ゼロトラストアクセスについての議論

米国時間2021年4月9日に掲載されたフォーティネットブログの抄訳です。

デジタルインフラストラクチャの拡大、サイバー脅威の巧妙化、サイバーセキュリティの人材不足などの課題に加え、ITとOTのリーダーにとってネットワークの信頼性の確立と維持は急務となっています。また、この数ヵ月の間に世界中でリモートワークの保護が必要となり、新たな課題も追加されました。ゼロトラストアクセス（ZTA）はネットワーク上のデバイスの完全な可視化と動的な制御によってこれらの課題を解決するテクノロジーです。

ネットワークアクセス保護の課題について、フォーティネットのField CISOであるAlain SanchezとCourtney Radkeの2人にリモートで話を聞きました。ネットワークが拡大し、サイバー脅威が増加している現在、ゼロトラストアクセスの必要性に対する2人の考えをご紹介します。

問：ゼロトラストアクセスがこれまで以上に重要であると考える根拠は何ですか?

Alain： サイバー脅威はますます巧妙化し、検出を回避しながら被害をもたらす新しいクラスの攻撃も出現しています。これらの攻撃はITデバイスやOTデバイスだけでなく、製造、エネルギー、製薬などの業種の生産を管理する産業用システムも標的にしています。また、COVID-19のパンデミックによって生産の完全な自動化も急がれています。

生産環境に対する規制はますます厳格化し、センサーやアプリケーション、ユーザーによって重要なインフラやプロセスが中断することは許されません。生産には精度と速度が求められるため、不正な注文や値がプロセスに送信されたら壊滅的な被害が発生するリスクがあります。

ネットワークアクセスは建物への物理的なアクセスに例えることができます。すべてのドアは最初から開かずに「閉じた」状態にします。アクセスのルールはリアルタイム認証システムで動的に更新します。個人のID情報は外部のドアだけでなく、建物全体で確認します。また、建物内における個人のすべての行動を機械学習の基準となるプロファイルと照らし合わせて監視し、不正な行動を始めたら即座に対処します。

このように全体で信頼性を確保するビジョンでは、一度ですべてのアクセスを許可せずにその都度信頼性を確認するため、セキュリティエコシステム全体を完全に統合する必要があります。また、pingを実行したり振る舞いのモデルと動的に比較することのできないサブコンポーネントがあると、セキュリティチェーンが破損するリスクがあります。管理しているシステムでそのような弱点を発見したら、CISOはユーザーとその操作を制限する必要があります。そのため、ゼロトラストのアクセスモデルを確立して監視できる拡張性に優れたセキュリティシステムが最善のソリューションになります。

問：デバイスの増加はゼロトラストアクセスが必要になる主な要因です。セキュリティの観点では、デバイスが急増した場合の管理にはどのようなベストプラクティスがありますか?

Alain： 慌てないですばやく行動することです。ZTAとはネットワークに接続しているユーザーやデバイスを識別して制御することを意味します。これらが急増したからといって、スピードのためにセキュリティを犠牲にすることはできません。CISOならもちろん、この原則を率先して順守する必要があります。生産が数ヵ月遅れたりバックオーダーがあったとしても、セキュリティを最優先します。

セキュリティには自動化も効果的です。自動化によって計画的な処理が可能になり、サイバー脅威の検出と対応にかかる貴重な時間も節約できます。リスクが許容範囲に収まるゼロトラストモデルを設計したら、インフラストラクチャの規模に合わせて拡張できるよう調整してから導入します。

問：ゼロトラストモデルで組織のネットワークアクセスを保護する場合、「費用効果」が最も高い分野またはテクノロジーは何ですか?

