【金融機関向け】「ゼロトラストの現状調査と事例分析に関する調査報告書」（金融庁サイト）
金融庁における金融分野のサイバーセキュリティ強化の官民一体の取り組み中で、ゼロトラストの現状と事例分析に関する調査について、PwCあらた有限責任監査法人が受託し、報告書を取りまとめています。
NIST SP800-207 「ゼロトラスト・アーキテクチャ」の解説と日本語訳
2020-12-10
2020年8月、米国国立標準技術研究所（NIST）が「Special Publication（SP）800-207 ゼロトラスト・アーキテクチャ（以下、本書）」を正式公開しました。今回、PwCコンサルティング合同会社はNISTから翻訳の許可を取得し、日本語訳を公開することになりました（以下よりダウンロードいただけます）。
ゼロトラスト･アーキテクチャとは概念であり、また十分に成熟した領域とは言えないため、内容を正しく理解することは容易ではありません。ゼロトラスト・アーキテクチャは製品／ベンダーによって多様な実現方法があるのが実態ですが、対応したソリューションの1つを導入したとしても、ゼロトラスト・アーキテクチャを実現できる訳ではありません。
本書のポイントとして、ゼロトラストの定義や7つの理念を紹介している点が挙げられます。この定義と理念をNISTが整理したことで、ゼロトラストに関する共通認識形成が大いに促進されることが期待されます。2011年にNISTがクラウドコンピューティングを定義したことでクラウドが世界中に一気に普及したように、本書はゼロトラスト・アーキテクチャのグローバルスタンダードになり得る影響力を有する文書だと言えるでしょう。
また、本書の筆頭執筆者であるScott Rose氏に執筆にかける想いをインタビューで伺いましたので、その内容も以下で紹介しています。
NIST SP800-207 「ゼロトラスト・アーキテクチャ」の解説
まずは本書の概要を紹介します。主な対象読者は、組織のサイバーセキュリティ管理者、ネットワーク管理者などです。一部に米国に特化した章を含みますが、どの国の管理者も参考になる内容になっています。本書は無料でダウンロードが可能な50ページにわたる技術書であり、以下で構成されます。
最初に読んでいただきたいのは、「2章 ゼロトラストの基本」です。「ゼロトラスト」と「ゼロトラスト・アーキテクチャ（ZTA）」の用語の定義、前提条件、ゼロトラストの考え方（理念）など、基本的な概念が記載されています。
次に、ゼロトラスト・アーキテクチャの構成イメージを理解するため「3章 ゼロトラスト・アーキテクチャの論理的構成要素」、「4章 導入シナリオ／ユースケース」をご確認ください。これらの章では、ゼロトラスト・アーキテクチャが図を用いて説明されているため、理解の促進に役立つことでしょう。
また、「7章 ゼロトラスト・アーキテクチャへの移行」では、自社のセキュリティをゼロトラスト・アーキテクチャに移行するにあたってのヒントが書かれており、導入を検討している組織には非常に参考になる内容です。
ゼロトラストの考え方
NISTは、ゼロトラストの考え方を以下の7点にまとめています。概念的な内容ではありますが、根底に流れる理念を示したものであり、ゼロトラスト・アーキテクチャの構築を検討する上で非常に重要な内容です。
ゼロトラスト・アーキテクチャの特徴として一般的に「組織が持つリソースにあらゆるネットワークからのアクセスが必要な場合に用いられる」、「ネットワーク境界による静的（スタティック）なアクセスコントロールではなく、アクセスごとに動的（ダイナミック）に検証が必要」、「セキュリティ動作に関する情報を常に監視し、測定する」ことが挙げられますが、本書の7つの考え方は以下の通りリンクしていることが分かります。
- 組織が持つリソースにあらゆるネットワークからのアクセスが必要な場合に用いられる：①、②
- ネットワーク境界による静的（スタティック）なアクセスコントロールではなく、アクセスごとに動的（ダイナミック）に検証が必要：③、④、⑥
- セキュリティ動作に関する情報を常に監視し、測定する：⑤、⑦
また、本書では、ゼロトラストの中核となる論理コンポーネント、つまりネットワークアーキテクチャが図で表現されています。まず、アクセス要求元（ユーザー、アプリケーション、デバイス）は、「主体」（サブジェクト）と表現されています。主体が企業リソース（データやアプリケーション）にアクセスする際、ポリシー実施ポイント（PEP）を経由して、ポリシー決定ポイント（PDP）でアクセス許可が判断されます。アクセス承認後は、企業リソースに対して最小限のアクセス権限が提供されます。
本書の構成やゼロトラストの考え方、アーキテクチャのイメージを理解した上で、本書をご活用いただけると幸いです。
執筆者インタビュー
