ゼロ トラストとは?

ゼロ トラストとは、どのユーザーやプロセスも信用すべきではないという前提で、ネットワーク上のすべてのユーザー、デバイス、アプリケーション、トランザクションを検証するサイバーセキュリティ戦略のことです。

インターネット時代は高度化している一方で、セキュリティ侵害というデジタルな疫病をもたらしています。データや個人情報の盗難のニュースが毎日のように聞かれる中、新しい動向と最新のスローガンが生まれました。それが、米国大統領令の対象にもなった、ゼロ トラストです。

ゼロ トラストの定義

ゼロ トラストとは、どのユーザーやプロセスも信用すべきではないという前提で、ネットワーク上のすべてのユーザー、デバイス、アプリケーション、トランザクションを検証するためのサイバーセキュリティ戦略のことです。

この定義は、アメリカ国家安全保障電気通信諮問委員会 (NSTAC) が 2021 年にゼロ トラストに関してまとめた 56 ページの文書、NSTAC レポートに由来しています。元 AT&T の CEO 委員長を務める NSTAC には、数十人のセキュリティ専門家が名を連ねています。

Forrester Research の元アナリストで、この用語の生みの親であるジョン キンダーバーグ (John Kindervag) 氏はインタビューで、彼の著作『Zero Trust Dictionary』の中で次のように定義していると述べています。「ゼロ トラストとは、時間の経過とともに改善される既製のテクノロジを利用して導入できる方法でデジタル トラストを排除することでデータ侵害の防止に役立てる戦略的イニシアチブである。」

ゼロ トラストの基本原則とは？

キンダーバーグ氏 は、この用語を生んだ 2010 年のレポートで、ゼロ トラストの 3 つの基本原則を示しています。その中で同氏は、すべてのネットワーク トラフィックは信頼すべきではないため、ユーザーは次のことを行う必要があると述べています。

• すべてのリソースを検証、保護する
• アクセス制御を制限し、厳密に適用する
• すべてのネットワーク トラフィックを検査してログ記録を行う

そのため、ゼロトラストは「Never Trust, Always Verify. (決して信頼せず、必ず検証せよ)」という言い回しで知られることがあります。

ゼロ トラスト アーキテクチャを実装する方法

こうした定義からわかるように、ゼロ トラストは単一の技術や製品ではなく、現代のセキュリティ ポリシーのための一連の原則を指します。

アメリカ国立標準技術研究所 (NIST) は、その後に大きな影響を与えた 2020 年のレポートで、ゼロ トラストを実装するための詳細なガイドラインを発表しました。

そのアプローチの概要は上の図で説明されています。セキュリティ情報イベント管理 (SIEM) システムを使用してデータを収集し、継続的な診断と対応 (CDM) でデータを分析し、発見された洞察や事象に対応します。

ゼロ トラスト アーキテクチャ (ZTA) とも呼ばれるこれはセキュリティ計画の一例で、ZTA によって、ゼロ トラスト環境とも呼ばれる、さらに安全なネットワークが構築されます。

しかし、ゼロ トラストは万能ではありません。「(各) 企業には独自のユース ケースやデータ資産があるため、ZTA 導入のための唯一の計画」というものは存在しない、と NIST のレポートには記載されています。

セキュリティを強化するための 5 つのステップ

ゼロ トラスト アーキテクチャを導入する作業は、主に 5 つのステップにまとめることができます。

まず、ユーザーが保護したい、いわゆる保護対象領域を明確にすることから始まります。これは、特定の脆弱性に対する攻撃対象領域というものに焦点を当てた、これまでにアクセス管理手法とは一線を画しています。保護対象領域は、企業のオフィス内のシステム、クラウド、エッジにまたがる可能性があります。

そこから、ユーザーは、通常はネットワーク上に流出しているトランザクションをマップし、それらを保護するゼロ トラスト アーキテクチャを構築します。

次に、ネットワークのセキュリティ ポリシーを策定します。

最後に、ネットワーク トラフィックを監視して、すべてのワークロードでトランザクションがポリシーの範囲内に収まっていることを確認します。

NSTAC レポート (上記) でもキンダーバーグ氏も、ゼロ トラスト環境を構築するために提唱している手順は同様です。

ゼロ トラストは、それ自体が目的なのではなく、過程であることに注意することが重要です。コンサルタントや政府機関は、ユーザーがゼロ トラストの成熟度モデルを採用して、時間の経過に伴って組織のセキュリティの改善を文書化することを推奨しています。

