次世代のセキュリティ戦略 ゼロトラスト・アーキテクチャ 「動的ポリシー」で境界防御モデルの限界を克服する、マイクロソフトの「ゼロトラスト」

境界防御モデルのセキュリティ対策では守れない

神野：
まず始めに、マイクロソフトが考える「ゼロトラスト」の世界観を教えてください。

花村：
マイクロソフトのゼロトラストは、「決して信頼せず、常に検証する」という考え方を基本としています。ユーザーが利用しているデバイスや付与したユーザーIDを、外部との「境界（ペリメーター）」として捉えています。そして、デバイスやユーザーIDに対するアクセス権限確認を、動的なポリシーの制約内で認可するアプローチを採用しています。

山野：
従来のセキュリティ対策は、社内ネットワークとインターネットの間に境界線を引き、社内の安全性を高める「境界防御モデル」でした。しかし、近年は攻撃が高度化・多様化しており、「境界の壁を高く＆分厚くすれば防御できる」という考えでは通用しません。そもそも、ハイブリッドクラウドやマルチクラウドの環境下では「境界の内と外」という概念が無くなっています。こうした環境では、守るものの構成単位をネットワークのような大きな単位にするのではなく、最小限にしていく必要があります。つまり、デバイスやユーザーIDを「境界」と捉えることで、ネットワーク環境に依存しないセキュリティが実現できるのです。

小町：
ゼロトラストアプローチでもう1つ重要なのが「自動化」です。セキュリティリスクを評価し、信頼性に基づきアクセスを制御するためには、担当者のマンパワーだけでは負担が大きくなってしまいます。セキュリティポリシーを自動的に設定／変更する「動的なポリシー」が不可欠です。

神野：
ポリシーを動的に運用する場合、何を判断基準にしてポリシーを設定／変更しているのでしょうか。

小町：
各デバイスやユーザーIDのステータスです。これまでシステムにログインする場合は、IDとパスワードが合致していればアクセスできました。しかし、IDとパスワードが合致しても、アクセスしているユーザーが（そのIDを付与されている）本人だとは限りません。現在、IDとパスワードのセットはダークウェブで簡単に入手できます。不正アクセスを避けるためには、そのIDとパスワードが「闇市場」で流通していないかどうかを確認する必要があります。万が一、既に流出しているIDとパスワードであれば、追加の認証要素（多要素認証）を強制したり、パスワードの変更要求をしたりしてセキュリティレベルを引き上げるのです。

山野：
各デバイスやユーザーIDという「アクセス元（サブジェクト）」と、アプリケーションや情報資産である「アクセス先（オブジェクト）」をひも付けて、そのアクセス権を動的にコントロールするのがゼロトラストのアプローチです。つまり、「このデバイスは危険だからアクセスをブロックしよう」「このIDはややリスクがあるが機密度がそれほど高くないアプリケーションに対するアクセスなので許可しよう」という具合です。

神野：
コンテキストベースの認証が優れていることは理解しつつも、動的なポリシーを適用すると過検知や誤検知が多くなるのではないか、と懸念されるお客さまもおられます。その点はいかがでしょうか。

山野：
過検知・誤検知の弊害は、セキュリティ担当者の負荷が上がることと、本当に対応しなければいけないインシデントを見逃すことです。こうした事態を回避するためにも先程小町が説明したような「自動化」が重要になるのです。

花村：
マイクロソフトでは、セキュリティ運用の自動化ソリューションである「SOAR（Security Orchestration, Automation and Response：セキュリティ対応のオーケストレーションと自動化）」を活用しています。複数のセキュリティ機器が検知した脅威情報を一つのプラットフォームに統合し、フィードバックシステムを利用して正しい情報を蓄積することで、過検知・誤検知を削減しています。

実は、マイクロソフトは、米国国防総省に次いで世界で2番目に多くのサイバー攻撃を受けていると言われている組織です。これは、視点を変えれば攻撃者の「手の内を知る」情報を大量に収集できているとも言えます。攻撃されれば、必ずその痕跡が残ります。そうした攻撃データを機械学習や人的リソースを使って分析し、セキュリティインテリジェンスとしてお客さまの支援に役立てています。

小町：
過検知・誤検知をゼロにすることは不可能です。しかし先ほど述べたように、検知されたアラート全てにSOC（Security Operation Center）が対応するとなると、SOCのセキュリティ対策担当者の負担は相当なものになってしまう。ですから、機械学習やクラウドを活用して脅威への対応プロセスを自動化したり、セルフサービス機能を活用したりして、セキュリティ担当者の負荷を低減する。ゼロトラストにおいてはこうしたアプローチが重要になります。

ゼロトラスト導入をきっかけにオンプレミス環境の見直しを

神野：
クラウドを中心にSaaS（Software as a Service）を導入している企業ならば、ゼロトラストの導入もスムーズに進むと考えられます。しかし、スクラッチで開発した古いシステムをオンプレミス環境で利用している企業にとっては、ゼロトラスト導入のハードルは高い。こうした会社はどのようなアプローチでゼロトラストを導入すべきでしょうか。

山野：
現在、オンプレミス環境で運用しているシステムに対し、SaaSと同じように動的なポリシーでアクセス制御を行うアプローチは現実的ではないと思います。まずはオンプレミス環境をクラウドに移行し、クラウド環境でのアクセスを制御する手段としてゼロトラストを導入するというステップが妥当でしょう。

小町：
オンプレミス環境では、従来通りの「内と外」というセキュリティ対策を講じながら、クラウド環境にはゼロトラストを導入するという「並行型」で実施するのがよい方法だと感じています。

花村：

根本的なことを言えば、オンプレミス環境で運用しているシステムを今後も使い続ける必要があるのかを再考することも重要です。例えば、過去に導入したERPソリューションがアップグレードできず、現在はメンテナンスできる人材がいない「お荷物システム」になっているのであれば、徐々にシステムを停止させるという選択肢もあり得ます。

これからの「ニューノーマル時代」に対応するためには、生活様式だけではなく新しい働き方に合わせたシステムの見直しが必要です。これを機会に「オンプレミスで運用しているシステムは本当に必要なのか」を、ゼロベースで考える必要があるでしょう。

神野：
マイクロソフトは全てのレイヤーでゼロトラストを構成するソリューションを持たれていますが、同時に「ゼロトラストは目的ではない」ことも明言されています。こうした理念は私たちPwCとしても非常に共感できるところです。

荒井：
企業の目的は、従業員に対して柔軟な働き方を提供し、生産性を向上させてビジネスを成功に導くことだと考えています。お話を伺って、「その『手段』としてゼロトラストが最良であれば、ゼロトラストを導入しましょう」というのが適切なアプローチであると実感しました。本日はありがとうございました。