Courtney： 強力な境界線は保護の鍵となりますが、境界線は重要ではないと考えるユーザーが増え、定義も困難になっています。境界線が拡大し、より複雑になっているのは事実です。しかし、制御不能ではないので無視すべきではありません。ゼロトラストモデルでは、ユーザーのロールに最低限必要なネットワークアクセスのみを割り当ててネットワークの他の部分へのアクセスを許可しないポリシーによってアクセスを最小化する必要があります。また、情報を共有し、ユーザー、デバイス、ネットワークのコンテキストとベースラインを構築することもゼロトラストモデルを成功させる上で不可欠です。それによって、もう1つの重要なテクノロジーである多要素認証（MFA）の実装も簡略化されます。MFAはネットワーク振る舞い分析（NBA）とユーザー / エンティティ振る舞い分析（UEBA）の基盤であり、これらの分析によってネットワークを脅威から保護し、攻撃を迅速に特定して修復できます。

小売店を例に説明しましょう。小売店なら誰もが毎日のように買い物をしているのでわかりやすいでしょう。今日の小売店はオムニチャネルが標準になっているため、ゼロトラストモデルの導入はこれまで以上に複雑です。

オムニチャネルという用語を念のために説明すると、ユーザーエクスペリエンスを改善し、顧客関係を強化するために複数の接点を活用するコンテンツ戦略のことです。オムニチャネルの目的は、消費者へのアクセスを拡大し、障壁を取り除くことにあります。小売店が新規顧客を拡大し、新しい収益源を開拓できるこのテクノロジーは今日の市場で競争力を維持するためには不可欠です。ただし、チャネルを増やすと顧客エンゲージメントは向上しますが、攻撃者に新しい攻撃の機会と攻撃ベクトルを提供することになり、ビジネスのリスクが増加します。オムニチャネルのソリューションを保護するには、内部のシステム、データ、デバイスにアクセスできるユーザーとデバイスを慎重に制御する必要があります。

問：ゼロトラストアクセスでCISOが注意すべき点はありますか?

Alain： ゼロトラストモデルは、ネットワーク上の位置で信頼性を判断する間接的なセキュリティとは大きく異なる強力なセキュリティの概念です。ビジネスクリティカルやライフクリティカルなプロセスのデジタル化が進むほど必要になるアプローチです。しかし、サイバーセキュリティの知識が乏しいと、この用語は否定的に聞こえるかもしれません。たとえば、ネットワーク、PC、アプリケーション、あるいはデジタルエコシステム全体でユーザーが認識されなくなると誤解されるかもしれません。もしそうなら、生産性にとっては大きな障壁です。

しかし、実際にはそのようなことはありません。ZTAは効果的なセキュリティ戦略の重要な柱です。適切なユーザーに業務に必要なリソースへのアクセスを提供しながら不正なアクセスによるリスクとダウンタイムを回避することができます。サイバー脅威が進化を続ける現在、ゼロトラストのようなセキュリティソリューションの利用を促すことは特に重要ですが、そのためにCISOは十分な説明を通してスタッフを教育する必要があります。説明には変革すべき要素とその理由、さらには組織にとっての利点までも含めます。十分に説明することは、これまで間接的な信頼に基づいてユーザーのネットワークアクセスを管理してきたチームの場合は特に重要です。

問：ゼロトラストアクセスはVPNとリモートワークの増加にどのように関係しますか?

Alain： リモートワークの増加によって、境界ベースのセキュリティアプローチを採用したVPNの限界が強調されるようになりました。VPNクライアントを使用して接続しても、境界内に入ってしまえば幅広くアクセスできるため、ネットワークは脅威にさらされます。

従来のVPNではネットワークの境界を通過したユーザーやデバイスはすべて信頼できるとみなされますが、ゼロトラストモデルでは完全に異なるアプローチを採用し、ユーザーやデバイスは信頼性が証明されるまでアクセスを許可されません。ゼロトラストネットワークアクセス（ZTNA）ソリューションではネットワークの外部までゼロトラストモデルを拡張できます。ゼロトラストアクセス（ZTA）とゼロトラストネットワークアクセス（ZTNA）という用語は同じ意味で使用されることもありますが、実際には異なります。ZTAではロールベースでネットワークアクセスを制御しますが、ZTNAではアプリケーションへのユーザーのアクセスを仲介します。

ネットワークとアプリケーションに無制限のアクセスを提供する従来のVPNトンネルとは異なり、ZTNAでは個々のアプリケーションへの接続はセッションごとに許可されます。デバイスとユーザーの両方を検証してはじめてアクセスが許可されます。また、VPNのようにアクセスの信頼性が場所で判断されることはなく、ネットワークの内外を問わずすべてのユーザーにZTNAポリシーが適用されます。

ネットワーク内外のユーザーとデバイスの識別、認証、監視を強化するフォーティネットのゼロトラストアクセスのフレームワークの詳細をご覧ください。