ゼロ トラスト。 ゼロトラストとは? クラウド普及で変わる新しいセキュリティ対策

グーグルがエンドポイントセキュリティー参入へ、「ゼロトラスト」の補強狙う

ゼロ トラスト

オンラインで筆者の取材に応じるパロアルトネットワークス チーフサイバーセキュリティストラテジストの染谷征良氏 そんな染谷氏が新型コロナウイルス感染症(COVID-19)による昨今の騒動やポストコロナに向けた企業のITについてどのように見ているのかを聞こうと、筆者は取材を申し入れた。 すると快く引き受けてもらえたので、以下にその内容を紹介しながら、ポストコロナの企業ITについて考察したい。 染谷氏はまず、COVID-19が企業ITに与えた影響について次のように述べた。 「COVID-19対策でテレワークによる在宅勤務が一気に広がったが、ここにきて例えばVPNの制約などによってネットワークが不安定になると懸念する声なども高まっている。 この現象が象徴するように、どのような状況においてもビジネスを継続させることが大命題である企業にとって、今回のCOVID-19対策はそのビジネスを支えるITインフラをしっかりと整備してきたかどうかが問われた形になったのではないか」 その結果、多くの企業で整備が追い付いていない状況が明らかになった。 染谷氏は、日本企業の事業継続性に影響を与える環境的問題として、今回のパンデミック(感染症による世界的大流行)だけでなく、図1に示すように大規模な地震や洪水、大型台風など、さまざまなリスクを挙げる。 そうした中で同氏が「今回こそ」という意図を込めたのが、冒頭の発言である。 関連記事• セキュリティを確保しながらどのように働き方改革を実現するのか。 模索した結果、自然と「ゼロトラストセキュリティ」にたどり着いたNTT Com。 その道のりを同社情報セキュリティ部長の小山 覚氏が紹介した。 企業のDXにおいてデータの有効活用がますます重視される中、「最高データ責任者(CDO)を置くべきだ」との声が高まってきている。 そう訴えるPwCコンサルティングのレポートを取り上げながら、CDOの必要性について考察してみたい。 新型コロナウイルスの感染拡大を受けて、IBM、HPE、Cisco、Salesforceといった米IT大手のトップが相次いでメッセージを発信している。 新型コロナウイルス感染症の拡大に伴う社会の混乱に便乗した犯罪が世界各国で増加している。 経済産業省は国内企業に対し「産業界へのメッセージ」として注意喚起し、取り組むべき対策を提唱した。

