結局、ZTNA・SWG・CASBのどれが正解？ゼロトラストが「無理ゲー」に感じるワケ

ありがとうございます！
いいね！した記事一覧をみる

会員になると、いいね！でマイページに保存できます。

リモートワーク導入やクラウドサービスの普及など、企業のIT環境の変化が進んだことに伴い、サイバー脅威も多様化・複雑化している。そうした中で、有効な対策として注目を集めてきたのが「ゼロトラスト」だが、実際にゼロトラストを実現できている企業は少ない。そこで、本記事では米国国立標準技術研究所（NIST）が発行する「ゼロトラストのガイドライン」の重要な7つの原則と、それに乗っ取ったゼロトラスト実現の手順を解説する。

NISTが発行する「ゼロトラストのガイドライン」の7つの原則と、それに基づくゼロトラスト実現の手順を解説する

（Photo/Shutterstock.com）

大統領令も発令、いまゼロトラストが必要な理由

　これまでは、プロキシー・ファイアウォールやIPSなどを境界に設置して、外部の不正アクセスから社内を守る境界型セキュリティが主流であった。とはいえ、この対策は「守る対象が社内ネットワークに集約されている」という前提の対策であり、最近の企業の社内IT環境の変化を踏まえると、効果的な対策とは言えない。

　しかし、多くの企業のセキュリティ対策は、最新のIT環境に対応したものにアップデートできておらず、被害が増えてきているようだ。

　たとえば、「サイバーセキュリティに関連する海外の動き」（経済産業省）によると、SolarWinds社は「ネットワーク監視ソフトウェアのアップデートを悪用したマルウェア攻撃」を2020年に公表。米政府機関などを含む、最大約1万8000組織への影響が判明した。

　このようなサイバー攻撃の激化を背景に、連邦政府では「ゼロトラスト」への移行を加速させ、2021年5月に当時のバイデン米大統領は、大統領令14028「Improving the Nation's Cybersecurity（国家のサイバーセキュリティの強化）」に署名した。さらに、2022年2月には「米国政府のゼロトラストサイバーセキュリティ原則への移行」と題する覚書を発表。2025年9月末までの、ゼロトラスト移行を目指す。

　このような対応が求められるのは米国だけではなく、日本の民間企業も同様だ。それでは、日本企業はどのようにゼロトラストを実現すれば良いのだろうか。ここからは、NISTが発行する「ゼロトラストのガイドライン」のポイントや、実際にゼロトラストを実現する方法を解説する。

この記事の続き＞＞