今更聞けない、情シスのためのネットワーク用語集
ゼロトラスト
ゼロトラストとは
ゼロトラストとは、社内からのアクセスだから安全、社外からのアクセスだから危険といったように、接続する場所だけで判断せず、アクセスするたびに利用者や端末の状態を確認するセキュリティの考え方です。確認した内容に応じて、必要な業務システムやデータへのアクセスを許可します。
ゼロトラストは、社内の利用者や端末をすべて「危険」とみなす考え方ではありません。「社内ネットワークにいるから」「会社支給の端末だから」という理由だけで、無条件にアクセスを許可しないことがポイントです。
たとえば、従業員が会社支給のPCから業務システムに接続する場合、ユーザー名とパスワードだけでなく、MFAによる本人確認や、セキュリティ更新が適用されているかなども確認します。
利用者の役割に応じて、利用できるアプリケーションや機能を必要な範囲に絞ります。接続した後もログや端末の状態を確認し、状況が変わった場合はアクセス権限を見直します。
アクセスの判断は、最初にログインしたときだけではありません。端末の更新が遅れていないか、普段とは異なる場所から接続していないかなども確認します。状況に応じて、追加の本人確認やアクセス制限を行う条件をあらかじめ決めておきます。
境界型防御との違い
境界型防御は、社内ネットワークとインターネットなど外部との境界に機器を置き、そこを通る通信をまとめて確認する考え方です。L7ファイアウォールやUTM（複数のセキュリティ機能をまとめた機器・サービス）は、こうした境界で通信を管理するために使われます。
| 比較項目 | 境界型防御 | ゼロトラスト |
|---|---|---|
| 信頼の単位 | 社内と社外の境界を重視 | 利用者、端末、アクセス先を確認 |
| 接続の判断 | 境界を通った通信を中心に管理 | アクセスするたびに本人や端末を確認 |
| 利用場所 | 社内ネットワークを中心に設計 | 社内、自宅、外出先など場所を問わず確認 |
| 侵入後の考え方 | 内部での移動は別途対策 | システム間の移動も制限 |
ゼロトラストは、境界型の機器をすべて不要にする考え方ではありません。L7ファイアウォールやUTMなどを使いながら、利用者や端末の確認、必要最小限のアクセス権、継続的な監視を組み合わせてセキュリティを高めます。
ゼロトラストの5要素
ここでは、ゼロトラストを導入・運用する際に重要となる要素を、次の5つに整理します。
| 要素 | 実施すること |
|---|---|
| 利用者の認証 | MFAなどを使い、アカウントを利用している本人か確認する |
| 端末の確認 | EDRなどを使い、端末が安全に利用できる状態か確認する |
| 最小限の認可 | 業務に必要なシステムやデータだけにアクセスを許可する |
| 通信とデータの制御 | SWGやCASBを使い、Webアクセスやクラウドサービスの利用を管理する |
| 継続的な監視 | ログや異常な動きを確認し、必要な対応につなげる |
この5つを別々に考えるのではなく、共通のルールや運用手順でつなげていくことが重要です。
セグメンテーションは、ネットワークやシステムをいくつかの範囲に分け、それぞれの間を移動できる通信を制限する方法です。一部のシステムに侵入された場合でも、他のシステムへ被害が広がりにくくします。
また、アクセスログや端末の状態を継続的に確認します。不審な動きや異常な通信を見つけた場合は、追加の本人確認やアクセスの遮断など、必要な対応につなげます。
段階的な移行ステップ
ゼロトラストは、一度にすべてのシステムを入れ替える製品ではありません。まず守る対象と優先順位を決め、現在利用している境界型のセキュリティ対策とも組み合わせながら、段階的に進めます。
- 利用者、端末、アプリケーション、保有データを把握する
- 管理者権限や外部から使う業務システムを優先対象にする
- MFAを適用し、使われていないアカウントと不要な権限を見直す
- 端末の状態確認、Web・クラウド通信の制御、セグメント分割を広げる
- ログを継続的に確認し、例外設定と手順を改善する
まずは一部門など限られた範囲で試し、例外申請の方法や障害時に元の構成へ戻す手順、利用者への案内を整えてから対象を広げます。
導入後は、アクセスできないという問い合わせだけでなく、不要な権限が残っていないか、例外設定が期限どおりに解除されているかも確認します。利用者の異動や新しいシステムの追加があった場合も、アクセスルールを見直します。
中小企業でも始められる範囲
中小企業では、すべての対策を一度に行う必要はありません。まずはリスクの高いところから始められます。たとえば、管理者アカウントへのMFA、退職者の権限削除、業務システムの権限の棚卸しなど、対象を絞って進めることができます。
次に、端末の更新状況を確認し、クラウドやWebの利用ルールを整理します。新しい機能を導入する前に、誰が承認するのか、例外が必要な場合はどうするのか、異常が起きたときに誰へ連絡するのかを決めておくと、運用しやすくなります。
最初から全社に広げず、管理者アカウントや重要な業務システムなど、一つの対象から始める方法もあります。通常業務への影響や管理者の負担を確認し、無理なく続けられる方法を整えてから対象を広げます。
まとめ
ゼロトラストは、境界型のセキュリティ対策をすべて置き換えるものではありません。ファイアウォールなどの対策と組み合わせ、利用者、端末、アクセス先などを確認しながら、必要な範囲だけアクセスを許可します。
導入するときは、ツールを一度に入れ替えることよりも、まず何を守るのか、どのようなリスクがあるのかを整理することが大切です。管理者アカウントへのMFAや不要な権限の削除など、効果と運用の負担を確認しやすいところから始めます。
BCCの「BM X（BCC Managed Cross）」は、クライアント証明書による端末認証、L7ファイアウォールによるアプリケーション単位の通信制御、コンテンツフィルタリングによるWebアクセス制御など、ゼロトラストの実現に必要となるセキュリティ機能の一部に対応しています。MFAやSASEと組み合わせた構成にも対応できます。具体的な構成や対応範囲は、現在のネットワーク環境やご要件に応じてご案内します。
ゼロトラストの構成や導入・運用についても、お気軽にご相談ください。
