「ゼロトラスト」、聞いたことはあるが、よくわからない。
誰か分かるように教えてくらないかな？
そんな疑問にズバッと答えます。
✔ ゼロトラストとは？
これまでは、「社内」は安全、社外（インターネット）は危険という考えに基づき、その境界でセキュリティを行ってきました。
一方、ゼロトラストという概念は、「社内」「社外」の区別なく、デバイス（PC、タブレット等）、ネットワーク、ユーザー（ID）は、全て安全でない可能性があり、都度、認証（安全を確認する）する必要があるという性悪説に基づいたセキュリティ対策です。
✔ 今のままで何故いけないの？
今までの境界防御モデルでは、何がいえないのでしょうか？
最近、皆さんは会社でもクラウドサービスを頻繁に使うようになってきているのではないでしょうか？また、コロナ禍によりテレワークが普及・定着化することで、このクラウドサービスを業務に活用する流れはもはや止めることはできない状態です。
更に、企業がDX（デジタルトランスフォーメーション）を進めていますので、クラウドへの移行は加速するばかりです。
クラウド利用が増加すると、何がおきるのか？
社員は、会社内のアプリケーションとクラウドサービスの区別なく利用しているので、何も違わないのではないか？、当社は、テレワークでもVPNにより一旦、会社に接続してからクラウドを利用しているので、境界防御の考え方のままでも問題ないのでは？という声も聞こえそうです。
しかし、ここには大きく２つの課題があるのです。
＜課題１＞：
クラウドを利用するには、社内とは異なる認証が必要になります。
従来、社内の業務システムについては、業務システム毎にID、Passwordを入力しないくていいように社内ポータルが整備され、認証を一元化してきました。クラウドを利用する際には、この社内ポータルでの認証は行えないのです。
つまり、クラウドサービスを３つ利用すると、それぞれのサービスを利用するたびに、ID、Passwordを入力する必要がとなるのです。
＜課題２＞：
テレワーク環境でもVPNで一旦、会社に接続して社内で利用しているのと同じ環境で業務アプリケーションを利用するのであれば、社内の業務アプリケーションでもクラウドサービスでも違いはありません。
しかし、VPNで一旦会社に接続する通信は、一般に通信速度が遅くなります。よく考えるとこれは大きな無駄をしているのです。
つまり、そもそもクラウドにあるサービスを利用するのに、なぜ、一旦会社に接続する必要があるのでしょうか？
クラウドサービスの利用割合が低い時は、まだ社員が我慢していますが、そのうち、誰もが直接クラウドサービスを利用したいといいだすのです。
わざわざ、ネットワーク負荷が大きく、速度が遅いVPN通信を通る必要はないのです。
✔ ゼロトラストにすると何が嬉しいの？
では、ゼロトラストという概念を導入すると何が嬉しいのでしょうか？
ゼロトラストは、上記で触れたとおり、社内と社外を区別しません。つまり全てのPCのような端末およびシステムを利用するためのIDは、全て社外からアクセスされていると見なされ、利用する都度、本当に正しい端末およびIDなのかを確認されることになります。
このように社内からのアクセスを常に信じることをあきらめると、社内と社外を区別する必要がなくなります。
これこそが、嬉しいことを生み出します。つまり、毎回、しっかりと認証がされるのであれば、もはや社内からアクセスする必要はなくなり、テレワーク環境においてもVPNでわざわざ社内に一旦はいる必要がなくなるのです。
✔ どうすればゼロトラストにできるの？
ゼロトラスでは、あらゆるセッションを検証することになります。
「誰が」どんな状態のどの端末」で「いつ」「どこのネットワークから」「どのアプリケーション」にアクセスするのかにより通信を許可するかどうかを動的に計算します。
ゼロトラス自体が、クラウドへのアクセスを前提にしていることから、これらの機能もクラウドで提供されることになります。
✔ まとめ
ゼロトラストは、これまで社内と社外を異なるセキュリティレベルのネットワークであると考えていた前提を根本から変え、社内、社外のどのネットワークからのアクセスについても、都度認証を行うことで、セキュリティレベルを向上させる考え方といえます。
この考え方を導入することで、真の意味で、いつでも、どこからでも、社内のリソースにアクセスすることが可能となります。
テレワーク環境の普及し、クラウド利用が益々増えるなか、今後のセキュリティ対策の大本命として、ゼロトラストの概念を導入する企業が増えるのは自然の流れと言えそうです。
コメント