次世代のセキュリティ戦略 ゼロトラスト・アーキテクチャ ビジネスゴールから逆算するパロアルトネットワークスのゼロトラスト【後編】

ステークホルダーを巻き込み段階的な導入を

神野：
ゼロトラストを具体化する際、「ネットワーク全体を抜本的に見直す必要はないか」との相談がよく聞かれます。他部門を巻き込みながら進めることになるため、心理的な負担も少なくないというのが私の印象です。何に留意して進めるべきでしょうか。

高鳥：
セキュリティを各要素ごとに個別課題として処理せず、組織が将来得たい姿、すなわちゴールを意識することです。ただし、全てを同時に実装することは難しいので、ゴール達成に向けた実装の方針となる一貫したアーキテクチャが必要だと思います。「対局的な戦略を描く」上ではネットワークとセキュリティ全体のアーキテクチャの構築に着手することが必要だと考えます。

ゼロトラストを実践するプロセスの途中では、これまで表面化していなかった社内の課題や、本来は対策を講じておくべき脆弱性が露呈することがあります。企業のセキュリティ担当者はこうした課題を、関係部署と密にコミュニケーションを取りながら解決していかなければなりません。ここで失敗をすると、社内のステークホルダーからの信頼を失ったり、関係部署の協力を得られなくなったりして、プロジェクト自体が頓挫してしまうからです。

染谷：
技術やソリューションを実装する際には、「その製品はゴール達成に必要なものか」を常に確認する必要があります。当たり前に聞こえますが、最初のゴール設定が曖昧だと、いつの間にか導入を検討しているツールの機能面に関心が移ってしまう。そして、最も機能がよく見える製品を選択した結果、ゴールから遠ざかってしまうというケースは少なくありません。ツールの導入はゴール達成の「手段」です。それ自体が目的化してしまっては、本末転倒です。

高鳥：
ゼロトラスト戦略を軌道に乗せるためには、経営層を巻き込みながらグランドデザインを描くことが大切です。そして、ゼロトラストのアプローチがビジネスゴール達成に向けて進んでいるのかを、継続的に評価する視点も求められます。従来のセキュリティ対策を主導してきたIT部門のみならず、経営層やビジネス部門がコミュニケーションをしながら、ゼロトラスト戦略を立案することが重要です。

ゼロトラスト・アーキテクチャ確立のアプローチ

神野：
ではここからは、実際にゼロトラスト・アーキテクチャを構築する上でのアプローチをお伺いします。

染谷：
パロアルトは、ゼロトラスト・アーキテクチャを確立するために3つのポイントでのアプローチを提唱しています。「End-to-Endでの全ての通信と状態の完全な可視化」「ポリシーとコンテキストに基づいた監視、制御、ログ」「AI/機械学習を活用した自律化、自動化された運用」です。

パブリッククラウド、SaaS（Software as a Service）、リモートワーク環境を含め、境界線なきデジタルインフラの通信と状態を、ユーザー、エンドポイント、ワークロード、アプリケーション、コンテンツの視点で可視化することがゼロトラスト実現に向けた絶対条件です。可視化された通信と状態を監視し、そのコンテキストをポリシーに照らし合わせて許可、拒否などの制御を行い、全てログとして記録する。その上で、迅速な対応と継続した改善に向けて、人工知能（AI）や機械学習を活用してセキュリティオペレーションを自動化させる。この3つがゼロトラストを実装する上での肝になると考えています。

高鳥：
ゼロトラスト・アーキテクチャを構築する上で最も留意してほしいのが「スコーピング（検討範囲の特定）」です。しつこいようですが、ゼロトラストは企業全体の戦略です。ですから、エンドポイント、ネットワーク、クラウドと個別に対策を講じるのではなく、パブリッククラウドやSaaSまで、自社が利用している全てのITリソースを検討範囲と捉えて、包括的なゼロトラスト・ネットワークの構築やポリシーの策定を進めることです。そしてトラフィックと状態の可視化、認証認可などにより、コンテキストに則ったポリシー（アクセス制御）がきちんと守られているかを監視し、運用を継続します。これが、パロアルトが考えるゼロトラスト・アーキテクチャ確立のためのアプローチです。