最近話題の「ゼロトラスト」セキュリティとは？従来型セキュリティとの違い、必要性まで初心者にもわかりやすく解説！

近年、業務システムのクラウドベース化や働き方改革によるテレワークの普及によって、従来のネットワークセキュリティでは守りきれないと、セキュリティのあり方が見直され始めています。

そこでキーワードとなるのが、「ゼロトラスト」という考え方です。

今回は、「ゼロトラスト」の定義、そして具体的にどう実現するのか、基礎から解説していきます。

「ゼロトラスト」の定義とは？

「ゼロトラスト」とは、「0 Trust(信頼)」という言葉の通り、「すべてを信頼しない」ことを前提に、セキュリティ対策を行うことです。

これはForrester Research社が2010年に提唱した考え方で、従来のようにネットワークの内側と外側を区別せず、全ての通信を等しく疑い、監視します。

それに対し、従来の境界型セキュリティ（ペリメタモデル）は、社内ネットワークは「安全」、社外ネットワークは「危険」という前提のもとでセキュリティ対策を行っていました。

具体的には、社内と社外の境界にファイアーウォールやIDS/IPSといったセキュリティ機器を設置し、通信の監視や制御を行うことで、外部からの攻撃を遮断していました。

「ゼロトラスト」が広まったきっかけは、まず業務システムのクラウド化が挙げられます。

従来のオンプレミス型システムの場合、社内の情報資産は社内DCのサーバー等の「安全な社内ネットワーク」の内側にありました。

しかし、SaaSやIaaSといったクラウドサービスの場合、情報資産は「安全でない社外のインターネット環境」で保管することが多いため、クラウドサービスへの移行によって、社内を守ればいいという従来の境界型では情報資産を守りきれなくなってきたのです。

次に挙げられるのが、テレワークの普及です。働き方改革、そして昨今の新型コロナウイルスの流行によって、急速にテレワークが普及しました。

それによって、自宅などの外部からスマートフォンやパソコンを通じて外部から社内の情報にアクセスすることが当たり前となることで、社内・社外の境界が曖昧となり、攻撃されるリスクが高まっています。

ここまでで「ゼロトラスト」の定義、注目されるようになった背景まではわかったかと思いますが、では、実際に「ゼロトラスト」を実現するにはどんなセキュリティ対策が必要になるのでしょうか。

一つ目が、EDR (Endpoint Detection and Response)です。

これは、エンドポイント＝各端末（パソコン、スマートフォン）へのセキュリティソリューションです。

各端末がマルウェアに感染してしまった際の対応を迅速に行い、被害を最小限に抑えるという「攻撃されることを前提とした」ソリューションとなっています。

これは、テレワークの普及により、各端末のセキュリティを社内で一元管理できなくなってきている中で特に注目されています。

もう一つが「IAM (Identity and Access Management)」です。

これは、一言で言うと「アクセス制御」のソリューションです。

従来ネットワークや社内システムのアクセス制御はIDとパスワードによる認証が一般的でした。

しかし、それだけではIDやパスワードの漏洩には対応しきれません。

そこで、IAMでは、ユーザー認証だけでなく、デバイスの状態やロケーション、使用しているアプリケーションの正当性などを識別した上でアクセス制御を行います。

いかがだったでしょうか。

セキュリティ対策に完璧は存在しません。常に攻撃者の手法やレベルも進化していきます。

まあこれで大丈夫だろう、と妥協するのではなく、常に最適のセキュリティ対策を講じていくことが、企業の重要な情報資産を守ることにつながります。

これをきっかけに、ご自身の端末、そして社内のセキュリティについて是非見直してみてください。