セキュリティにおける「ゼロトラスト」とは何か その解釈を巡る混乱と、普及に向けた壁

次世代型セキュリティモデルとして注目されている「ゼロトラスト」の概念。“バズワード”としてもてはやされる反面、その解釈を巡る混乱も起きているのが現状だ。そして、ゼロトラストの真の意味と目的についての混同も、このコンセプトの実践を難しくしている。

TEXT BY LILY HAY NEWMAN

TRANSLATION BY NORIKO ISHIGAKI

WIRED(US)

「ゼロトラスト」と呼ばれる概念は、もう何年もサイバーセキュリティ界隈で定番のキャッチフレーズとなっている。あまりにもてはやされていて、時代に乗り遅れることで知られる連邦政府のITシステムもこぞって取り入れている。

この次世代型セキュリティモデルの普及にあたり重大な壁となるのが、ゼロトラストとは実際のところ何を指すのかについて人々の間に混乱がある点だ。それでもフィッシングやランサムウェア、ビジネスメール詐欺などのサイバー攻撃が記録的に増加しているなか、何かを早急に変える必要は確実にある。

もはや「外は悪、内は善」ではない

根本においてゼロトラストは、企業のネットワークとITインフラに対する考え方の変革にかかわってくる。従来のセキュリティモデルでは、コンピューターやサーバーなど、オフィス内に物理的に存在する端末や装置類はすべて同じネットワーク上にあり、相互に信頼できる前提だった。

例えば、仕事で使うコンピューターは同じフロアにあるプリンターにつなげたし、共有サーバーにある同じチームの文書にアクセスできた。ファイアウォールやウイルス対策ソフトのようなツールは、組織の外側にあるものは悪、そのネットワークの内側にあるものは監視の対象ではない、との前提で構築されてきた。

ところが知っての通り、モバイル端末やクラウドサービス、リモートワークの普及が一気に進み、こうした前提は急激に揺らいでいる。従業員が使う端末すべてを企業がコントロールすることは、もはや物理的に不可能なのだ。

たとえできたとしても、そもそも従来モデルもそれほど完璧ではなかった。周囲に張り巡らせた防御をアタッカーがすり抜け、リモートか物理的に企業の内部へ侵入してしまえば、その瞬間から信頼と自由を与えてしまうことになる。セキュリティは決して「外は悪、内は善」のように単純ではなかったのだ。

「いまから11年ほど前、グーグルのネットワークが重大で巧妙な攻撃を受けたことがあります」と、グーグルの情報セキュリティ部門のシニアディレクターのヘザー・アドキンスは振り返る。中国政府が後ろ盾についたハッカー集団がネットワークに侵入してデータやコードを盗み出したうえ、グーグルに追放された場合に戻ってこられるよう“裏口”をつくろうとしていたのだ。

「ネットワークの構築法として教えられてきたことが無意味だったとわかったのです。そこで原点に返りました。いま、グーグルのオフィスへ入るのはスターバックスに入るみたいなものです。誰かがグーグルの端末にアクセスしたとしても、一切信用しません。戦う場所を変えたので、アタッカーが攻撃することはずっと難しくなりました」

ゼロトラストはアクションではない

ゼロトラストは特定の端末や特定の場所からの接続を信用するのではなく、アクセスを許可されるべきであることを当人が証明するよう要求するやり方だ。代表的な方法としては、企業のアカウントにログインする際にユーザー名とパスワードだけでなく、生体認証やハードウェアによるセキュリティキーを用いてユーザーになりすました攻撃を防ぐ方法が挙げられる。

もしシステムに入れたとしても、そこにある情報を「知る必要がある」のか、「アクセスする必要がある」のかで最終判断する。委託先への請求書の発行が担当業務に含まれない人なら、請求書関連のプラットフォームに入れる権限はない、というわけだ。