ゼロトラストとは？新たなセキュリティモデルの意味やメリットを解説

ゼロトラストとは、何も信頼しないことを前提に対策を行うセキュリティの考え方です。近年はリモートワークで社外から社内環境へアクセスしたり、クラウドサービスの使用で企業が守るべき情報資産が社外へ置かれたりすることが増えています。

このことから、社内外問わずあらゆるアクセスに対して厳重な認証を行い、安全性を検証するゼロトラストの考え方が重視されています。

➡︎【資料ダウンロード】さまざまな業界のDX推進事例をわかりやすく解説「DX事例集」＜2024年版＞

ゼロトラストとは？

ゼロトラストとは、「Zero Trust＝何も信頼しない」を前提に対策を行うセキュリティの考え方です。

従来のセキュリティ対策は、社内外のネットワーク環境において、信頼できる「内側」と信頼できない「外側」にネットワークを分け、その「境界」に対策を行うというものでした。これに対しゼロトラストは、従来の「境界」の概念を捨て去り、守るべき情報資産にアクセスするものはすべて信用せずにその安全性を検証することで、情報資産への脅威を防ぐという考え方です。

➡︎【資料ダウンロード】さまざまな業界のDX推進事例をわかりやすく解説「DX事例集」＜2024年版＞

ゼロトラストセキュリティとは

ゼロトラストセキュリティとは、ゼロトラストに基づいて構築されたセキュリティモデルです。「ゼロトラストアーキテクチャ」とも呼ばれます。

ゼロトラストネットワークとは

ゼロトラストネットワークとは、ゼロトラストに基づいて構築されたネットワークです。ゼロトラストネットワークでは、あらゆるアクセスに対して安全性の確認を行います。すべてのアクセスに毎回認証を行い、全ての端末や通信のログを記録します。

従来のセキュリティモデルとの違い

では、ゼロトラストは従来のセキュリティモデルとどのように異なるのでしょうか。

従来のセキュリティモデルでは、信頼できる「内側」と信頼できない「外側」にネットワークを分け、その境界線で対策を講じていました。守るべき情報資産は境界内部にあり、内部からアクセスするため、脅威は境界外部に留めておくという考え方です。

これに対しゼロトラストは、ネットワークの内部と外部を区別することなく、守るべき情報資産やシステムにアクセスするものは全て信用せずに検証することで、脅威を防ぐという考え方です。

➡︎【資料ダウンロード】さまざまな業界のDX推進事例をわかりやすく解説「DX事例集」＜2024年版＞

ゼロトラストが注目される理由

なぜ今、ゼロトラストが注目されているのでしょうか。その代表的な理由として、リモートワークの普及、クラウドサービスの利用拡大、内部からの情報漏えいの増加の3点があります。

リモートワークの普及

新型コロナウイルス感染症の拡大をきっかけに、リモートワークやハイブリッドワークを推奨する企業が増えました。これにより、社外から社内へのリモートアクセスが増加しています。

リモートアクセスにはVPNなどのセキュリティの高いアクセス方法を利用している場合がほとんどですが、適切な対策を講じない場合、脅威となるリスクが高いです。そのため、社内外を問わず検証を行うゼロトラストが必要とされています。

クラウドサービスの利用拡大

近年、自社の業務システムにクラウドサービスを利用する企業が増加しています。これにより、企業にとって守るべき情報も社外に分散するようになりました。

従来のセキュリティモデルの基本であった「企業が守るべき情報資産は社内ネットワーク内にある」という概念が崩れたために、これまでのセキュリティ対策では不十分と考えられています。

内部からの情報漏えいの増加

企業が使用を許可していない（もしくは使用を把握していない）システムやデバイスを従業員が勝手に使用する「シャドーIT」や、内部からの情報漏えいは近年大きな問題となっています。

しかし従来のセキュリティモデルは外部からの攻撃を遮断することには長けているものの、内部からの攻撃や不正操作を検知しにくい弱みがあります。そのため、ゼロトラストのソリューションで内部不正の対策も厳重に行うことが重要です。

➡︎【資料ダウンロード】さまざまな業界のDX推進事例をわかりやすく解説「DX事例集」＜2024年版＞

ゼロトラストのメリット

では、実際にゼロトラストを導入することでどのようなメリットがあるのでしょうか。ここでは主に３つのメリットを紹介します。

セキュリティレベルの強化

ゼロトラストでは、アクセスごとにさまざまな要素の認証を行い、安全性を検証します。そのため従来と比べてセキュリティレベルが大幅に強化されます。
また、アクセスログが保存されるため、利用状況やアクセス状況の把握も可能です。

働き方の選択肢が増える

ゼロトラストでは社内・社外に境界を設けず、すべてのアクセスに厳重な認証を行って安全性を確認します。そのためあらゆる場所・端末（私用の端末も含む）から、社内環境へ安全にアクセスすることが可能です。

