最近、IT用語の中で「ゼロトラスト」という言葉を耳にすることが増えたという方もいるのではないでしょうか？
知っている方も多いと思いますが、ゼロトラストはセキュリティモデルの一つです。
今回は、「ゼロトラスト」について解説していきます！
ゼロトラストとは何か？
ゼロトラストセキュリティモデルとは、その名の通り「何も信じない」というセキュリティのアプローチです。
従来のアプローチとして、組織のネットワークを外部からの脅威に対して保護するという考えでした。
しかし、ゼロトラストでは、ネットワークの内外に関わらず、全てのユーザとデバイスが潜在的な脅威とみなされるべきだという考え方に基づいています。
ゼロトラストの7つの基本原則
ゼロトラストの基本的な考え方として、NIST（米国立標準技術研究所）による7つの原則というものがあります。
「NIST SP800-207」に以下の７つの原則が記載されています。
- すべてのデータソースとコンピューティングサービスをリソースとみなす
- ネットワークの場所に関係なく、すべての通信を保護する
- 企業リソースへのアクセスをセッション単位で付与する
- リソースへのアクセスは、クライアントアイデンティティ、アプリケーショ
ン/サービス、リクエストする資産の状態、その他の⾏動属性や環境属性を含
めた動的ポリシーにより決定する - すべての資産の整合性とセキュリティ動作を監視し、測定する
- すべてのリソースの認証と認可を⾏い、アクセスが許可される前に厳格に実
施する - 資産、ネットワークのインフラストラクチャ、通信の現状について可能な限
り多くの情報を収集し、セキュリティ体制の改善に利⽤する
引用：独立行政法人情報処理推進機構「ゼロトラスト移⾏のすゝめ 第1章：はじめに 1.1.ゼロトラストとは」
なぜゼロトラストが重要なのか？
先ほど「ゼロトラストとは何か？」でも説明したように、従来のセキュリティモデルの考えでは、内側と外側という考えがありました。
しかし、クラウドやリモートワークの普及により、この考え方は時代遅れとなってしまいました。
例えば、リモートワーク中の従業員が会社の端末を、持ち帰って外部から社内システムへアクセスしていると外部との境界線というものが曖昧になり、内側と外側という考えの基では、運用できないことになってしまいます。
ゼロトラスト導入のメリット
ゼロトラストセキュリティモデルの導入についてのメリットとしては以下のようなことが挙げられます。
従業員が場所や時間に捉われることなく勤務できる。
場所に依存しないため、従業員のがオフィス内に捉われることがなくリモートワークできます。
セキュリティがより強固になる。
ゼロトラストは「信用しない、常に検証する」という原則に基づいており、不正アクセスや内部からの脅威に対する防御を強化することに加え、必要最低限のアクセス権限をユーザーに与えることで、リスクを減らし、潜在的な被害を最小限に抑えることができます。
まとめ
今回は、クラウドやテレワークの現代に適したセキュリティモデルであるゼロトラストについて、解説しました。
従来のセキュリティモデルである、「内側と外側」のような考えがないことにハードルが高いようにも感じますが、大幅なセキュリティ強化が期待できるといったメリットがやはり大きいです。
導入コストがかかるといった、デメリットもありますが、これからの新しい働き方について、注目が集まるセキュリティモデルとなっています。
ゼロトラストについては、IPAのサイトに記載があったリ、本もいくつかありますので、参考にしてみてください！
