5回にわたり（月一回寄稿）、業界のバズワードにもなっている”ゼロトラスト“をこの分野の第一人者、株式会社ラックの仲上 竜太氏に解説してもらう”変化するコンピューティング環境とゼロトラスト“シリーズ。第2回目の今回は「変化する境界とゼロトラスト」をお届けします。

クラウドやモバイルの利活用が進む昨今、変化したコンピューティング環境に適用すべきセキュリティの考え方として注目を集めているのがゼロトラストです。ゼロトラストは、名前の語感から「トラストしない」という部分が注目されがちですが、信頼（トラスト）によって繋がる部分を限りなく小さくゼロに近づけてデータを保護する考え方です。

現在も多くの環境で採用されている従来の境界防御型のセキュリティモデルは、データセンターやオフィスネットワークといった物理的な内部ネットワークにおいて、外部ネットワークであるインターネットとの境界上に防御装置を設置して、内部への侵入を防ぐ考え方です。対してゼロトラストは、ネットワークの内部と外部を区別せず、データにアクセスされる度に動的な認証を行い、データを保護します。

このような考え方は、どのような背景で生まれてきたのでしょうか。今回はゼロトラストが生まれた歴史や、コンセプトが進化した歴史について考えてみます。

ゼロトラストの考え方が生まれる源流となったのが、2004年に設立されたジェリコ・フォーラム（Jericho Forum）です。このジェリコ・フォーラムにはセキュリティ業界関係者や学者、研究者、企業のCISOが参加し、境界への依存を改め、非境界化によるセキュリティの在り方を考える国際標準化グループとして議論が進められました。ちなみにジェリコとは聖書に登場する強大な壁によって守られていたジェリコ（エリコ）の街に由来し、この壁は絶対に崩れないものの例えとされています。しかし、神の力を前にして、この壁は崩れ去ってしまいます。

サイバー攻撃者が存在する外部の世界から、侵入を拒むべく境界の内部を強固な壁によって防御する一方、実際に発生するセキュリティインシデントの多くは境界の内側で発生していました。ネットワークの内部に脅威が存在するという現実は、その後の境界型防御における多層防御による検知と対応の考え方に繋がります。その一方、ジェリコ・フォーラムでは、ネットワークの内部と外部を区別しない非境界化への議論と進みました。これらの議論を経て、2010年に新たなセキュリティコンセプトとして提示された言葉がゼロトラストです。

2010年にForrester Research, Inc.のJohn Kindervag氏により、ネットワークそのものに対する信頼をゼロにするという考えから「ゼロトラスト」と名付けたコンセプトが発表されました。データを保有するシステムの独立性を高め、利用者がデータ＝システムへのアクセスを要求する都度認証を実行してデータへの不正なアクセスを排除するネットワークシステムの考え方です。この考え方は、標的型攻撃をきっかけとしてGoogleがネットワークやセキュリティの在り方を見直し、ゼロトラストの考え方に沿って開発した独自のコンセプトBeyondCorpにも影響を与えています。

John Kindervagによって提唱されたゼロトラストの考え方は、その後様々なネットワークセキュリティ製品のコンセプトへの反映が進み、次世代ファイアウォール（NGFW）といった現代主流となる製品の誕生につながります。

ゼロトラストはその後、ネットワークシステムのモデルという枠組みを超え、情報システム全体の取り組みとして拡張されます。2017年にForrester Research, Inc.のChase Cunningham氏を中心に発表されたZero Trust eXtended (ZTX＝拡張ゼロトラスト)は、初期のゼロトラストに、データ、ワークロード、人という軸を追加し、全体を自動化とオーケストレーション、可視化と分析によってつなげるというアプローチを提唱しました。

このZTXでは、ゼロトラストを構成する重要な技術要素として、アイデンティティ、デバイス、データ、アプリケーション、ネットワーク、分析、自動化の7つを挙げています。これらの構成要素によってデータを取り巻く環境に対して自動化とオーケストレーション、可視化と分析の実現により、ネットワークや過去の信頼に依存しないセキュリティを実現するとしています。現在も多くのセキュリティ企業がこのZTXの考え方や、整理された技術要素を参照し、ゼロトラストを構成するための位置づけを説明しています。

多くの政府機関が従来の境界型防御によって強力に保護された内部ネットワークに依存する一方、昨今でも国家を背景とした高度な技術力を持つサイバー攻撃グループによるセキュリティ侵害が発生しています。さらに、世界中で進んだ働き方改革やコロナ禍におけるデジタルの勤務環境の変化や、従来の固定的に発生するインフラへの費用負担の改善は、政府機関においても同様に求められています。世界各国の政府では、クラウドの利活用やテレワークの導入といった取り組みが積極的かつ戦略的に推進されています。

2020年に最終版が発表されたアメリカ国立標準技術研究所（NIST）が発表した「Special Publication（SP）800-207 Zero Trust Architecture」は、米国政府に導入されるべきシステムに今後求められるゼロトラストの考え方をまとめたものです。従来のゼロトラストにおける議論を総括し、ゼロトラストの考え方を導入したゼロトラスト・アーキテクチャーを実現していくための、原理原則や導入シナリオ、ゼロトラスト・アーキテクチャーに関する脅威や、現在のネットワークからゼロトラストを適用していく方法について触れられています。

また、2020年には日本においても、政府CIO補佐官等有識者の検討内容をとりまとめた「政府情報システムにおけるゼロトラスト適用に向けた考え方」が公表されています。

収束の見えないコロナ禍で、コンピューティング環境はますます変化を迎えています。セキュリティの姿も、変化する環境に応じた進化が求められています。

Author : 

株式会社ラック

セキュリティプロフェッショナルサービス統括部デジタルペンテストサービス部長

兼サイバー・グリッド・ジャパン シニアリサーチャー

仲上 竜太氏