今までセキュリティ上の観点から社外からのアクセスが制限されていた場合でも、安全なアクセスが可能になることで働き方の選択肢が広がります。

セキュリティ管理の効率化

従来のネットワークでは、攻撃の種類などに応じて各種セキュリティ機器を用意する必要がありました。そのため、各機器ごとの管理が煩雑になりがちでした。

一方ゼロトラストでは、すべてのアクセスに対して同一のセキュリティポリシーを適用するため、設定がシンプルになり管理を効率化できます。

➡︎【資料ダウンロード】さまざまな業界のDX推進事例をわかりやすく解説「DX事例集」＜2024年版＞

ゼロトラストのデメリット

ゼロトラストにはメリットの多い一方で、デメリットも存在します。デメリットについて事前に把握したうえでゼロトラストの実現に取り組むことが大切です。

コストと時間が必要

ゼロトラストのデメリットの１つ目は、コストと時間が必要である点です。厳重なセキュリティを確保するため、すべてのアクセスで認証を行い、認証した後も不審な動きなどがないか常にモニタリングします。これらの対策を維持するには、一定のコストと時間がかかります。

ログインの手間

すべてのアクセスで認証を行ううえ、短時間で認証が切れるためこまめに認証をし直す必要があります。また、2段階認証や他要素認証などの安全性の高い認証方法を採用するため、ログイン自体に手間がかかる場合があります。

この煩雑さを解消するには、SSO（シングルサインオン）を導入するなど、ログインの手間を最小限にする対策が有効です。

➡︎【資料ダウンロード】さまざまな業界のDX推進事例をわかりやすく解説「DX事例集」＜2024年版＞

ゼロトラストを実現するための要素

ゼロトラストを実現するためには、次のようなソリューションが効果的です。

ユーザー認証・ID管理

ID管理の強化は、ゼロトラストの実現に重要な役割を担います。ID管理には、IDaaSの導入が有効です。IDaaSとは、『IDentity as a Service』の略で、さまざまなIDやユーザーの認証情報をクラウド上で一元管理できる仕組みです。

近年、業務で使用するシステムが増加し、アカウント管理が煩雑になる傾向にあります。そのため、IDaaSなどのソリューション導入による安全で効率的なID・認証情報の管理が求められています。

エンドポイントセキュリティ

ゼロトラストセキュリティでは、PCやスマートフォンといったエンドポイント端末のセキュリティ対策が重要です。エンドポイントセキュリティには、EDRやEPPなどがあります。

EDRはEndpoint Detection and Responseの略で、端末を監視し、不審な挙動を検知すると管理者へ通知し、早期の復旧を支援するシステムです。

一方でEPPはEndpoint Protection Platoformの略で、エンドポイントに侵入するマルウェアなどの脅威を検知・駆除を行うシステムです。

ネットワークセキュリティ

ネットワークセキュリティとは、ネットワークやクラウドサービスなどへの各種アクセス権限を制御してセキュリティを確保することです。代表的なソリューションに、SWGやSDPがあります。

SWGはSecure Web Gatewayの略で、危険なサイトなどへのアクセスを遮断します。 SDPはSoftware Defined Perimeterの略で、ネットワークの内側と外側の境界線をソフトウェアによる制御で定義する仕組みです。

クラウドセキュリティ

クラウドセキュリティとは、クラウド利用におけるセキュリティを確保することです。代表的なソリューションに、CASBやCSPMなどがあります。

CASB(Cloud Access Security Broker)とは、従業員のクラウドサービスの利用を監視・制御し、適切なセキュリティ対策を行うためのソリューションです。

CSPM(Cloud Security Posture Management)とは、クラウドサービスのセキュリティの設定状況を可視化、定期的にチェックし、不適切な設定やコンプライアンス違反、脆弱性がないかを確認するソリューションです。

セキュリティ監視・運用

セキュリティ全体の分析・可視化・自動化を行うソリューションです。各種ログの可視化や分析を行い、不具合の早期検知や原因究明を支援します。また、これらの対応を自動化することで、運用の効率化を目指します。

➡︎【資料ダウンロード】さまざまな業界のDX推進事例をわかりやすく解説「DX事例集」＜2024年版＞

ゼロトラスト導入・運用のポイント

次に、実際にゼロトラストを導入・運用する際のポイントを3つ紹介します。

業務の現状分析

ゼロトラストを実現するソリューションを導入する前に、まずは業務の現状を分析しましょう。その上で、セキュリティ観点はもちろん既存のIT環境やユーザーの利便性、運用負荷なども含めて理想の姿を検討します。現状とあるべき姿を明確にした上で、課題を洗い出すことが重要です。

