「ゼロトラスト」とは

あなたが大きなオフィスで働いていると想像してみてください (想像する必要はないかもしれません)。企業、政府、法人、非営利などは関係ありません。ここで、何らかの文書を同僚に手渡し、署名して返送する必要があると想像してください。この手順を実行する理由は重要ではないため、シナリオを作成してください。ただし、どのような状況であっても、この文書はハードコピー形式で提供され、物理的に署名される必要があります。さて、これですべて理解できましたか? これがどのように展開するかを考えてみましょう。

シナリオ 1: 100% の信頼

あなたがこの文書を個人的に手に取り、廊下を歩いて同僚のデスクまで歩き、その文書を手渡し、彼らが署名するのを見て、それを受け取るところを想像してみてください。これが、プロセスに対して 100% の信頼がある状態です。仲介者は存在せず、文書が常に視界から消えることはなく、曖昧さや不確実性が存在する余地はありません。

シナリオ 2: 適度に良好な信頼

ここで、少し複雑な話を加えましょう。あなたは大物です。自分で廊下を歩くのではなく（そんな時間がある人がいるでしょうか？）、管理アシスタントに渡します。彼らはその書類を廊下に運び出します。もしかしたら、同僚の管理者にそれを渡す可能性もあります。そして、署名後にそのプロセスが元に戻ります。

このシナリオでは、いくつかの仲介者がいます。しかし、これらの仲介者は非常に信頼できます。彼らは常に存在する非常に有能な管理者です。また、文書がフロアや建物の外に持ち出されることがないため、何も問題が発生する可能性はないと確信できます。これは「適度に良好な」信頼のシナリオです。サイバー セキュリティでは、これを現在「境界セキュリティ モデル」として知られているものに例えることができます。このモデルでは、コンピューター ネットワークは、上で説明したオフィスのような、閉じた内部システムとして機能するように設計されています。情報は一連の内部仲介者を使用してネットワーク上の個々のシステム間で受け渡されますが、情報が (仮想) 建物の外に出ることはありません。内部ネットワークが安全である限り、その情報も安全です。ライバルのために実際にあなたをスパイしている、密かに邪悪な管理者がいる可能性はありますか? もちろん、それは理論上の可能性です。同様に、セキュリティの境界モデルでは、ネットワーク内のデバイスが侵害される可能性があります。しかし、その境界を適切に保護できれば (私たちのたとえで言うと、管理者を雇用するのが適切です)、リスクは低くなり、ネットワークが安全であるという合理的な信頼を持って運用できます (管理者が安全にアクセスできると合理的に信頼するのと同じです)書類を交付します）。少なくとも、それが理論です。これについては後ほど説明します。それが理論です。これについては後ほど説明します。それが理論です。これについては後ほど説明します。

シナリオ 3: ゼロトラスト

では、さらに複雑にしてみましょう。この文書に署名してもらう必要がある同僚は、あなたの建物で働いていません。あなたは、地域、国、世界中にたくさんのオフィスを持つ巨大な組織で働いています。あなたの同僚は全く別の施設にいます。ドキュメントをその施設に届けるために、管理者はメッセンジャー サービスを呼び出します。メッセンジャー サービスが建物を訪問し、管理者から文書を受け取って立ち去ります。結局、メッセンジャー サービスの別の代表者が同僚が働いている建物に現れます。彼らはその文書を建物の保安検査場を通過し、同僚が働いているフロアまで運び、フロントデスクの受付係を通って同僚の管理者に渡します。ここで「社内システム」の話に戻ります。文書が署名されると、メッセンジャー サービスを通じてプロセスが逆に戻ります。建物のセキュリティと、フロアのフロントデスクの受付係。より多くの人がこの文書に触れ、プロセスの途中に巨大なブラック ボックスを挿入しました。文書がメッセンジャー サービスにある間に何が起こるのでしょうか? このメッセンジャー サービスをまったく信頼していないわけではありません (そうでないなら、なぜ彼らを雇う必要があるでしょうか?)。しかし、彼らに対してどれほどの信頼を持っていたとしても、彼らの内部プロセスを可視化することはできません。どのように分類し、優先順位を付け、配達を処理しますか？すべて自社で行うのでしょうか、それとも追加の仲介業者や下請け業者がいますか? あなたのドキュメントを所有している間に、メッセンジャー サービスでそのドキュメントにアクセスできる人は何人いますか? 文書処理に関する社内ポリシーは何ですか? 採用・選考プロセスはどのようなものですか？おそらく管理者はこのことをある程度知っているか、法務チームやパートナー関係チームは知っているかもしれませんが、あなたは知らないと思います。