次の

「ゼロトラスト」時代に求められる産業向けIoT機器のセキュリティ管理―サイバートラストオンラインセミナーレポート2

ゼロ トラスト

こんにちは。 富士通クラウドテクノロジーズの鮫島です。 今回は、の話ではなく、2020年注目のキーワードといえるセキュリティの概念「」について説明します。 昨今のIT環境は、巧妙化するサイバー攻撃や内部不正など、内外からさまざまな脅威にさらされているのはご存知と思います。 そういった脅威に対して、やといった 境界防御型のセキュリティだけではIT環境を必ずしも守れなくなった現状を踏まえ、外部・内部問わずすべてのトラフィックを信頼しない 「性悪説」を前提として、都度認証することで脅威を防ぐというセキュリティの概念が「」です。 ゼロトラストネットワークをざっくり解説 性悪説だけど許すセキュリティ ゼロトラスト=誰も信用しないという字面だけ見ると、何やらネガティブな印象を受けるかもしれませんが、ゼロトラストネットワークは 「許すセキュリティ」です。 働き方改革によって広がりつつある、場所・時間・立場を問わない多様なビジネス環境に最適な概念であることも理解してください。 ゼロトラストネットワークの基本的な考え方をざっくりまとめるとこういう感じです。 ネットワークの内外は常に脅威が存在• ネットワークの内外全てのユーザー・デバイス・フローを信用せず、都度認証 しつこいようですが、基本的には 「性悪説」です。 境界型防御の弱点とは 従来のネットワークやセキュリティ設計では、大前提として下記のような区別がまかり通っていました。 外側(インターネット)=信用できない• この違いを図で説明してみます。 境界内部にいったん悪意のある脅威が侵入してしまうと やりたい放題です! つい先日、内部不正でHDDが個人情報ごと流出する事件が起きましたが、 安全と思われていた内部からセキュリティインシデントが発生するリスクが顕在化しています。 また、サイバー攻撃についても、ITリテラシーの低いIT利用者を介してマルウェアを侵入させてデータを流出させるような標的型の攻撃が増加しています。 安全だという前提の内側(ローカルネットワーク)に一旦侵入されると、 「横移動(ラテラルムーブメントと言うそうです)」 されて、顧客情報を手に入れたり、アプリケーションサーバーで勝手な操作をされたり、被害がどんどん拡大します。 前述の「やりたい放題」です。 とかを使えば安心でしょ?という意見もありますが、 社外からアクセスする環境そのものを乗っ取られるとの最深部にあっさり到達されてしまうリスクがあります。 続いて、ゼロトラストの図をご覧ください。 ゼロトラストのメリットとは ここでは、悪意のある脅威が内部に存在したとしても、法定速度で車間距離をしっかりあけないと走行できないし、知らない人の建物に入ることもできないのです。 しかし ディストピアな「管理社会」のイメージではなく、リアルタイムに個別の確認・評価がなされて、安全かつ高度な自動運転が実現し、駐車場のゲートもいちいち駐車券を入れなくても利用できるような スマートな世界を想像してください。 ゼロトラストのメリットは、すなわち情報セキュリティへの脅威に対して シンプルな仕組みでありながら より強固なセキュリティ環境に変えていくことが可能になることです。 インターネットを介してどこからでもアクセスできるパブリッククラウドにありがちな「クラウドはセキュリティが不安」という前提は無くなり、都度認証を行われアクセスの信用度を確認してセキュアな状態か否かを判断されるため、利用者は、BYODを含むさまざまな端末を利用してどこからでもアクセスできるようになります。 また、インフラを管理する側も、IPアドレス制限やの複雑な設定 から解放され、情報セキュリティの脅威に対してシンプルかつ強固な環境を構築できるようになります。 ゼロトラストネットワークの仕組み ゼロトラストネットワークの三要素 ゼロトラストネットワークは、いったいどのような仕組みでそれを実現してるのかをご説明します。 まず、コントロールプレーンというユーザー認証とアプリケションの認証、デバイス認証の評価を一元管理する司令塔と、データ転送など単純な作業を行うデータプレーンがあります。 コントロールプレーンは、ユーザー/アプリケーション認証とデバイス認証の評価を信用スコア(信頼度)として管理してポリシー適用を行い、データプレーンを動的に設定して暗号化の上で通信を許可します。 この仕組みで、コントロールプレーンとデータプレーンが信用スコアを元に利用者のアクセス可否を動的に判断して通信を許可できるようにするためには、自動化は必須と言われているようですが、自動化の方法論に関しては、専門外なのでここでは触れません(おいおい)。 ニフクラでゼロトラストは実現できるのか? ここまで、ゼロトラストネットワークの概念と仕組みについて説明してきましたが、読者の皆様の興味は、ニフクラでゼロトラストは実現できるのか?という点だと思います。 現時点では、一部しか実現できません! しかし、耳寄りな情報があります。 デバイス認証の部分に「ネットワーク利用に関するアクセスのコントロール」という要素があります。 これは、いわゆるという技術で可能であり、ニフクラは標準でその機能を実装しています。 要するに、 ローカルネットワーク内での「横移動」を防止できるということです。 これを実現するためにはかなり高額なコストがかかりますが、ニフクラなら 追加料金なしにゼロトラストモデルのネットワークをすぐに実現可能です。 こんな恐ろしい状態から・・・ ニフクラならばデフォルトで、を実装。 1仮想マシン単位でファイアウォールグループ設定ですよ! まとめ ゼロトラストネットワークはあくまで概念であり、特定の機能・ソリューションの導入で完成するような方法論が現時点で確立しているわけではありません。 セキュリティベンダー、ネットワークベンダーのゼロトラスト対応と言われる製品はかなり高額であり、慎重に導入を検討する必要があるでしょう。 また、ゼロトラストネットワークを実現する過程で、「利用者が使いにくい」システムになってしまうリスクもあります。