米国国土安全保障省の一機関であるサイバーセキュリティ社会基盤安全保障庁 (CISA) は 2021 年の文書で、そのようなモデルの一例を説明しています (下図を参照)。

実際には、ゼロ トラスト環境にあるユーザーは、保護された各リソースへのアクセスを個別に要求します。通常はコンピューターでパスワードを提供してからスマートフォンにコードを送信するといった、多要素認証 (MFA) を使用します。

このアクセス ポリシーは、機密データ、アプリ、ユーザー ID を保護し、マルウェアやランサムウェアの攻撃を防止するのに適しています。

NIST レポートには、ユーザーがリソースにアクセスできるかどうかを判断するアルゴリズムの構成要素 (下図) が挙げられています。

ここでは、企業のリソースを考慮すると、「理想的には、トラスト アルゴリズムはコンテキストに沿ったものであることが望ましいが、これが常に可能であるとは限らない」と述べられています。

信頼性を測定するアルゴリズムの探求は、ゼロ トラスト ポリシーの哲学に反すると主張する人もいます。また、ネットワーク上にある多くのイベントのコンテキストをキャプチャして、アクセスに関する適切な決定を下すことができるという点で、機械学習の果たす役割は大きい、という指摘もあります。

ゼロ トラストのビッグ バン

2021 年 5 月、ジョー バイデン大統領は、政府のコンピューティング システムにゼロ トラストを義務付ける大統領令を発令しました。

この大統領令により、連邦政府省庁は、NIST の推奨事項に基づいて 60 日以内にゼロ トラスト アーキテクチャを採用しなければなりません。また、セキュリティ侵害に対処するためのプレイブック、重大なインシデントを審査する安全委員会、さらには一部の消費者向け製品にサイバーセキュリティ警告ラベルを設定するプログラムも求められています。

これはまさに、ゼロ トラストのビッグ バンが起こった瞬間でした。この大統領令はいまだに世界中で反響を呼んでいます。

NSTAC のレポートでは、「重役会内や情報セキュリティ チーム間でのゼロ トラストの話を進める上で、この大統領令の影響は計り知れない」と述べられています。

ゼロ トラストの歴史

2003 年頃、ゼロ トラストにつながる理念が米国国防総省内で生まれ、それが 2007 年のレポートへとつながっています。ほぼ同時期に、Jericho Forum という業界のセキュリティ専門家の非公式グループが、「de-perimeterisation (非境界化)」という用語を提唱しました。

この概念をキンダーバーグ氏が具体化して名付け、2010 年 9 月のレポートを執筆したことで激震が走りました。

ファイアウォールや VPN、侵入検知システムを備えた組織を堀で囲むことに業界は焦点を当てているが、それは間違っている、と同氏は主張しました。悪意のある人物や不可解なデータ パケットはすでに組織内に存在しており、脅威への対処には全く新しいアプローチが必要でした。

セキュリティはファイアウォールを超える

キンダーバーグ氏はインタビューの中で、ファイアウォールをインストールした初期の頃から、「我々の信頼モデルには問題があると分かっていた」と述べています。「私たちは人間の概念をデジタルの世界に採用していましたが、それは浅はかでした。」

同氏は Forrester で、サイバーセキュリティが機能していない理由を突き止める職務を担当していました。2008 年、同氏は自身の研究成果を説明する講演で初めて、ゼロ トラストという用語を使用しました。

ユーザー アクセス ポリシーとアクセス許可によって適用される単一のネットワーク境界を構築するのではなく、最小の権限のみ付与するアクセス ポリシーに基づくネットワーク セキュリティへの新しいアプローチを同氏は提唱しました。エンドポイントはすべて、一種のネットワーク セグメンテーション (マイクロセグメンテーション) 内でさらにきめ細かいアクセス ポリシーを適用する必要があります。

