信頼しないセキュリティの形
ゼロトラストという言葉をご存知だろうか？
これはネットワークの安全性という観点において、時代の流れに対応すべく生まれた新しいセキュリティの概念だ。
新しい概念の誕生
従来のネットワークにおけるセキュリティモデルは、（多層の）境界ごとによるトラフィック制御に大きく依存していた。つまり、信頼できるリソースと信頼できないリソースの間に壁を築くような境界モデルをベースにしていた。
そして現在、一昔前と比べて比較にならない量のデバイスやリソースが多様な場所からネットワーク通じて情報をやりとりするようになった。リモートワーク、スマホ、IoTなどを考えると容易に想像できるだろう。
クラウド利用の増加や、サイバー攻撃の高度化など変化のスピードも早い。
そんな背景もあり、ネットワーク固有の仕様（IPベースでの判断）に依存する既存の仕組みをもって、多様化するニーズに応え、充分に安全なシステムを構築し続けるにはどうしてもコストがかかるようになってきた。
そういった中で、2010年に調査会社Forresterのアナリスト John Kindervag氏が提唱した概念が「Zero trust」だ。
ゼロトラスト（Zero trust）とは
読んで字の如く「全ては信頼できない」という前提に基づく新しいセキュリティの概念だ。
人・リソース・デバイス・アプリなどに対し認証・認可の仕組み通じて、必要最低限の権限でのアクセスを実現する全体的な枠組みのことを示す。
実装の構成要素で多いのは、IAM（Identity and Access Management）とか、SSO（Single sign-on）とか、MFA（Multifactor authentication）とかそこらへんだろう。
Google は 8 年に及ぶゼロトラスト ネットワークの構築を基に、BeyondCorp というゼロトラストモデルをベースにした実装を発表した。
では、ゼロトラストなネットワークが実現できるとどうなるか？
具体例を挙げると、認証・認可の仕組みで社外から社内へのアクセスが容易になったり、誰がいつどのリソースにどのようにアクセスしたのか？などが全てロギングされ不正や過剰利用の自動検知も可能になる。
人・デバイス・アプリごとにきめ細やかな設定が可能で、ネットワークに依存しない柔軟なアクセス制御が可能になる。
そんなにメリットあるなら今すぐやろうぜ！としたい所だが、そうはなりにくい。
なぜなら、それ自体が「難しい」からだ。
概念の理解もさることながら、実現方法も多岐だ。正解もないしゴールもない。また、安心安全を謳い今まで莫大なコストをかけて築き上げてきた既存ネットワークを誰も十分ではないと言い切ることは出来ないし、既存運用を変更するには莫大な調整コストがかかる。
Googleですら、8年に及びゼロトラストネットワークの構築をし続けている。
あなたの企業でどれくらいかかりそうか想像して欲しい。
実現へのパス
しかし、諦めるのはまだ早い。導入への可能性は２つ道があると思ってる。
一つは、「2025年の壁」を利用すること。経産省が出したDXレポートでは、クラウド等へのIT投資による生産性向上が謳われる。この波に乗って、導入を推進する（or してもらう）方法。MicrosoftやGoogleのような巨人の取り組みにより実例が出てきたこともあり、彼らのサービスに乗ることで導入が進むだろう。
もう一つは、あなたが情熱リーダーになる道だ。
セキュリティに関しては、責任が重いぶん人も少なくやりがいも大きい。一緒に挑戦してくれる同僚や、応援してくれる上司を巻き込んであなた自身で推進するという筋書だ。導入に成功すれば、あなたの市場価値は飛躍的に高まるだろう。
知ることから始まる
ゼロトラストについては、この書籍がめちゃくちゃ参考になるので、是非読んでみてほしい。
もちろんゼロトラストのことは詳細に書かれているがそれだけではない。ネットワークの発展と共にセキュリティがどのように変化してきたのかについて、歴史的な観点でコンパクトにまとまっている。それだけでも十分に価値があると思う。
これからますます繋がりを強めるサイバー空間において、ネットワークのセキュリティも同様に変化し続ける。
より利便性の高い世界と、安心安全な世界を両立する為に、こういう流れに興味関心を持つ方が、この記事を通して増えると嬉しいと思ってる。
この記事が気に入ったらサポートをしてみませんか？