従来のセキュリティアプローチを転換する「ゼロトラスト」
従来のセキュリティ対策へのアプローチの根底には、「社内ネットワークを壁で囲ってしまえば後は安心」という認識がありました。外部の侵入者からファイアウォールなどで社内ネットワークを保護するだけでセキュリティは大丈夫だとの考え方です。
しかし今やその前提は崩れつつあります。偽装メールなどを活用し、巧妙に社内ネットワークへ侵入する攻撃者が多くなっているからです。実際、「データを盗み出した犯人が、実は事件の数ヶ月前からずっと社内ネットワークに侵入していた」という事例は枚挙に暇がありません。つまり、パスワードを知っている人や、すでに社内ネットワークにアクセスしているユーザーが、必ずしも安全だとは限らないのです。
そこで提唱されるようになったのが「ゼロトラストネットワーク」のコンセプト。社内ネットワークにいるユーザーも含めて誰も無条件で信頼せず、毎回確実な方法で全員再認証させるのがゼロトラストのアプローチです。ゼロトラストでは、社員が業務データやアプリケーションにアクセスするたびに、位置情報や生体認証などを組み合わせた2段階認証によるログインが求められます。
なぜ今ゼロトラストなのか？
ゼロトラストの考え方が今注目されているのには、主に2つの背景があります。ひとつは、サイバー攻撃による大規模な情報漏洩事故が一向に減らない現実です。セキュリティ対策に大きな投資をしているはずのマリオット、Uber、ソニー、ターゲットといった大企業ですら次々とサイバー攻撃の被害に遭っているこの現状は、従来型のアプローチが限界に近づいていることを示唆しています。
もうひとつの背景としては、ビジネスにおけるクラウドとモバイルの浸透が挙げられます。今やクラウドツールを使ったテレワークやスマートフォンを利用したモバイルワークは当たり前に。これまでの「ファイアウォールとセキュリティソフトで社内ネットワーク内を保護していれば安心」という方法は通用しなくなってしまったのです。
「壁の中に壁を作る」ゼロトラストネットワーク
ゼロトラストは「誰も信用しない」ことを前提にセキュリティ対策のフレームワークを構築していく考え方です。そのために先述したような位置情報、生体認証などを組み合わせた再認証プロセスが必要とされます。
また、ゼロトラストで加えて重要なのが「必要な人に、必要な分だけのアクセスを」というコンセプト。ゼロトラストネットワークでは、たとえばセールス部門の社員ならセールスの仕事に必要なデータとアプリケーションにのみアクセスが許可されます。同じ会社の社員でも、セールス担当者が人事や経理のデータを見ることはできないわけです。ファイアウォールで社内と社外に壁を作るのが従来の方法だとすれば、そこにさらに社内の壁を作る（セグメント分けする）のがゼロトラストのやり方だと言えるかもしれません。
皆さんもこれを機にゼロトラストの時代を見据えて、会社のセキュリティポリシーを今一度見つめ直してみてはいかがでしょうか。
