのステップ
ゼロトラストアーキテクチャを実装することは大きな取り組みです。ゼロトラストアーキテクチャとより広範なゼロトラスト哲学を構築する前に、考慮すべき推奨事項をいくつか紹介します：
- ユーザー、デバイス、エンドポイントを特定し、それらのインベントリを作成する;
- データアクセスとリスク管理のためのポリシーと手順を確立する;
- 認証と暗号化技術を実装する;
- ネットワークをマイクロペリメーターに分割し、各セグメントへのアクセスを制御する;
- システムを継続的に監視し、リアルタイムで脅威を検出する。
たとえば、企業はネットワークにログインする際に多要素認証を使用し、ユーザーがアクセスするためにユーザー名、パスワード、おそらく確認コードを提供する必要があります。
組織はどのようにゼロトラストアーキテクチャを実装するのか？
ここで議論されたベストプラクティスとNIST SP 800-207のガイドラインに従うことで、ゼロトラストの実装を概念化することは比較的簡単です。しかし、システム全体の視点からゼロトラストを見ると、タスクがより困難に見えるかもしれません。
システム内でゼロトラストを実行することを概念化し始める良い方法は、単一の重要なDAASから始めることです：
- ゼロトラストセキュリティに該当する、または該当するべきインフラ内のDAASを特定する。
- ゼロトラストポリシーを開発するためにキプリング法を展開する：
- 誰がこのリソースにアクセスするべきか？
- 何を（ソフトウェア、データなど）アクセスしているのか？
- どこで通常および安全な状況下でアクセスするのか？
- いつ（勤務時間中のみ、限られた時間枠内など）アクセスするのか？
- なぜ正当なビジネス利用のためにアクセスする必要があるのか？
- どのように（ローカルワークステーション、モバイルデバイスなど）アクセスする必要があるのか？
- これらの質問からゼロトラストポリシーを構築し、セキュリティとアイデンティティとアクセス管理（IAM）構成を開発する。この構成は、ユーザーエクスペリエンスやシステムの使いやすさを損なうことなく、セキュリティポリシーに対応する必要があります。
- 資産の周りに限定された保護面を通じてポリシーを実施し、決定されたセキュリティとIAM構成に従う。
Kiteworksはゼロトラストセキュリティで機密コンテンツを保護するのに役立ちます
ゼロトラストアーキテクチャは多くのセキュリティサークルで定番となりつつあり、これはますます一般的になっています。国家サイバーセキュリティに関する大統領令の基準が現在施行されているため、必要なゼロトラストの原則の使用はますます顕著になるでしょう。
Kiteworksを紹介します。Kiteworksのプライベートコンテンツネットワークは、CISAゼロトラストモデルに沿った機密コンテンツの包括的なデータ保護を組織に提供します。
Kiteworksは、機密コンテンツの送受信のすべての方法に対する堅牢な暗号化と保護対策を通じてゼロトラストセキュリティをサポートします。これには、メール、ファイル共有、ウェブフォーム、SFTP、マネージドファイル転送などが含まれます。
Kiteworksの顧客は、ネストされたフォルダレベルで個々の役割によって最小特権アクセス制御を設定します。これには、コンテンツ、構造、権限の管理、読み書きの共同作業と同時編集、透かし付きの表示のみの消費、ダウンロード、またはブラインドアップロードが含まれます。
組織はまた、ドメインブロッキング、ジオフェンシング、機能権限に関する組織および役割レベルのポリシーを設定します。これにより、アクセスが厳密に制御され監視されることで、ゼロトラストセキュリティがさらに強化されます。
Kiteworksはまた、組織がセキュリティポリシーを中央で定義し実施することを可能にし、SSO、MFA、AV、ATP、DLPを含むすべてのデータ交換がセキュリティのために徹底的に審査されることを保証します。
最後に、Kiteworksの強化された仮想アプライアンスアーキテクチャは、Kiteworks自身や地方または連邦の法執行機関を含む誰もがキーやコンテンツにアクセスできないことを保証します。
ゼロトラストセキュリティモデルをサポートするKiteworksの追加機能には以下が含まれます：
- 包括的なデータインベントリ追跡
- 高可用性とコンテンツのレプリケーション
- 強化された可視性と監査ログ
- 合理化されたセキュリティ自動化とオーケストレーション
- 役割ベースの制御による強力なガバナンス
合計で、Kiteworksを使用する組織は、データに対する可視性、制御、セキュリティを向上させ、サイバー脅威のリスクを軽減し、ビジネスの継続性を確保します。
Kiteworksについて詳しく知るには、カスタムデモをスケジュールしてください。