「ゼロトラストセキュリティ」とは、社内ネットワークも無条件に安全だとは考えず、社内外問わずあらゆるアクセスを都度検証・許可するセキュリティ概念である。ここでは、ゼロトラストセキュリティの基礎知識について、以下の2点を解説する。

必要とされる背景

従来、用いられてきたセキュリティ概念は「境界型セキュリティ」と呼ばれ、「社内ネットワークは安全」という前提に立って、外部からのリスクを防止するという考え方。しかし、近年はインターネット技術の進歩や働き方の変化によってクラウドサービスやリモートワークが普及し、社内外の境界があいまいになってきたため、境界型セキュリティが困難になってきた。

また、サイバー攻撃の進化が早く、境界型セキュリティだけでは社内ネットワークへのマルウェアなどの侵入を完全に防ぎきれなくなっている。これも、ゼロトラストセキュリティが必要とされている背景である。

構成要素

ゼロトラストセキュリティを実現するためには、複数の観点からセキュリティ対策を組み合わせて講じることが必要である。ゼロトラストを実現するには、単一のツールではなく複数のセキュリティ要素を組み合わせる「多層防御」が不可欠だ。ここでは、ゼロトラストアーキテクチャの核となる代表的な5つの構成要素を一覧で紹介する。

ここでは、ゼロトラストセキュリティを用いているサービスの種類について、特に中小企業において導入優先度が高く、身近な主要サービス4つを解説する。

IDaaS

IDaaS（Identity as a Service）とは、クラウド上でID管理や認証機能を実行するサービスである。シングルサインオンや多要素認証を活用することで、クラウド上でも確実に利用者本人によるアクセスであるのかを確認でき、なりすましの不正アクセスを防ぐ。

EDR

EDR（Endpoint Detection and Response）とは、端末で不審な挙動がないかを検知し、不審な挙動があれば迅速に通知することで速やかな初動を促すサービスである。セキュリティリスクの侵入を完全に防ぎきることは困難であるという前提に立ち、侵入後の被害拡大を抑える対策に役立つ。

SWG

SWG（Secure Web Gateway）とは、ユーザーからのWebアクセスを監視・制御するサービスである。危険性の高いサイトへの通信を遮断できるため、マルウェア感染や情報漏洩のリスクを未然に防げる。

CASB

CASB（Cloud Access Security Broker）とは、企業が利用するクラウドサービスの通信状況を可視化することで、利用状況を統制できるサービスである。セキュリティリスクにつながりかねない「シャドーIT（企業が認知しない間に利用されているITサービス）」の発見にも活用できる。

このほかにも、データ保護に特化した「DLP/IRM」や、ログを一元分析する「SIEM」、ネットワークアクセスを細かく制御する「IAP（ZTNA）」などがあり、企業の成長やリスクレベルに応じて段階的に拡張するのが一般的だ。

ゼロトラスト関連サービスは多種多様であり、自社の課題や運用体制に合わないものを選んでしまうと、コストや現場の負荷ばかりが増大しかねない。ここでは、自社に最適なサービスを見極め、導入で失敗しないために押さえておくべき4つの選定ポイントを解説する。

自社で強化したいセキュリティ領域との相性

強みがあるセキュリティ領域はサービスごとに異なるため、自社にとってどのセキュリティ領域を優先的に強化すべきかを洗い出すことが重要だ。その領域に強みがあるサービスを選ぶことで、効果的にセキュリティを強化できる。

既存システムとの連携性

既に社内で活用しているデバイスのOSやセキュリティサービスをリストアップし、それら既存システムとの連携性も確認しておくべきである。既存システムと容易に連携できるサービスであれば、適切に初期設定を行うだけで、現場に負担をかけることなく導入できる。

段階的な導入が可能か

特に多機能なセキュリティサービスであれば、全ての機能を一度に導入したいと考えてもコストや運用体制の面で無理が生じかねない。そのため、まずは一部の部署だけに、あるいは一部の機能から段階的に導入できる、柔軟性を有するサービスが理想的と言える。

サポート体制の内容

新規サービスを導入する前後には、設定変更の手間や想定外のトラブルがつきものである。しかし、ベンダーが手厚いサポートを用意してくれればスムーズに運用できる。専任担当者の有無や問い合わせ窓口の対応時間、連絡方式（例・電話やメール）などがサポート体制の確認事項である。

ゼロトラストセキュリティは、社内外問わずあらゆるアクセスを都度検証・許可するセキュリティ概念であり、ID管理・エンドポイント対策・ネットワークアクセス制御など複数要素を組み合わせて構築する。

ゼロトラストセキュリティを用いているサービスの種類にはIDaaSやSIEMなどがあり、導入時には優先的に強化すべきセキュリティ領域やサポート体制などを考慮し、自社にとって最適なサービスを選びたい。

自社のクライアントには、セキュリティ体制を見直す第一歩として、ゼロトラストセキュリティを用いているサービスの段階的導入を提案してみるのもよいだろう。