ゼロトラストとは何ですか？

ゼロトラストとは、ユーザー、デバイス、ネットワーク上の場所に対する暗黙の信頼を排除し、証明されるまではすべてのアクセス要求を信頼できないものとみなすセキュリティモデルです。ゼロトラストでは、ネットワーク境界内に一度入れば広範なアクセス権を付与するのではなく、身元やデバイスの状態を継続的に検証した上で、一度に1つの特定のリソースに対してのみ、最小権限のアクセスを許可します。

主なポイント

• ゼロトラストでは、ネットワーク上の位置に基づく暗黙の信頼を完全に排除します。
• すべてのアクセス要求は、ログイン時に一度だけ確認されるのではなく、継続的に検証されます。
• アクセス権限は、一度に1つのアプリケーションに限定され、デフォルトでは最小権限の原則が適用されます。
• ZTNAは、一律のVPNアクセスに代わり、アプリケーションごとのアクセス制御を実施します。
• NIST SP 800-207は、2020年に「アーキテクチャ」の原則を正式に定めた。

このページの内容： その重要性 ・ 仕組み ・ 種類 ・ ゼロトラストとVersa · よくある質問

ゼロトラストはなぜ重要なのでしょうか？

従来のネットワークセキュリティでは、境界の内側（企業のLANやVPNトンネルなど）にあるものはすべて信頼できると想定され、ファイアウォールの役割は境界で攻撃者を遮断することだと考えられていました。しかし、アプリケーションがクラウドに移行し、従業員がどこからでも業務を行うようになったことで、この前提は成り立たなくなりました。フラットなネットワーク上で攻撃者が1つの認証情報を不正入手してしまうと、そのネットワークからアクセス可能な他のすべてのリソースへの横方向の移動を阻止する手段は一切なくなります。

ゼロトラストが重要である理由は、今日のセキュリティ侵害のほとんどが、境界からの侵入ではなく、認証情報の漏洩から始まるためです。ゼロトラストでは、接続元がどのネットワークセグメントにあるかではなく、ID、セキュリティ状態、およびコンテキストに基づいてすべての接続を評価することで、侵害の影響範囲を、そのセッションで利用が許可された1つのアプリケーションに限定します。これにより、1つの内部アプリケーションにアクセスするためだけに広範なネットワークアクセス権を付与する必要がなくなります。

ゼロトラストとは何ですか？

ゼロトラストは、「明示的な検証」、「最小権限のアクセス」、「侵害を前提とする」という3つの原則に基づいています。すべてのリクエストは、ファイアウォール内部から発信されたという理由だけで信頼されるのではなく、ID、デバイスの状態、位置情報、行動コンテキストなど、利用可能なあらゆるシグナルを用いて認証されます。アクセスはセッションごとに許可され、その範囲はリクエストを満たす最小のリソースに限定され、そのリソースが属するネットワークセグメント全体には及びません。

アーキテクチャ的には、これは通常、コンテキストを評価して決定を下す「ポリシー決定ポイント（PDP）」と、接続境界でその決定を実行する「ポリシー適用ポイント（PEP）」から構成されます。NIST SP 800-207 はこのパターンを正式に規定し、検証を単発のチェックではなく継続的なプロセスとして扱っています。つまり、セッションの途中で準拠状態を満たさなくなったデバイスについては、次回のログイン時ではなく、即座にアクセス権を剥奪することが可能です。

ゼロトラストのタイプ

ゼロトラストは複数のレイヤーで適用され、通常は順次導入されます。ゼロトラスト・ネットワーク・アクセス（ZTNA）が最も一般的な導入の入り口であり、VPNに代わって、リモートユーザーに対してアプリケーション単位で、IDおよびシステム状態の検証を経たアクセスを実現します。ネットワーク層のゼロトラスト（マイクロセグメンテーション）は、データセンターやキャンパス内でも同様の原則を拡張し、ネットワークを強制的に小さなゾーンに分割することで、侵害されたデバイスが無関係なシステムに到達できないようにします。データ中心のゼロトラストは、このモデルをデータそのものに適用し、CASBやDLPの制御機能を用いて、認証済みのセッションが実際に移動できるデータを制限します。