初めの頃は抵抗を感じていたユーザーたちも、次第にこのコンセプトを受け入れ始めました。

「誰だったか、『ゼロ トラストが私の生涯の仕事になる』と言っていました。私は彼の言葉を信じていませんでしたが、彼は正しかった」とキンダーバーグ氏は述べました。同氏は業界内でさまざまな役職を経験し、ゼロ トラスト環境を構築する数百の組織を支援し続けています。

拡大するセキュリティ エコシステム

実際、Gartner は、2021 年末時点では 10% 未満であるが、2025年までには新しいリモート アクセスを導入する企業の少なくとも 70% が、いわゆるゼロ トラスト ネットワーク アクセス (ZTNA)を使用するようになると予測しています。(Gartner、『Emerging Technologies: Adoption Growth Insights for Zero Trust Network Access (新興テクノロジ: ゼロ トラスト ネットワーク アクセスのための採用成長の洞察)』、G00764424、2022 年 4 月）

その理由の 1 つは、新型コロナウィルス感染症によるロックダウンの影響で、在宅勤務者のセキュリティを強化する企業の計画が加速したためです。また、多くのファイアウォール ベンダーは現在、製品に ZTNA 機能を組み込んでいます。

市場関係者の推測では、現在、Appgate から Zscaler まで、少なくとも 50 社のベンダーがゼロ トラスト アプローチに沿ったセキュリティ製品を提供しているとのことです。

AI がゼロ トラストを自動化

一部のゼロ トラスト環境のユーザーは、多要素認証が繰り返し要求されることに不満を表しています。この課題を一部の専門家は、機械学習による自動化の機会と見なしています。

例えば Gartner は、継続的でアダプティブなトラスト（CAT) と呼ばれるセキュリティ戦略に分析を適用することを提案しています。CAT (下図を参照) は、デバイス ID、ネットワーク ID、位置情報などのコンテキスト データをデジタルで真偽確認として使用することでユーザー認証を可能にします。

実際、ネットワークにはデータがあふれており、AI がリアルタイムで調査することでアクセス要求を自動的に評価してセキュリティを強化することが可能です。

NVIDIA の AI インフラストラクチャおよびサイバーセキュリティ エンジニアリング担当シニア マネージャーであるバートリー リチャードソン (Bartley Richardson) は次のように述べています。「私たちはネットワーク データの半分も収集、維持、観察していないのですが、そのデータには、ネットワークのセキュリティの全体像を形作るインテリジェンスが存在します。」

人間のオペレーターは、ネットワークが生成するすべての機密データを追跡することや、考えられるすべての脆弱性に対してポリシーを設定することはできません。しかし、AI を適用して疑わしいアクティビティがないかデータを精査し、迅速に対応することはできます。

オープンなAI サイバー セキュリティ フレームワークである NVIDIA Morpheus の開発を主導し、ゼロ トラストに関する技術ブログを共同執筆したリチャードソンは次のように述べています。「私たちは、データ センターのファブリック全体に機能する防御を備えた堅牢なゼロ トラスト環境を構築、自動化するためのツールを企業に提供したいと考えています」

NVIDIA は、Morpheus 向けに事前トレーニング済み AI モデルを提供しています。ユーザーは、サードパーティからモデルを選択するか、自分でモデルを構築することができます。

「バックエンドのエンジニアリングやパイプラインの作業は大変ですが、私たちにはその専門知識があり、皆さまに向けて設計することができます」とリチャードソンは言います。

この種の機能を、キンダーバーグ氏などの専門家たちはゼロ トラスト戦略の将来像の 1つと見なしています。

キンダーバーグ氏は 2014 年のレポートで、「セキュリティ アナリストが手作業で対応しようと思っても、難しすぎるし、非効率的です。システムの成熟度によって、信頼性の高い有用なレベルの自動化が実現可能になるのです」と記しています。

AI とゼロ トラストの原則について詳しくは、こちらのブログをご覧いただくか、以下の動画をご視聴ください。NVIDIA の DPU がゼロ トラストを実現する方法についての詳細は、こちらの技術ブログをご一読ください。

サイバーセキュリティについての詳細は、NVIDIA 技術ブログをご覧ください。