次の

さらばVPN、ゼロトラストネットワーク入門

ゼロ トラスト

ネットワークセキュリティの新しいアプローチとして 「ゼロトラスト」が昨今よく語られています。 「これまでの境界セキュリティモデルからの新しい考え方らしい」、 「何やら特定の技術を指しているものではないらしい」、 「実装には個別に開発されたソフトウェアが必要らしい」、 「製品ベンダーの話を聞いても説明の内容が統一されていないような?」、など ゼロトラストは難しく、的を得ないと感じている方も多いのではないでしょうか? ゼロトラストの定義として NIST National Institute of Standards and Technology, NIST, アメリカ国立標準技術研究所 より「 」がリリースされています。 このドキュメントに含まれる重要なメッセージを紐解き、主に ゼロトラストの考え方の基本と 構成に必要なコンポーネントを中心に、中立的に理解してみたいと思います。 (以下、ゼロトラストは本文内で扱われる英文として表記) Zero Trust の基本と定義 今も主流であるセキュリティ対策は、ITリソースアクセスを要求するエンティティ(人、端末)が企業内ネットワークに存在し境界防御に重点を置いています。 結果としてネットワーク内部での不正なラテラルムーブメントが米国連邦政府機関の課題になっていました。 Zero Trust では、• 必要最小限の特権のみをアクセスに付与しリソースを制限• リソースの保護方法、信頼が暗黙に付与されず、継続的に評価 することを目標としています。 ドキュメント内で扱われる Zero Trust は以下のように定義されています。 Zero Trust : 情報システム、サービスへのリクエスト毎のアクセス決定を正確に実行する、また、その不確実性を排除するために設計された コンセプトとアイデアのコレクション• Zero Trust Architecture ZTA : Zero Trust のコンセプト、コンポーネント、ワークフロー、ポリシーを利用する 組織のサイバーセキュリティプラン Zero Trust Architecture ZTA を組織に実装する具体的なネットワークインフラとしてゼロトラストを実現する物理&仮想コンポーネントがプロダクトとして配置されポリシーとともに運用されます。 Zero Trust と境界セキュリティ このような定義の中で、これまでの境界セキュリティモデルを排除することが強調されているように考えられがちですが、Zero Trust Architecture ZTA に必要な具体的機能の中でも「マイクロセグメンテーション」や 「Software Defined Perimeter SDP 」など「境界」を意識した定義を利用続けており、Zero Trust 自体は理想的な目標(長い旅)でありアーキテクチャとして純粋な形式で実装される必要は無いと注釈されています。 また、ドキュメントで説明される以下2つのアーキテクチャの説明でも、• Pure Zero Trust Architecture : 理想的なゼロトラストアーキテクチャは 既存ネットワークを持つ組織にとってほぼ実行可能でない• Hybrid Zero Trust Architecture : ほぼすべての組織では、ゼロトラストアーキテクチャと 既存環境と共存する一定期間(半永久的な可能性もある) が必要 と、現実的な視点でコメントしています。 これまでに組織で運用されてきた、従来型の境界セキュリティモデルとともに新しい Zero Trust Architecture ZTA は構築されるべきで、 境界モデルそのものが完全に排除されるわけでは無いという点を改めて理解することができます。 Zero Trust の原則 Zero Trust Architecture ZTA で実行されるべきコンセプト的ガイドラインがリストされています。 全データソース、コンピューティングサービスはリソースと見なされる• ネットワークの場所に関係なく、すべての通信が保護される• 組織リソースへのアクセスは、セッションごとに許可される• 組織リソースへのアクセスは、動的なポリシーによって決定される ユーザID、アプリ、リクエストアセットの状態 その他の動作属性を含めることができる• 所有し関連するすべてのデバイスが可能な限り最も安全な状態であることを保証し 資産の継続的な監視と安全状態の保持• すべてのリソース認証と許可は動的であり、アクセスが許可される前に厳密に強制される• ネットワークインフラと通信の状況を可能な限り収集し体制に利用、改善を行う ネットワークに接続される全リソースは、リクエスト元であってもリクエスト先であっても Zero Trust Architecture ZTA の中では動的ポリシーを導き出すために利用されるリソースとして扱われ、リクエスト、セッションごとに決定された動的ポリシーによって必要最小限権限を付加し、そのリクエストは暗号化とともにリソースアクセスが保護され、継続的な状態確認のためネットワーク全体の可視化が必要となります。 