ゼロ・トラストネットワークとは、最近サイバーセキュリティの分野で注目されている考え方です。

今回は、2020年に入り、新型コロナウイルスの影響によってリモートワークやリモート制御という考えが浸透し、ますますインターネットへの依存度が高くなる中で、注目されている「ゼロ・トラスト」という考え方についてご紹介します。

ゼロ・トラストネットワークの思想

トラスト（Trust）＝信頼という意味であり、ゼロ・トラストとは何も信頼しないという考え方です。

これまで企業のネットワークは大きく分けて外部ネットワーク（インターネット）と内部ネットワーク（LAN）に分けて管理されてきました。

外部から内部へのアクセスはファイアーウォールによって厳格に管理されており、自由にはアクセス出来ないようになっています。
一方で、内部ネットワーク内での通信は、何かによって管理はされておらず自由にどの端末へもアクセス可能なネットワークが存在します。なぜなら、内部ネットワークに存在する端末は信頼された端末であるという考えがあるからです。

しかし、残念ながらその考え方は大きなセキュリティ事件を引き起こすきっかけになってしまいます。
例えば、2015年に発生した日本年金機構の情報流出事件では、職員がコンピュータウイルスが添付されたメールを開いてしまったことで端末がウイルスに感染し、その端末を経由して個人情報を管理するシステムへアクセスされ、結果的に個人情報が流出しました。

こういった事件を防ぐために、ゼロ・トラストネットワークでは、内部の端末であっても信頼しないという考えのもと、個々の端末ごとにアクセス可能なデータや、その操作権限を細かく管理しています。

ゼロ・トラストネットワークの導入を阻むもの

個々の端末や利用者ごとにアクセス可能な端末やデータを管理し、権限を制限できるとなると、万が一内部へ侵入を許した場合においても、その被害を最小限に留める事が可能になります。

しかし、その「万が一」を考える事が苦手な組織も存在します。
例えば、システム担当者が「万が一」内部への侵入をされた場合の対策として、ゼロ・トラストネットワークを取り入れようとした場合に、その「万が一」がないようにするのが、システム担当者の責任だろうと叱咤される場合があります。

このような、管理者がしっかり管理すれば良いという考え方はセキュリティ対策において非常に危険です。

いくら対策をしっかりしたとしても、100%安全なシステムなど存在しません。
また、日本年金機構の情報流出事件のように、内部の端末が原因で発生するセキュリティ事故においては、管理者ではなく利用者のミスである事が多々あります。いくら、ポリシーを設定し教育を行ったとしても、パスワードの漏洩や、ウイルスの感染を0にすることは難しいでしょう。

そもそも、侵入を防ぐ事と、侵入された場合の対策は、全く別の話であり、どちらか一方を選択するものではありません。
リスクマネジメントの観点から考えると、両方の対策を行った方が、組織が重大なセキュリティ事故を起こす可能性はかなり低くなるでしょう。重大な事故を起こした場合の信頼の損失を考えると、やはりゼロ・トラストネットワークの思想は今すぐ取り入れ、少なくとも導入の検討をしたほうが良いでしょう。

事故は、明日起こるかもしれません。

利便性との兼ね合い

一方で、利用者ごと、端末ごとに、細かくアクセス権限や操作権限を設定するとなると、その管理は非常に複雑になります。

それに関しては、最近ではゼロ・トラストネットワーク向けの製品やサービスが多く登場していますので、それらを活用し管理するのが有効です。

コロナ禍において、VPNなどをつかった外部から社内ネットワークへのアクセスや、外部からの社内システムのリモート制御を活用する機会が増えています。

このような状況だからこそ、管理者がしっかりすれば良い、利用者が注意して利用すれば良いといった「人への依存」から早く脱却し、なるべく人に依存しない仕組み（システム）を作る事が大切です。

これは、セキュリティ対策のみならず、組織を維持していく上でさまざまな場面において必要な考え方だと思います。

ゼロ・トラストという言葉は「何も信頼しない」という意味ですが、その本質は「何かに依存しない」というスマートな考え方に繋がるのだと思います。