2023年05月11日
第18回 『ゼロトラスト』
何も信用しない
インターネットは「信頼（信用）のコミュニティ」として広がってきた歴史がある。その「信頼のコミュニティ」は何度も危機にさらされながらも防衛策を工夫して発展してきたが、ここにきて、根本的に安全思想を切り替えなければならなくなった。新しい考え方は「ゼロトラスト」。「何も信用しない」という徹底した発想である。
最近までのセキュリティの考え方は、オープンな環境のインターネットでは危険が多いので、企業や大学、行政組織などの情報システムはクローズドにして、内側と外側の境界を厳重にして運営する、というものである。「境界型セキュリティ対策」と呼んでいる。外側からのアクセスは複雑にするが、一度、内側に入れば比較的自由に情報資源を利用できる。効率性を重視すれば情報資源を自由に利用できる環境は重要だった。
しかし、テレワークやクラウドの普及とともに外部からのアクセスが急増するにつれ、「内側は安全空間」という状況ではなくなった。ウイルスやサイバー攻撃はあの手この手で境界をすり抜けてくる。内側も安全な情報空間ではなくなった。そこで、外側でも内側でも、ユーザーが何かアクションをするたびに安全性を評価するという徹底した仕組みに切り替えた。
NECフィールディングも、ユーザーを信用しないという新しい考え方に、いち早く取り組んでいる。アクションのたびに、ユーザーが使うデバイスやネットワークは安全かどうか、ウイルスに感染していないか、本人確認の多要素認証など、多くのチェックポイントで信用度スコアを計測し、総合スコアが安全確認の設定値を超えなければアクセスが認められなくなる。
ポイントごとに安全性を確認するので、テレワークなどで様々な場所からアクセスできるようになる。「なりすまし」や不正侵入も防止できる。クラウドサービスも利用拡大していける。
メールの添付ファイルの暗号化など、最近のインターネット通信は90％以上が暗号化され、通信内部のマルウェアなどが検知しにくい。ゼロトラストではインターネット通信に検査ポイントを関所のように設けて監視、暗号化された通信内部を検査してマルウェアの侵入を防止したり、外部の不正サイトや未許可のクラウドへの接続に対しては遮断する機能を持たせる。
テレワークの急速な普及に伴って、これまで安全な通信だと思われていたVPNでも、接続装置や端末の不備を突かれるリスクが出てきた。端末側での脆弱性対策はテレワーカーが管理意識を持たなければならない。情報セキュリティ担当者の目の届きにくいユーザーに対しては、端末の紛失対策、データの漏洩対策、テレワークでの守るべきガイドライン浸透などの研修もゼロトラスト実現に必須である。
情報システムを守るセキュリティ対策は、どこかのポイントをすり抜けられたら「アリの一穴」で被害は膨大になる。「ゼロトラスト」にはユーザー全員の意識改革が必要だ。
からの記事と詳細 ( 第18回 『ゼロトラスト』：最新ITキーワード | フィールディングEye - NECフィールディング )
https://ift.tt/HhK5NWs
No comments:
Post a Comment