【ゼロトラストアーキテクチャ】アメリカ国立標準技術研究所（NIST）の定義する7つの原則
ゼロトラストとは
今までは、境界防御と言われる信頼度の異なるゾーンをFWで区切って、セキュリティを担保するというやり方を行っていた。
オフィスに全員が出社して、オフィス内のネットワークからしか、アクセスさせないことを徹底させていれば、問題なかったかもしれない。
しかし、クラウドが発達するに従い、アクセス経路は多様になり旧来のイントラアクセスに絞るセキュリティ担保は業務の効率性を落とすことになる。
そこで、注目されているのが、境界防御のみに頼るセキュリティではなく、｢インターネットなどの信頼性がないネットワークを前提として、セキュリティを担保する。｣ことを目指したアーキテクチャを"ゼロトラストアーキテクチャ"という。
このあたり、まとめてツイートしたので、載せておきます。
ゼロトラストが最近の流行りっぽいから少し勉強中。忘れないようにまとめとく。
— ねも (@nemo73) July 5, 2020
今までは、境界防御と言われる信頼度の異なるゾーンをFWで区切って、セキュリティを高めるやり方を行っていた。
しかし、クラウドが発達するに従い、アクセス経路は多様化。旧来のやり方では、業務の効率性を落とす。
【ゼロトラストについて、続き】
— ねも (@nemo73) July 5, 2020
そこで、注目されているのが、境界防御のみに頼るセキュリティではなく、｢インターネットなどの信頼性がないネットワークを前提として、セキュリティを担保する。｣ことを目指したアーキテクチャを"ゼロトラストアーキテクチャ"という。
【NISTの定義するゼロトラストの原則 7つ(意訳)】
— ねも (@nemo73) July 5, 2020
※NIST:アメリカ国立標準技術研究所
1.すべてのデータとサービスをリソースと考える。
･ 一つ一つのストレージや、PCは当然の事。個人所有のスマホであっても、アクセス権があれば、企業のリソースと同じくらい保護されるべき大切なリソースだよ。
2.すべての通信は暗号化する。(イントラであっても)
— ねも (@nemo73) July 5, 2020
･社内からの通信だからといって、無条件で信頼するのはダメ。IP制限などだけでなく、きちんとID/パスワードや証明書、多要素などで認証を行う事。
3.1リソースへのアクセスごとに権限を付与する。
— ねも (@nemo73) July 5, 2020
･1つのリソースへのアクセスが許可されたからと言って、他のリソースへも無条件でアクセス許可を与えてはダメ。VPNで認証したからといって、ファイルサーバの中身が全部見えるってのはダメ。適切に見てもいいファイルだけアクセス権付与しなさい。
4.リソースへのアクセスはどの端末、どのアプリ、何にアクセスしたいか。を全部考慮してアクセス権与える。
— ねも (@nemo73) July 5, 2020
･この端末はどんなアプリでも許可。このアプリは誰が使ってても許可。とせずに、この人がこの端末からこのファイルを見るのは許可。など複合的なポリシーでセキュリティを高める。
5.企業はすべてのデバイスが安全であることを保証するために、リソースのセキュリティ状況を監視する。
— ねも (@nemo73) July 5, 2020
･デバイス管理システムや、脆弱性管理、ウィルス検知などを管理し、関連するすべてのデバイスを安全な状態にしておく。
6.すべての認証認可はアクセス許可前に動的に厳しく実施する。
— ねも (@nemo73) July 5, 2020
･国内勤務の人が海外から急にアクセスした場合は、パスワードだけでなく、多要素認証を改めて確認させるなどの動的なポリシーでなりすましなどの、不正なアクセスを防ぐ。
7.ネットワーク通信状況について、可能な限り情報を集めて、それをセキュリティ向上に活かす。
— ねも (@nemo73) July 5, 2020
･異常なトラフィック増加や、異常なアクセス要求の増加時などは一時的にアクセス許可を止める事や、多要素認証を要求するなど統計的なネットワーク通信状況の取得でセキュリティ向上を目指す。
ゼロトラストへの移行はかなり長丁場になると思われる。特にイントラのシステムは、なかなか対応が難しいはず。コストも莫大にかかる。
まずは、社内であってもすべての通信は暗号化するポリシーにすることや、社内システムのWeb化をするときには多要素認証を入れて行くこと。FWやネットワークトラフィック、アクセス要求情報などのログを少しづつためていくようにすることなど、小さな改善をすすめていく他無い。
効果が無いからと、後回しにしていくと、いざ、やろうと思ったときには、どうにもならない状態になってしまう。ゼロトラストに向けて進むんだ。というメッセージをまずは出して、コツコツとすすめる。
クラウド利用の検討するなら、Must要件としておいたほうがいい。
参考
この記事が気に入ったらサポートをしてみませんか？