PwCコンサルティングは、本書の筆頭執筆者であるScott Rose氏に、執筆にかける想いを伺いました。
【本書を発行した目的を教えてください。】
企業のITアーキテクトやセキュリティの専門家が「ゼロトラストの原則」を理解する際に役立つガイドを作成したかったのです。ゼロトラストは、サイバーセキュリティにおいて発展途上の概念ではありますが、多くの企業や米国連邦政府の機関から、クラウドサービスやモバイル環境などへの高まるニーズへの解決策として注目されています。
本書をSP800シリーズとして公表した理由は、NIST SP 800-145（NISTによるクラウドコンピューティングの定義）やNIST SP 500-292（クラウドコンピューティングのリファレンスアーキテクチャ）と同じように共通認識形成の役割を提供するものと考え、特別刊行物（SP：Special Publication）として公表しました。
【本書の公開後、読者からの反応はいかがでしたか。】
肯定的な反応をいただいています。多くのITアーキテクトやセキュリティベンダーが、定義と概念の「共通言語」として本書を活用し始めています。これにより、ベンダーおよびユーザー側の管理者は、共通の定義と概念を使用できるようになります。例えばベンダーは、製品の役割について、本書を参照しながら以下のように説明することができます。
例）
- 本製品はポリシーエンジン（PE）またはポリシー実施ポイント（PEP）として機能します
- 本製品を使用して、マイクロセグメンテーションベースのゼロトラストソリューションを確立できます など
【日本の読者へのメッセージをお願いします。】
ゼロトラストに関して最初に覚えておくべきは「ゼロトラストは完全に新しい概念ではなく、長年にわたるサイバーセキュリティの考え方とアイデアが進化したもの」ということです。また、ゼロトラストは概念とアイデアの集合体であり、組織によってシステム構成が異なることから、単一のアーキテクチャにはなり得ません。ユーザーやシステムから学んだフィードバックに基づく絶え間ない改善も求められます。ゼロトラストに関連する概念や機能の役割を説明する際に本書を多くの方がご参照され、ご活用いただけることを願っています。
次世代のITインフラ‐ゼロトラスト・アーキテクチャ
6 results
Loading...
NIST SP800-207 「ゼロトラスト・アーキテクチャ」の解説と日本語訳
米国国立標準技術研究所が公開した「Special Publication（SP）800-207 ゼロトラスト・アーキテクチャ」の日本語訳を紹介します。
「次世代のITインフラ‐ゼロトラスト・アーキテクチャ」ゼロトラストの実現に必要な機能および構成の例
ゼロトラスト･アーキテクチャを構築するにはどのような手法を用いて、どう対応すればよいのか――。実現のための一般的なソリューションの例を紹介します。
「次世代のITインフラ‐ゼロトラスト・アーキテクチャ」ゼロトラストへの移行に際する検討・留意事項
「なぜ自社にゼロトラスト･アーキテクチャが必要なのか」を明確にしないと、必要性やコスト、人的負荷といったステークホルダーからの疑問に答えることができません。企業がゼロトラスト化を推し進める際の要諦について解説します。
Loading...
最新のサイバーセキュリティ＆プライバシー コラム・対談
20 results
Loading...
金融セクターに求められるセキュリティ規制対応―DORAとNIS2指令の関係
欧州におけるデジタル関連規制が急速に発展する中で、法令間の関係の適切な理解と効率的なコンプライアンス対応が課題となっています。金融セクターにおける「NIS2指令」と「DORA」への対応を事例として、課題へのアプローチを解説します。
各国サイバーセキュリティ法令・政策動向シリーズ （2）インド
各国サイバーセキュリティ法令・政策動向シリーズの第2回目として、インド政府のデジタル戦略と組織体制、セキュリティにかかわる法律および規則とその動向などについて最新情報を解説します。
中国ネットワークデータセキュリティ条例の概説――中国サイバー三法のアップデート
2025年1月1日から施行されている中国ネットワークデータセキュリティ条例では、中国サイバーセキュリティ法、データセキュリティ法、個人情報保護法の法執行の度合いを調整・明確化しており、中国で事業を展開する企業にとって注目すべき内容となっています。本稿では同条例の規定内容を解説します。
ソフトウェアセキュリティリスクに対応するSBOMを企業全体でどう活用するか
SBOMはソフトウェアに含まれる全てのコンポーネントを明確にし、セキュリティの透明性を確保するための基本的なツールです。法規制に基づく導入要求の背景、ソフトウェアサプライチェーンリスクの特性、 SBOM運用の課題、そしてどのようなアプローチが必要になるのかを解説します。
Loading...
