ゼロトラスト(Zero Trust, ZT)は、長らくセキュリティモデルのデファクトスタンダードであった、「境界型セキュリティモデル」のカウンターとして、また、クラウドサービスや、スマートデバイス、BYODなどによってもたらされた「どこでもいつでも」というワークスタイルでも、強固なセキュリティを維持するために、生み出されました。さらに、今年に入ってからの「新型コロナウイルスの流行」が、これに拍車をかける形となり、大きな注目を浴びています。

もとのパラダイムや、その考えに基づくZero Trust Architecture (ZTA)が、企業向けのセキュリティシステム全体をスコープとしているため、ネットワーク機器のようなハードウェアから、クラウドサービスのようなソフトウェアまで、広範囲のレイヤーのベンダーがゼロトラストをうたった製品を出しています。ただ、ゼロトラストに関する理解があやふやだと、その製品がどういう意味で「ゼロトラスト」なのか分からないという感じもあります。

世の中で喧伝されるゼロトラストのモデルは、そのパラダイムに則った理想的な世界を表しています。一方で、我々は、長く常識とされてきた「境界型セキュリティモデル」に根ざした機器やサービスをつかって、セキュリティを維持しています。今この記事を読んでいる端末がつながっているネットワークは、企業LANに属していて、インターネットからは、境界をもって隔絶されていることでしょう。内側からは、特定のプロキシサーバを経由して、特定の領域にしかアクセスできないかもしれません。外側からは、特定のIPアドレスから、特定のポートだけアクセスを許可し、それも、DMZまでだけであったりします。このように「内側」と「外側」を境界で分けて、極少数の「信頼される(Trusted)」アクセスのみを許すセキュリティが、「境界型」です。

そのような環境に、いきなり全面的に「ゼロトラスト」を持ち込むことは、困難です。境界をなくして、全てのリソースについて、都度認証・認可を確認するというのは、現実的ではないでしょう。では、このパラダイムをどのように現場に適用し、そのメリットを享受すれば良いのでしょうか。

ゼロトラストと境界型セキュリティは、考え方は違いますが、混在させることが可能です。むしろ、多くの組織では、ゼロトラストの部分適用と段階的な移行でメリットがある場合が多いと思います。

例えば、ある組織で、全ての情報資産を境界の中に置いていたとします。しばらくすると、物理サーバの保守切れに伴い、OSを仮想化し、IaaS上に配置することになりました。IaaSと自社データセンターは、専用のネットワークで接続され、インターネットには出ていません。この状態では、境界型のままです。また時が経ち、今度は、オンプレミスのシステムの一部をSaaSに置き換えることになりました。コスト面でのメリットもありますし、より高機能だったためです。SaaSはインターネット上で展開されていますが、重要な情報資産がインターネットを通るのは、「なんとなく不安」だったために、会社の拠点からのアクセスのみに制限することにしました。リモートのユーザは、VPNを経由して拠点からアクセスするという形です。この状態でも、まだ境界型と言えるでしょう。

さらに時間が経過すると、多くのサービスが、SaaSとして安価に提供されるようになっています。データセンター内に配置されたオンプレミスのサービスは、陳腐化し、コストに見合わなくなります。サービスのベンダーもクラウドにシフトし、オンプレミスサービスの機能は更新されないままになり、いつしか、サポート終了します。そして、SaaSが提供するサービスはより高度化するにつれて、要求されるネットワーク帯域も大きくなります。拠点からのアクセスはまだ良いかも知れませんが、VPNの帯域はいつもいっぱいです。働き方改革、コロナ禍を経て、テレワークが急速に増え、VPNを経由したSaaSの利用は限界を迎えました。もう、境界を維持する事が出来なくなっていると言えるでしょう。

ここで、ゼロトラストの出番です。すでにいくつも使われているSaaSを、VPNを経由せずにインターネットでそのまま利用できるようにします。インターネットのような誰も信用できないネットワークにおいても、アクセスする人に対して、「その人が誰で(認証)」、「その情報にアクセスが許可されているか(認可)」を確認し、利用を許可するようにします。そのためのサービスとして、IDaaSを利用します。多くのSaaSは、認証を他のサービスに任せることができるようになっています。任された認証は、IDaaSが一手に引き受けます。IDaaSには、どの人がどのリソースにアクセス可能であるかを定義しておきます。IDaaSが提供する認証認可は、物理的な位置や、ネットワーク、サービスが複雑で、曖昧になってしまった境界に影響されることなく、管理対象のリソースに対してアクセス権があるかどうかを常に確認することにより、セキュリティを維持します。

ただ、この組織がもつすべての情報資産が、ゼロトラストで守られているわけではありません。データセンター内にあるSaaSや、IaaSに出していないサービス、ファイルサーバなどは、境界型セキュリティで守られたままかも知れません。しかし、すべてをゼロトラストで管理しなければいけないものでもありませんし、そうするべきでもありません。BYODやテレワークで利用したいというニーズがない情報資産であれば、境界型のまま維持するのも一つの選択肢です。「明確な境界」を定義することが出来、境界の守りが鉄壁であれば、まだ有効なセキュリティモデルです。ただし、ラテラルムーブメントのような境界型につきもののリスクについては、考慮する必要があります。多要素認証を使うなどで、境界を突破されにくくすることと、リソースに対するアクセス権を必要最小限にしておくことで、突破された場合でも被害を最小にすることができます。

Gluegent Gateは、弊社が提供するIDaaSです。豊富なID源泉に対応するID管理や、多くのサービスに対応するプロビジョニング、柔軟で強固なセキュリティを提供する認証認可、高度な利便性を提供するシングルサインオンなど、ゼロトラストの中心的な役割を担う、IDaaSとして、必要十分な機能を備えています。2011年に提供を開始したGluegent Gateは、多くのお客様に高いセキュリティと利便性を提供し続けています。ゼロトラストの文脈においても、二段階認証や、端末証明書等により、信頼されないネットワークにおいても十分安全なセキュリティを提供します。正しく許可された人だけに確実にアクセスを提供することが可能です。

また、Gluegent Gateは、IDの源泉として、外部のADやLDAPサーバを利用することもできます。これにより、ID源泉を境界の中に置いておいたとしても、境界の中でも外でも統合されたIDの管理が可能となります。上で述べたようなハイブリッドな構成であったとしても、柔軟に対応できます。

システムの構成は、それぞれの組織で千差万別といえますが、ほとんどのシステムは「境界型」で守られていることでしょう。しかし、我々利用者を含め、システムを取り巻く環境は大きく変わってきています。伝統的な「境界型セキュリティ」だけで組織の情報資産を守るよりも、ゼロトラストの概念を持ち込み、多くのニーズやより高い価値のために構成を変えていくことが、組織のチカラにつながります。コロナ禍の世界的に厳しい状況で、競争力を維持し、さらにビジネスを加速させるために、変化することを選択する時です。