これがゼロトラストの様子です。それは、ブラックボックスのような関係者に依存しています。メッセージを送信すると、それが向こうから飛び出すことはわかっていますが、その間に何が起こるのかはわかりません。コンピューター セキュリティにおいて、これは、クラウドで実行されるシステムや、オープン インターネットを通過する必要があるトラフィックに似ています。リモートで行われる作業が増えるにつれ、特に従業員が遠隔地からアクセスできる必要がある場合、電子メールから社内データベース、CRM、プロジェクト管理ツール、ドキュメント ドライブなどに至るまで、この説明に当てはまるシステムがますます増えています。このアナロジーにおけるメッセンジャー サービスは、これらのサービスをホストしたり、サービスとの間で情報をやり取りしたりするクラウドおよびインターネット サービス プロバイダーです。

なぜこれをゼロトラストと呼ぶのでしょうか? 明らかに、私たちはこれらのクラウド プロバイダーやインターネット サービス プロバイダーの少なくとも一部を少なくとも少しは信頼しています (そうでなければ、私たちはそのサービスを使用しないでしょう)。しかし、その信頼にはいくつかの注意点があります。一部のプロバイダーを使用していることさえ私たちは知らないかもしれません (私たちのメッセンジャー サービスには、私たちが気づいていない都市間の移動についての下請け契約があると想像してください)。使用してください（つまり、ローカルのインターネットプロバイダーが独占している可能性があります）。プロバイダーに対してある程度の信頼を持っている場合でも、その内部プロセスを管理したり完全に理解したりすることはできず、そのブラックボックス効果により、いくつかの懸念が残るはずです。メッセンジャー サービスのたとえを思い出してみると、発生する可能性のある「脅威」がいくつかあります。

1. メッセージング サービスが私たちの文書を処理する過程で、誰かがそれを読み、機密情報を知ります。彼らは自分自身の利益（おそらくインサイダー取引）のため、または他人の利益（企業スパイ活動）のためにそれを行う可能性があります。
2. メッセージング サービスによる文書の処理中に、誰かがその意図や効果を変えるような悪意のある変更を文書に加えました。たとえば、文書にどこかに送金するための指示が含まれている場合、その指示を変更して自分の銀行口座を宛先として含めます。
3. 私たちがこのメッセージング サービスを使用していることを知っている誰かが、あなた (または別の同僚) からのメッセージを装って、そのサービスを通じてあなたの同僚にメッセージを送信し、行動を起こすように促します。言い換えれば、古典的な（しかしおそらくより洗練された）詐欺です。

最初の 2 つの懸念には、かなり簡単な軽減策があります。メッセンジャー サービスに例えると、文書に機密事項や機密性の高いものが含まれている場合、改ざんが明らかになる方法で文書を封印するか、文書に何らかのコードを書き込むことができます。私たちは物理的な文書でこれらの両方を行う方法を古くから知っており、これらの戦術のいずれかまたは両方を使用すると、受信者に気付かれずに送信中に文書を読んだり変更したりすることがはるかに困難になります。これらの考え方は、コンピュータ セキュリティにも容易に応用できます。暗号化はコードを記述することと同等であり、暗号化の「署名」は改ざんを明らかにするために文書にシールを押すことと同等です。

最後のシナリオ (誰かが私たちになりすます) は、ゼロトラスト ネットワーキングの主な懸念事項の 1 つです。文書の例えで言えば、私たちのビジネスは、これに対してある程度の保護を提供する慣行を開発する可能性があります。つまり、受取人に、誰々からのこれこれの日に配達されることを期待していることを警告し、送信者に電話して内容の詳細を確認することです。文書とその指示、保管証跡を作成するためのサインインとサインアウト、送信者と受信者を確認するために両端に写真付き身分証明書の要求など。これらのいくつかは、セキュリティを向上させ、セキュリティを向上させるためにメッセージング サービス自体によって採用されている対策である可能性があります。私たちの信頼レベル。

ゼロトラスト コンピュータ ネットワークでは、強力な「相互認証」の方法に依存しています。誰かがゼロトラストによって保護されたシステムにログインするとき、私たちはその人が本人であるという言葉を鵜呑みにせず、多要素認証を使用して証明させ、サインインなどの不審な兆候がないかチェックします。彼らが普段働いている国や世界の反対側の場所から。また、接続しているシステムが彼らが思っているものであるという言葉を鵜呑みにすることもありません。システムは、それが正しいシステムであることをユーザーに示す「証拠」 (通常は証明書と呼ばれるものを使用します) を提供します。これは通常、「透過的に」行われます。つまり、何か問題がある場合にのみユーザーに通知されます。システムが相互に通信するときも同様のプロセスに従い、それぞれが他のシステムにその身元を証明します (繰り返しますが、証明書を使用します)。これにより、これら 2 つのシステムの間には、その間を流れる情報を読み取ったり変更したりする人は誰もいないという確信が得られます。

