C-2：DX や新しい働き方に貢献するゼロトラスト｜Track C：クラウド・セキュリティ・運用｜atlax Forum 2021 Online 開催レポート｜atlax/アトラックス

セッション C-2：
DX や新しい働き方に貢献する
ゼロトラスト

～ atlax Forum 2021 Online - 開催レポート～

- 2022/01/24

[登壇者]　NRIセキュアテクノロジーズ株式会社　事業企画本部　ゼロトラスト事業企画部　大野剛

企業の DX 推進に伴うクラウドサービスの普及、コロナ禍でのリモートワーク（テレワーク・在宅勤務）の定着などから、情報資産の保管場所や働き方が多様化してきました。その結果、従来のセキュリティモデルでは、機能が不十分になってきています。

2021年12月8日、株式会社野村総合研究所（NRI）が開催した atlax Forum 2021 Online「トラック C：クラウド・セキュリティ・運用」のセッション「C-2： DX や新しい働き方に貢献するゼロトラスト」では、ニーズが急速に高まっている新たな解決策について、「ゼロトラストなセキュリティモデルとは何か」「どのように実現していけばよいか」といった切り口で、クラウドセキュリティ評価・対策・運用を専門とする大野剛が、事例をふまえてご説明しました。

セッション「C-2： DX や新しい働き方に貢献するゼロトラスト」の様子。

- セッション「C-2： DX や新しい働き方に貢献するゼロトラスト」の様子。

ゼロトラストが必要とされる背景

従来の働き方改革では、「いつでも（Anytime）」「どこでも（Anywhere）」「誰とでも（Anybody）」「どんなデバイスでも（Any Device）」「どんなアプリケーションでも（Any Application）」の 5つの要素を考慮した企業の働く環境（ワークプレイス）の構築が、検討されてきました。

コロナ禍により、そのワークプレイスの要望も変化しています。当初の働き方改革を想定したワークスタイルが急変した今、「クラウド利用の拡大」「データ量の増加」「スマートデバイスの利用」「テレワークによる社外の利用拡大」などの課題が顕在化。いずれも IT インフラ環境のアーキテクチャに起因するもので、従来のネットワークにおける境界で、社内と社外を分けて守るセキュリティ対策では、カバーできません。

ニューノーマルのリモート環境で発生する多くの課題は、IT インフラ環境のアーキテクチャに起因。

- ニューノーマルのリモート環境で発生する多くの課題は、IT インフラ環境のアーキテクチャに起因。

ゼロトラストアーキテクチャへの転換

そこで、ゼロトラストアーキテクチャへの転換が必要となります。ゼロトラストとは、ネットワーク環境における従来の「境界」という概念を捨て去り、「完全に信頼できるものは無い」ことを前提として、守るべき情報資産にアクセスするものは全て信用せずにその安全性を検証することで、情報資産への脅威を防ぐという、セキュリティの新しい考え方です。

クラウドに認証を構築することで、SaaS や社内システムをインターネットネイティブに利用可能にし、高い利便性を享受。また、ゼロトラストアーキテクチャによって、境界防御を前提とせず、インターネットネイティブにセキュリティを確保します。

ゼロトラストは「完全に信頼できるものはない」ことを前提に対策を講じるセキュリティの新しい考え方。

- ゼロトラストは「完全に信頼できるものはない」ことを前提に対策を講じるセキュリティの新しい考え方。

※ SaaS：Software as a Service の略称で、パッケージ製品として提供されていたソフトウェアを、インターネット経由のサービスとして提供・利用する形態のこと。

ゼロトラストアーキテクチャに必要な 5つのポイント

次に、ゼロトラストアーキテクチャが備える 5つのポイントを挙げ、ゼロトラストへの転換が、セキュリティと利便性を左右することを明らかにしました。

インターネットネイティブにセキュリティを確保するゼロトラストアーキテクチャ。

- インターネットネイティブにセキュリティを確保するゼロトラストアーキテクチャの 5つのポイント。

Point 1：認証・認可情報の一元管理（EIAM, IDaaS）

クラウド上の EIAM として、ID 管理システム（IDaaS）を活用し、統一したユーザ認証とシングルサインオン、権限制御を実現。社外に統合認証基盤を整備することで、クラウドサービスの利用やリモートワークが拡大しても、社内外の関係者との柔軟なコワークが可能になります。

※ EIAM：Enterprise Identity and Access Management の略称で、企業（Enterprise）内で使用するアプリケーションや、PC にログインする際のユーザ ID を一元的に管理する形態。企業における ID/アクセス管理や従業員向け認証基盤のこと。
※ IDaaS：IDentity as a Service の略称で、クラウド型の ID・アクセス管理ソリューションのこと。ID 管理システム。

Point 2：インターネット・クラウドアクセス制御（SWG, CASB）

Webサイトのアクセス制御（SWG）と、クラウドサービスのアクセス制御（CASB）を行い、ユーザのインターネットアクセスを制御・可視化。

※ SWG：Secure Web Gateway の略称で、URLやアプリケーションのフィルタリング、アンチウイルス、サンドボックスなどの機能を、クラウド上で提供するサービスのこと。
※ CASB：Cloud Access Security Broker の略称で、クラウドサービスの利用を可視化・制御するためのツールのこと。

Point 3：エンドポイントセキュリティ（EDR）

EDR を導入することで、未知のウイルスからの攻撃も検知したうえ、端末をネットワークから隔離し、ウイルスの拡散を防止。攻撃を受けた端末については追跡・調査も可能。

※ EDR：Endpoint Detection and Response の略称で、主にエンドポイント端末におけるインシデント発生後の対応を明確化・迅速化する機能を持つセキュリティ対策のこと。

Point 4：リモートアクセス（IAP）

IDaaS と連携した ID 認識型プロキシ（IAP）を利用することで、ID の認証・認可を行って「必要のあるものだけを許可する」仕組み。特定のアプリケーションへのアクセスに絞った制御が可能。

※ IAP：Identity-Aware Proxy の略称で、アイデンティティ（ID）認識型プロキシのこと。

Point 5：利用場所を問わない端末（DX-PC）

- 社内接続時はシンクラ端末として機能し、内から外への通信を遮断。オンプレ環境の機密情報の漏洩を防止。
- クラウドサービス・社内システムは、インターネットネイティブな環境で利用し、CASB/SWG・EDR により厳重にガード。
- 公衆 Wi-Fi や自宅 LAN などへの接続を遮断して、情報漏洩を防止。紛失時にはリモートワイプ。

※ リモートワイプ（remote wipe）：PC 等の端末に格納されているデータを、外部の管理システムの指示によって消去する機能や技術こと。

5つのポイント全てを活用して資産を守る

ゼロトラストアーキテクチャでは、先に挙げた 5つのポイント全てを活用して、企業ごとに最適な「アプリ」「インフラ」「セキュリティ」の構成を考慮し、情報資産を守ることに価値があります。全体構想を行うアーキテクチャ担当が、各専門領域の担当者と密に連携しながら、検討を進めることを推奨しています。

ゼロトラストアーキテクチャの運用課題

ゼロトラストアーキテクチャの運用は、管理対象やシステムが増加するに従って複雑化するため、統合化された運用（体制・ツール）が必要となります。統合化された体制やツールを駆使して課題を解決し、「アプリケーション・ユーザ・端末状況の一元管理と可視化（統合ログ監視）」「問い合わせ窓口（ヘルプデスク）の在宅・省人化」「リアルタイムな情報共有（統合情報共有）」といった強みに転じることができます。

統合化された体制とツールの利用でシステムの複雑化を解消。リモート化・省人化を実現。