ゼロトラストを推進する体制づくり

ゼロトラストを実現するには、セキュリティ施策を実施する部署だけでなく、全社的にセキュリティに対する意識を高く持って対策に取り組む必要があります。社員に対するセキュリティ教育を実施して理解を促し、組織全体でゼロトラストを推進する体制を構築しましょう。

対策の定期的な見直し

ゼロトラストを実現するソリューションは、一度導入すれば終わり、というものではありません。新たな手口のサイバー攻撃の発生など、セキュリティのリスクは常に変化しています。定期的な見直しを行い、状況に応じた適切な対策を講じる必要があります。

➡︎【資料ダウンロード】さまざまな業界のDX推進事例をわかりやすく解説「DX事例集」＜2024年版＞

国内企業でのゼロトラスト導入事例

最後に、ゼロトラストを導入している国内企業の事例を紹介します。

竹中工務店

国内大手ゼネコンの株式会社竹中工務店は、2019年よりゼロトラストネットワークの対策を本格展開しています。国内外で約7,700人もの従業員を擁する同社にとって、セキュリティ対策は欠かせない要素ではあったものの、2016〜2017年度に実施した偽装ウィルス診断では見逃しが発生しました。

その課題を解決するためにEDRを導入し、2019年末には国内にある1万3,500台のPCを対象に、サイバー攻撃の痕跡を監視する態勢を整備しました。その結果、侵入を前提にした検知の強化と侵入後の対応の体制を構築し、ゼロトラスト環境を実現しています。

出典：EDRを起点にゼロトラストに挑む竹中工務店、ユーザーの使い勝手も向上したわけ | 日経クロステック（xTECH）

大和証券

国内有数の総合シンクタンクの大和総研は、SWGを導入し、従業員のネット利用を社内外問わず保護する仕組みを導入しました。

同社は、2020年に導入したローカル環境にOSやアプリケーションなどを置いて作業をするファットクライアント端末の利用範囲拡大を受けて、これまでよりも信頼性と柔軟性を強化したゼロトラスト環境への移行を進めています。従来のセキュリティ対策は境界型防御のVPNが中心でしたが、突破されると社内ネットワーク内の業務アプリケーションにアクセスされてしまう恐れがありました。

そこで、ファットクライアント端末約12,000台、スマートフォン約7,000台を対象にアイデンティティ認識型プロキシを導入。アクセス元やネットワークごとに関わらず、ユーザーごとを制御できる体制を構築しました。業務の多角化により、外部パートナー企業に同社の社内業務アプリを使用するといったケースを想定し、最新鋭のセキュリティシステムの導入が検討されています。

出典：ゼロトラスト導入で大和証券のセキュリティを強化 | プロジェクト | 大和総研 採用サイト、大和証券がゼロトラスト推進、「SWG」で従業員のネット利用を社内外問わず保護 | 日経クロステック（xTECH）

➡︎【資料ダウンロード】さまざまな業界のDX推進事例をわかりやすく解説「DX事例集」＜2024年版＞

ゼロトラストで、より信頼性と柔軟性のあるネットワーク環境へ

本記事では、ゼロトラストとは何か、その新たなセキュリティモデルの意味やメリット・デメリット、導入・運用時のポイントなどについて解説しました。

クラウドサービスの利用やリモートワークの増大により、今後も社外から社内ネットワークへ、社内から社外ネットワークへのアクセスが増えると考えられます。今後はあらゆるアクセスを信用せずに認証を行う「ゼロトラストセキュリティ」を基本として考える必要があるでしょう。

自社の業務・システム特性などから、適切なゼロトラストソリューションを選定することも重要です。ゼロトラストを導入したセキュリティ環境の構築に努めていきましょう。

➡︎【資料ダウンロード】さまざまな業界のDX推進事例をわかりやすく解説「DX事例集」＜2024年版＞

デジタルトランスフォーメーションを検討している企業ご担当者様へ

モンスターラボでは、世界各国のスペシャリストがチームを組み、さまざまな業界・業種のデジタルサービス/プロダクト開発から、UX/UIデザイン、ブランド開発、グロースハックまで幅広く支援しています。

ビジネスの上流工程からデジタル領域の知見を持つコンサルタントが中心となり、課題に合わせたソリューションを提案します。さらに、先端テクノロジーを含むあらゆるプラットフォームに対応できる開発体制を整えています。その他にも、アジャイル開発による柔軟な開発進行や、国内外のリソースを活用したスケーラブルな開発体制の構築、リリース後の保守運用や品質向上支援まで、さまざまなニーズに対応しています。

モンスターラボが提供するサポートの詳しい概要は以下リンクをご確認ください。

➡︎モンスターラボのサービス概要はこちら

案件の相談はこちら