ゼロトラストセキュリティについて学んだ
ゼロトラストとは
ゼロトラストとは、「境界防御」に対するセキュリティパラダイムのこと。
セキュリティといっても、個人のPCを守るとかではない。会社などでネットワークに繋がった一連のコンピューターをどう守るか、ということに関するパラダイムである。
（ここでは、わかりやすく会社とする）
境界防御というのは、安全な社内のネットワークと危険なインターネットにわけ、この「境界」だけを固めればOKという考え方である。
ゼロトラストは反対に、この「境界」も一つの判断基準として使いはするけれどもそれだけには頼らないというものだ。
何がゼロなのか
「何も信用しない」ゼロトラストなどという人もいるが、何も信用しないことはできない。何が「ゼロ」なのか、ちょっとキャッチーすぎる名前だと思う。
何がゼロなのかというと、「認証・認可しないリクエスト」がゼロということかなと思う。
どういうことか。これまでの境界防御の考え方では、「安全」なはずの社内ネットワークからのリクエストについては認証せずにファイルサーバーへのアクセスを許可するようなこともあっただろう。
一方で、ゼロトラストの考え方では、社内からのアクセスであろうが誰(何)からのアクセスなのかの「認証」とそのファイルへのアクセスをして良いのか(認可)を個別に行う。
参考文献の「ゼロトラストネットワーク ―境界防御の限界を超えるためのセキュアなシステム設計」において、ゼロトラストを実現するために”MUST”とされているのは以下の3点。
ネットワークフローは全て処理される前に認証されなければならない
認証と暗号化はネットワーク内のエンドポイントで実行されなければならない
システムがアクセス制御を実行できるようにするために、ネットワークフローは全て列挙されなければならない
というわけで、本質的には個別のリクエストを全て検証せよということである。
その個別のリクエストをどう信用するかしないか、多要素認証を使うとか機械学習を使うとか色々な選択肢があるが、それらは個別製品の特徴となっていくだろう。
「ゼロトラスト」のセキュリティモデルはWebアプリのセキュリティとよく似ていることに気付いた。 前回このIPアドレスからきたリクエストはまともだったから信用しようなんてことはしない。 そもそもHTTPはステートレスでもある。
一度ユーザー認証をしたら、CookieなりJWTなりの有効期限のある「トークン」が払い出され、それをクライアントは毎回のリクエストに付与するしサーバーは毎回のリクエストで検証する。 このモデルを、HTTP Webに限らず情報システム全体に拡大したものがゼロトラストなのではないだろうか。
ゼロトラストを学ぶ意義
働く場所が自由になるし色々な働き方のパートナーが関わるようになっていく上で、「出社してオフィスから安全なネットワークにつながるコンピューターを使う」ことを暗に前提とした境界防御の考え方では不都合が生まれている。ということで、ゼロトラスト的な対策をとっていくことが多くの企業に求められる。
しかしGoogleのような会社こそともかく多くの企業は自分たちでは実現できず、セキュリティ製品を導入したりベンダーにやってもらったりといったことになるだろう。その上で、何が必要で何が余計なのか、言いなりにならないように知識をつけておくというのが多くの人にとっての学ぶ意義になるのではないだろうか。
ゼロトラストを学ぶべき人
CIOや企業の情報システム担当者。
勉強に使ったもの(参考文献)
「ゼロトラスト Googleが選んだ最強のセキュリティ」
ビジネス寄りの本。ゼロトラストとはなんなのかを知るため・セキュリティに対する投資をどれくらいするのか、ベンダーの言いなりにならないように武装するためといった目的ではこれで十分なように思う。
「ゼロトラストネットワーク ―境界防御の限界を超えるためのセキュアなシステム設計」
この記事が気に入ったらサポートをしてみませんか？