ICTセキュリティの新しい形

先日写真の研修を受けました。
ICTの発達におけるセキュリティの考え方についての研修でした。
簡単にご説明します。

現在私たちの職場などのネットワークシステムにおける情報漏洩等を防ぐためのセキュリティはどんなものを使っているか知っていますか？

それは

境界型トラスト

という考え方のものを使っています。

これは
組織の内側のネットワークは安全。
組織の外側のネットワークは危険。
という考え方を元にファイルやデバイスを分けて、内側のものは内側だけで使ってるから安全だよね？
という考え方でセキュリティを担保するという方法です。

この方法の場合、内側に入っているデータを外側にもっていくとは禁止、もしくは制限、認証などの手続きが必要になっています。

よくニュースで成績のデータをUSBに持ち出して、そのUSBを無くしてニュースになっているというのを見るのはこれが原因になっています。

いくら制限や認証があったとしても小さい記憶媒体にデータを入れて物理的に持ち歩くことは簡単にヒューマンエラーを起こし、不祥事につながってしまうわけです。

ちなみに、アメリカバイデン大統領が昨年出したゼロトラストを実現するための大統領令には、

境界型トラストでは、セキュリティとしてもはや意味がない

と言った旨のことが書いてあるそうです。

一方で、
現代のネットワークセキュリティの考え方では、
ゼロトラストセキュリティという考え方が一般的です。

これは

トラストはゼロ

つまり

組織の内側とか外側とか関係なく全てが危険

という考え方です。

では、どうするか。

全てが危険なので、基本的には

継続して認証をしていく

という考え方です。

AppleidやGoogleアカウントでケータイやタブレットからログインする際にSNS認証というものがあります。

あのように、ネットワークの内側とか外側とかがなく常に使う人が本当にその人かどうかを認証していくというシステムがゼロトラストです。

境界型の場合内側に入ってしまえばその中でなんでもできてしまいます。
ゼロトラストの場合は何かするにあたって継続して認証を行なっていくので情報漏洩などは最小限で済むと言われています。

そして、無駄な口や紙での認証は必要なくなり、いつでも、どこでも、どんなデバイスでも、必要なデータにアクセスできるため仕事の効率も上がるということです。

また、ゼロトラストの場合権限や制限を細かく決めることができるのです。
この人はこのファイルには入れるけど、この人はダメだよ。
この人はこれする権限あるけど、この人は無いよ。
など非常にこと細かく決めれる上に、比較検証を繰り返しながらブラッシュアップをすることも可能です。

境界型では、これができないので、内側の人はどんなデータを触ることができるのでそういった面でも安全性を高めることができます。

なるほどーって思うことだらけでした。
今までのセキュリティのイメージを完全リセットをしてやっていくことがすごく大切なことだそうです！