そして可視化におけるタイムリーな情報はネットワーク全体にフィードバックされる、というプロセスが必要になります。 Zero Trust の論理アーキテクチャ 以上の Zero Trust の基本理念と原則を、オンプレミス、クラウド上でも実装できる理想的なソリューションとして Zero Trust の論理アーキテクチャが説明されています。 Policy Engine PE : リクエストエージェントのリソースアクセスを決定。 組織オプションコンポーネントの外部ソースと連携しアクセスポリシー決定のためのトラスト計算のインプットとして利用• Policy Administrator PA : PEの決定に基づきリクエスト元エンティティの接続確立を執行。 PEPのリクエストを処理、PEの決定に基づきポリシー強制のためのトークンをPEPに発行。 Policy Engine PE とPolicy Administrator PA は単体のサービスとして実装される場合もある• Policy Enforcement Point PEP : リクエストエージェントとリソースの接続有効化、終了、監視を実行• Optional Component : CDM Continuous Diagnostics and Mitigation 、Industry Compliance、Threat Intelligence、Data Access Policy、PKI、ID Management、SIEM がリストされている。 Policy Engine のポリシー決定のため追加インプットとして提供するソース Zero Trust Architecture アプローチ Zero Trust の理想的論理アーキテクチャとともに抽象化アーキテクチャがドキュメントで説明されています。 Draft1では主にユーザアイデンティティマネージメントを中心としたユーザインタラクティブなエンティティに関する Zero Trust の実装が中心的であり、具体的なアプローチはあまり触れられていませんでした。 拡張IDガバナンス Enhanced Identity Governance : Zero Trust Architecture ZTA の主要アプローチ。 強化されたエージェントのアイデンティティによるポリシー作成。 使用されたデバイス、デバイスの状態、環境要因とともにアイデンティティのトラストレベルを計算• マイクロセグメンテーション Micro-Segmentation : ネットワークマイクロセグメンテーションによりリソース配置することでZero Trust Architecture ZTA を実現。 NGFW、専用ゲートウェイデバイス、ゲートウェイとクライアントエージェントによりマイクロセグメンテーションを実行• ネットワークインフラとSDP Network Infrastructure and Software Defined Perimeters : ネットワークインフラを利用してZero Trust Architecture ZTA を実現。 L7 Overlay Network, 下位のネットワークスタックにポリシーに基づいたネットワークセットアップ。 SDN, Intent-Based Networkingの概念を含む リファレンス [1] Zero Trust Architecture 2nd Draft [1] Zero Trust Architecture 1st Draft Tags:• 免責事項 本サイトに情報を掲載する個人(管理人を含みます)は、シスコの社員である場合があります。 本サイトおよび対応するコメントにおいて表明される意見は、投稿者本人の個人的意見であり、シスコの意見ではありません。 本サイトの内容は、情報の提供のみを目的として掲載されており、シスコや他の関係者による推奨や表明を目的としたものではありません。 このサイトは一般公開されています。 機密情報はこのサイトに掲載しないでください。 各利用者は、本Webサイトへの掲載により、投稿、リンクその他の方法でアップロードした全ての情報の内容に対して全責任を負い、本Web サイトの利用に関するあらゆる責任からシスコを免責することに同意したものとします。 また、各利用者は、シスコに対し、本サイトに提供した情報内容に関する著作権、パブリシティ権および著作者人格権を行使するための全世界において有効な、無期限、取消不能、使用料無料且つ許諾料全額支払い済みの、譲渡可能な権利(サブライセンスする権利を含みます)を付与するものとします。 全てのコメントは管理されます。 コメントは管理人による承認後速やかに表示されます。

次の