ゼロトラストの制限事項

ゼロトラストの概要は次のようになります。すべてを暗号化して署名し、全員を強力に認証します。これにより、外部の悪意のある行為者が当社に対して「メッセージング サービス」を使用しようとする試みに対して、非常に強い耐性を持つネットワークが実現します。このゼロ トラスト アーキテクチャは、絶対確実というわけではありません (攻撃者に十分な時間と決意があれば、最終的には侵入する道を見つけるでしょう) が、ほとんどの外部攻撃に対して非常に堅牢です。

これには潜在的な欠点が 1 つあります。それは、内部の脅威がより強力になる可能性があるということです。他の施設の同僚が悪役だったと想像してください。彼らはあなたの会社から盗もうとしています。彼らはプロセスをよく知っており、トランザクションを開始するために必要な権限を持っているため、あなたに対して独自の内部プロセスを使用できます。あなたが講じたすべての安全策を考慮すると、彼らのメッセージを受け取ったとき、あなたはそれが本物であるという高い確信を持ちます（実際、それは本当です。それは単に極悪でもあります）。したがって、リクエストが本質的に明らかに悪意のあるものでない限り、その自信によりリクエストを承認する可能性が高くなります。言い換えれば、ゼロ トラスト プロセスは、途中でチェックされるすべてのチェック項目により、悪意のある内部関係者の行動に実際に信頼性を与える可能性があります。

サイバーセキュリティの観点から見ると、これにはいわゆる「多層防御」が必要です。当社は、ゼロトラスト保護に依存するだけでなく、職務の分離 (「最小特権の原則」とも呼ばれます)、特定のアクションに対する複数の関係者の承認、および異常または異常なアクティビティの監視 (たとえ内部関係者からのものの場合）。どのシステムにも弱点があるため、企業は物理的な世界でも同様のことを行っており、システムを相互に重ねることで全体的な保護が強化されます。

なぜどこでもゼロトラストが存在するのでしょうか?

サイバー セキュリティで私たちが気づいたのは、上記のシナリオ 2 で説明した「合理的な信頼」境界モデルは実際には存在しないということです。私たちは物事が私たち自身のプライベートネットワーク内に完全に封じ込められていると思っていても、私たちが気づいていない鎧の穴が頻繁に存在します（偶然に開かれたもの、または私たちが知らない弱点があるもののいずれか）。これらの隙間が悪用されると、境界ベースのモデルにより、悪意のある攻撃者が非常に簡単に暴れ出すことができます。

しかし、ほとんどのものが私たち自身のプライベート ネットワークに含まれないことが増えています。ここ何年もの間、企業は自社の IT サービスを社内のデータセンターで管理するのではなく、ますます「クラウド」に移行してきました。これにより、先ほど説明した「ブラック ボックス」効果が導入され始めます。パンデミック中に爆発的に増加した労働力部門であるリモートワーカーに加えて、心配すべき「ブラックボックス」がさらに増えています。組織のスタッフのあらゆる行動が、管理下にない複数のネットワークを経由し、自分のものではないインフラストラクチャ上で実行されることが増えています。

重要なのは、それらのプロバイダーに非難を投げかけることではありません。適度に信頼できるクラウド プロバイダーを選択できれば幸いです。インターネットプロバイダーが悪者でないことを祈ります。しかし、たとえ最良のシナリオであっても、あなたはそれらに依存していることになります。侵害されたらどうなりますか? 彼らが侵害されたことに気づかなかったらどうなるでしょうか? ゼロ トラストは、プロバイダー自体に関する懸念を軽減するだけでなく、プロバイダーに向けられた悪意のあるアクティビティからユーザーを保護する方法でもあります。多層防御と組み合わせることで、非常に堅牢なセキュリティ体制が構築されます。

まとめ

ゼロ トラスト ネットワーキング アーキテクチャは、制御できないプロバイダー (つまり、クラウド サービスや公共のインターネット) に依存することによる「ブラック ボックス」効果によって動機付けられています。これらのサービスに対する可視性と制御が不足しているため、誰が私たちの活動を読んだり妨害したりしているのかを知ることができません。これを防ぐために、暗号化 (コードでアクティビティを送信)、暗号署名 (改ざんを検出)、および仮想対話で双方の身元を相互に検証するための堅牢なメカニズムを組み合わせて実装します。これにより、ネットワーク上のアクティビティが「本物」であるという非常に高い確信が得られ、最も断固とした外部攻撃者を除くすべての攻撃者に対して堅牢なセキュリティが提供されます。その自信は、内部関係者の脅威によって悪用される可能性があるため、セキュリティ体制を強化するには、他のセキュリティ対策が依然として必要です。最も重要なのは、最小特権の原則と異常な動作の監視です。