ゼロトラスト &Versa

Versa ゼロトラストを次のように実装します Zero Trust Everywhere、単一の管理ポリシー下にある4つのコンポーネントとして実装されます。Versa の「Secure Private Access（VSPA）」は、リモートユーザー向けにZTNAを提供します。Versa の「Zero Trust – Premises」は、接続ポイントにおいてキャンパスおよび支店のユーザーにZTNAを拡張します。Versa の「Secure SD-LAN」は、キャンパスネットワークに組み込み型のマイクロセグメンテーションを提供します。そして、Versa の「SASE Fabric」は、これらを統合するクラウドセキュリティサービスを提供します。「セキュリティ」タブでは、これらがいかにして単一のポリシーエンジン下でSWG、CASB、およびDLPと連携するかを解説しています。

VSPA内では、ゼロトラストはVersa Concertoにおいて2つのポリシー層として機能します。「セキュアアクセスルール」はポリシー決定ポイント（PDP）として、トンネルが確立される前にID、ポスチャー、地理的情報、コンテキストを評価します。「プライベートプロテクションルール」はポリシー適用ポイント（PEP）として、セッションがどのアプリケーションにアクセスできるかを制御します。 セキュリティ状態は「エンドポイント情報プロファイル」を通じて継続的に評価され、Versaの「デフォルト拒否」方針（広範なRFC 1918ルートの禁止、ワイルドカードルールの禁止）により、ネットワーク層もアイデンティティ層と同様に「最小権限の原則」が維持されます。

よくある質問

ゼロトラストとVPNの違いは何ですか？

VPNは、ユーザーが認証されるとネットワークレベルでの広範なアクセス権を付与するため、セッションが侵害されると、そのネットワーク上のあらゆるリソースにアクセスできてしまうことがよくあります。一方、ゼロトラストはアプリケーションごとにアクセス権を付与し、身元やセキュリティ状態を継続的に再検証し、明示的に許可されていないアクセスは拒否します。

ZTNA（Zero Trust Network Access）とは？

ZTNAは、ゼロトラストの中で最も広く採用されている形態です。これは、認証済みのユーザーを、デバイスを広域ネットワークに接続することなく、承認された単一のアプリケーションに直接接続し、ログイン時の一回限りではなく、継続的にアクセス権限を再評価する仕組みです。

ゼロトラストモデルを考案したのは誰ですか？

アナリストのジョン・キンダーヴァグ氏は2010年、フォレスター社においてこの用語を広め、信頼そのものが、境界セキュリティでは解決できない脆弱性であると主張した。NIST SP 800-207は2020年、アーキテクチャの原則を正式に定めた。

「ゼロトラスト」とは、組織が自社の従業員を信頼していないことを意味するのでしょうか？

いいえ。ゼロトラストは、ネットワーク上の位置情報に基づいて与えられる暗黙の信頼を取り除くものであり、人に対する信頼を取り除くものではありません。コンプライアンスに準拠したデバイスを使用する認証済みの従業員は、引き続きアクセス権限を得ることができます。ただ、認証が境界で一度行われるのではなく、リソースごとに毎回行われるようになるだけです。

ゼロトラストはSASE とどのように関連しているのでしょうか？

SASE ゼロトラストを大規模に実用化しています。同社のZTNAサービスは、アイデンティティおよびポスチャーに基づくアクセス制御を行い、クラウド経由で提供されるエンフォースメントポイントは、単一の境界だけでなく、ユーザーが接続するあらゆる場所でこれらの制御を適用します。

ゼロトラストについてさらに詳しく

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

ゼロトラストについてお読みの方は、次にこれらもぜひチェックしてみてください。