Zero Trust Security：決して信頼せず、常に検証する

数十年にわたり、ネットワークセキュリティは堀に囲まれた城のように機能していました。いったん城壁の内側に入れば、信頼された存在とみなされていたのです。Zero Trustはその前提を完全に覆します。Zero Trustモデルでは、誰も無条件に通過できません。従業員も、デバイスも、内部システムでさえも例外ではありません。すべてのアクセスリクエストは、安全性が証明されるまで潜在的な脅威として扱われます。

Zero Trust Securityとは

Zero Trustは、単一の製品やツールではなく、セキュリティのフレームワークです。その基礎となる考え方は以前から発展していましたが、2010年にForrester ResearchのアナリストであるJohn Kindervargによって正式に体系化されました。核心となる原則はシンプルです。デフォルトでは何も信頼せず、すべてを明示的に検証し、ユーザーには業務遂行に必要な最小限のアクセス権のみを付与するというものです。

これは、現代の働き方の実態に対する直接的な対応策です。人々は自宅のネットワーク、カフェ、個人のデバイス、クラウドプラットフォームから会社のシステムにアクセスしています。ファイアウォールで守られた安全な「内部ネットワーク」という旧来の概念は、もはや現実を反映していません。

仕組み

Zero Trustは、相互に連携する複数のメカニズムに依存しています。

継続的な認証と認可

一度ログインして広範なアクセスを得るのではなく、ユーザーとデバイスは常に再検証されます。場所、デバイスの状態、行動パターンなど、何らかの変化が生じた場合、アクセスは即座に取り消されます。

最小権限アクセス

ユーザーは、特定の役割やタスクに必要な権限のみを付与されます。マーケティング担当者がエンジニアリングデータベースにアクセスする必要はなく、Zero Trustはその分離を自動的に強制します。

マイクロセグメンテーション

ネットワークは小さな隔離されたゾーンに分割されます。攻撃者が1つのセグメントを突破しても、ネットワークの他の部分を自由に移動することはできません。主要なデータ侵害において重要な手口となるラテラルムーブメントが、極めて困難になります。

デバイスの健全性検証

アクセスを許可する前に、システムはデバイスがコンプライアンスに準拠しているかを確認します。ソフトウェアは最新の状態か、エンドポイント保護は有効か、デバイスは組織の管理システムに登録されているかといった点が検証されます。

多要素認証（MFA）

Zero Trust環境では、ほぼ必ずMFAが要求されます。パスワードが盗まれるだけでは、アクセスが許可されることはほとんどありません。

VPNユーザーにとっての重要性

VPNとZero Trustは興味深い関係にあります。従来のVPNはネットワーク境界モデルに基づいており、接続すると内部リソースへの広範なアクセスが許可されることが多くあります。これはまさに、Zero Trustが否定する暗黙の信頼の典型例です。

多くの組織が現在、従来のVPNに代わる、あるいはそれを補完するより細かなアクセス制御の手段として、Zero Trust Network Access（ZTNA）への移行を進めています。ZTNAは、すべてのトラフィックを単一のアクセスポイントにトンネリングするのではなく、IDとコンテキストに基づいて特定のアプリケーションへのアクセスを許可します。

とはいえ、VPNはZero Trustアーキテクチャにおいても依然として役割を担っています。VPNはトランスポート層を保護し、デバイスとサーバー間のトラフィックを暗号化する一方で、Zero Trustポリシーは接続後に実際に何ができるかを制御します。両者は異なるセキュリティレイヤーであり、連携して機能することができます。

リモートワークでVPNを使用している場合、Zero Trustを理解することで、会社がVPN接続に加えてMFA、デバイス登録、アプリケーションレベルのアクセス制御を要求する理由が明確になります。これらは障壁ではなく、意図的に設けられたセキュリティレイヤーなのです。

具体的な例

  • リモートワーク：従業員が社内アプリケーションに接続する際、Zero Trustシステムはその人物のIDを確認し、デバイスにパッチが適用されコンプライアンスに準拠していることを検証し、ログイン場所が想定内であることを確認した上で、内部ネットワーク全体ではなく、その従業員に必要な特定のツールへのアクセスのみを許可します。
  • クラウド環境：AWS、Azure、Google Cloudにまたがってサービスを運営する企業がZero Trustポリシーを活用することで、1つの認証情報が侵害されても、3つの環境すべてに同時にアクセスされることを防ぎます。
  • 外部委託先のアクセス：フリーランサーには、企業ネットワーク全体に触れることなく、期間限定かつ特定アプリケーションに限定したアクセスが付与されます。契約終了と同時に、アクセスは即座に取り消されます。

Zero Trustは、セキュリティを真剣に考える組織における標準的なアプローチとして定着しつつあります。ネットワークアーキテクチャを評価する企業であっても、現代のセキュリティツールの挙動を理解しようとする個人であっても、Zero Trustは押さえておくべき基本的な概念です。