
【金融機関向け】「ゼロトラストの現状調査と事例分析に関する調査報告書」(金融庁サイト)
金融庁における金融分野のサイバーセキュリティ強化の官民一体の取り組み中で、ゼロトラストの現状と事例分析に関する調査について、PwCあらた有限責任監査法人が受託し、報告書を取りまとめています。
2020-12-10
2020年8月、米国国立標準技術研究所(NIST)が「Special Publication(SP)800-207 ゼロトラスト・アーキテクチャ(以下、本書)」を正式公開しました。今回、PwCコンサルティング合同会社はNISTから翻訳の許可を取得し、日本語訳を公開することになりました(以下よりダウンロードいただけます)。
ゼロトラスト・アーキテクチャとは概念であり、また十分に成熟した領域とは言えないため、内容を正しく理解することは容易ではありません。ゼロトラスト・アーキテクチャは製品/ベンダーによって多様な実現方法があるのが実態ですが、対応したソリューションの1つを導入したとしても、ゼロトラスト・アーキテクチャを実現できる訳ではありません。
本書のポイントとして、ゼロトラストの定義や7つの理念を紹介している点が挙げられます。この定義と理念をNISTが整理したことで、ゼロトラストに関する共通認識形成が大いに促進されることが期待されます。2011年にNISTがクラウドコンピューティングを定義したことでクラウドが世界中に一気に普及したように、本書はゼロトラスト・アーキテクチャのグローバルスタンダードになり得る影響力を有する文書だと言えるでしょう。
また、本書の筆頭執筆者であるScott Rose氏に執筆にかける想いをインタビューで伺いましたので、その内容も以下で紹介しています。
まずは本書の概要を紹介します。主な対象読者は、組織のサイバーセキュリティ管理者、ネットワーク管理者などです。一部に米国に特化した章を含みますが、どの国の管理者も参考になる内容になっています。本書は無料でダウンロードが可能な50ページにわたる技術書であり、以下で構成されます。
最初に読んでいただきたいのは、「2章 ゼロトラストの基本」です。「ゼロトラスト」と「ゼロトラスト・アーキテクチャ(ZTA)」の用語の定義、前提条件、ゼロトラストの考え方(理念)など、基本的な概念が記載されています。
次に、ゼロトラスト・アーキテクチャの構成イメージを理解するため「3章 ゼロトラスト・アーキテクチャの論理的構成要素」、「4章 導入シナリオ/ユースケース」をご確認ください。これらの章では、ゼロトラスト・アーキテクチャが図を用いて説明されているため、理解の促進に役立つことでしょう。
また、「7章 ゼロトラスト・アーキテクチャへの移行」では、自社のセキュリティをゼロトラスト・アーキテクチャに移行するにあたってのヒントが書かれており、導入を検討している組織には非常に参考になる内容です。
NISTは、ゼロトラストの考え方を以下の7点にまとめています。概念的な内容ではありますが、根底に流れる理念を示したものであり、ゼロトラスト・アーキテクチャの構築を検討する上で非常に重要な内容です。
ゼロトラスト・アーキテクチャの特徴として一般的に「組織が持つリソースにあらゆるネットワークからのアクセスが必要な場合に用いられる」、「ネットワーク境界による静的(スタティック)なアクセスコントロールではなく、アクセスごとに動的(ダイナミック)に検証が必要」、「セキュリティ動作に関する情報を常に監視し、測定する」ことが挙げられますが、本書の7つの考え方は以下の通りリンクしていることが分かります。
本書の構成やゼロトラストの考え方、アーキテクチャのイメージを理解した上で、本書をご活用いただけると幸いです。
PwCコンサルティングは、本書の筆頭執筆者であるScott Rose氏に、執筆にかける想いを伺いました。
【本書を発行した目的を教えてください。】
企業のITアーキテクトやセキュリティの専門家が「ゼロトラストの原則」を理解する際に役立つガイドを作成したかったのです。ゼロトラストは、サイバーセキュリティにおいて発展途上の概念ではありますが、多くの企業や米国連邦政府の機関から、クラウドサービスやモバイル環境などへの高まるニーズへの解決策として注目されています。
本書をSP800シリーズとして公表した理由は、NIST SP 800-145(NISTによるクラウドコンピューティングの定義)やNIST SP 500-292(クラウドコンピューティングのリファレンスアーキテクチャ)と同じように共通認識形成の役割を提供するものと考え、特別刊行物(SP:Special Publication)として公表しました。
【本書の公開後、読者からの反応はいかがでしたか。】
肯定的な反応をいただいています。多くのITアーキテクトやセキュリティベンダーが、定義と概念の「共通言語」として本書を活用し始めています。これにより、ベンダーおよびユーザー側の管理者は、共通の定義と概念を使用できるようになります。例えばベンダーは、製品の役割について、本書を参照しながら以下のように説明することができます。
例)
【日本の読者へのメッセージをお願いします。】
ゼロトラストに関して最初に覚えておくべきは「ゼロトラストは完全に新しい概念ではなく、長年にわたるサイバーセキュリティの考え方とアイデアが進化したもの」ということです。また、ゼロトラストは概念とアイデアの集合体であり、組織によってシステム構成が異なることから、単一のアーキテクチャにはなり得ません。ユーザーやシステムから学んだフィードバックに基づく絶え間ない改善も求められます。ゼロトラストに関連する概念や機能の役割を説明する際に本書を多くの方がご参照され、ご活用いただけることを願っています。
金融庁における金融分野のサイバーセキュリティ強化の官民一体の取り組み中で、ゼロトラストの現状と事例分析に関する調査について、PwCあらた有限責任監査法人が受託し、報告書を取りまとめています。
米国国立標準技術研究所が公開した「Special Publication(SP)800-207 ゼロトラスト・アーキテクチャ」の日本語訳を紹介します。
ゼロトラスト・アーキテクチャを構築するにはどのような手法を用いて、どう対応すればよいのか――。実現のための一般的なソリューションの例を紹介します。
「なぜ自社にゼロトラスト・アーキテクチャが必要なのか」を明確にしないと、必要性やコスト、人的負荷といったステークホルダーからの疑問に答えることができません。企業がゼロトラスト化を推し進める際の要諦について解説します。
SDV(Software Defined Vehicle)の普及に向け、日本の自動車産業は「4つの領域」における取り組みが求められています。各領域で対応が必要となる「ビジネス戦略」と「サイバー脅威」、および「望ましいサイバーセキュリティの未来」について、PwCの知見と公開情報をもとに解説します。
社会のデジタル化が進展する中、サイバーリスクも増加しています。連載シリーズ「望ましいサイバーセキュリティの未来」では各業界における新たなサイバーリスクと、その対策を講じる際の「あるべき将来像」について解説します。
オーストラリアサイバーセキュリティ法では、製品セキュリティにかかるセキュリティスタンダードへの準拠義務や身代金支払い報告義務などが定められています。製造業者や販売者の義務と、対応を効率化するためのアプローチについて解説します。
「能動的サイバー防御」を議論していた政府の有識者会議は、2024年11月29日に法制化に向けた提言をまとめました。提言の背景や概要について解説します。