従来の考え方との違い
これまでの対策は、社内と社外の境目を守る形が中心でした。まずは、その考え方と限界を整理しましょう。
境目を守る従来の考え方
従来は、社内のネットワークを安全な場所とみなし、その入口に対策を置く形が採られてきました。外部からの通信を制限し、社内からの通信は基本的に信頼するという考え方です。社員が社内で働き、システムも社内に置かれていた時代には、この形が機能していました。
社外から接続する場合は、専用の通信路を作って社内につなぐ方法が使われます。一度その中に入れば、社内にいるのと同じ扱いになります。分かりやすい仕組みである一方、入られた後の動きは把握しにくくなります。
境目を守るだけでは足りなくなった理由
在宅勤務が広がり、社員が社外から働く機会が増えました。業務のシステムもクラウド上に移り、社内を経由しない利用も広がっています。守るべきものが社内の外に出ているため、入口だけを守っても届かない範囲が生まれます。
また、正規の利用者になりすまして入られた場合、その後の動きを止められない点も課題です。一度中に入られると、他のシステムへ移動されても気づきにくくなります。中に入った後も確かめ続ける考え方が求められる理由です。
ゼロトラストの基本的な考え方
ゼロトラストでは、場所を問わず、利用のたびに本人と端末を確かめます。誰が、どの端末から、どの情報にアクセスしようとしているかを確認し、そのつど許可するかを判断します。必要な範囲だけを許可することも基本の一つです。
この考え方は、特定の製品を指す言葉ではありません。認証、端末の管理、通信の制御、記録の確認といった複数の仕組みを組み合わせて実現します。何から手をつけるかは、自社の状況によって変わります。すでにある仕組みを生かせる部分もあります。
ゼロトラストを取り入れるメリット
この考え方の効果は、守りを固めることだけではありません。働き方や、システムの選び方にも関わります。3つの角度から整理します。
働く場所を問わず同じ基準で守れる
社内にいるか社外にいるかで扱いを変えないため、在宅勤務や出張先でも同じ基準が適用されます。社外から使うたびに例外の設定を加える必要がありません。拠点が増えた場合も、同じ考え方で対応できます。
社員にとっても、社内に接続してから使うという手順が不要になる場合があります。通信が一か所に集中しないため、混み合いによる遅さも避けやすくなります。ただし、実際の効果は組み合わせる仕組みによって変わります。
クラウドサービスを使いやすくなる
クラウド上のサービスは、社外にあるものとして扱われてきました。社内を経由して使う形にすると、通信の遠回りが生じます。ゼロトラストの考え方では、利用者と端末を確かめたうえで直接使う形が採れます。
新しいサービスを導入する際の判断も進めやすくなります。社内に置くか社外に置くかではなく、誰にどこまで許可するかで考えられるためです。ただし、対応できる範囲は使う仕組みによって異なります。
問題が起きたときの影響を抑えやすい
必要な範囲だけを許可する形にしておけば、一つのアカウントが使われても、そこから広がる範囲を限定できます。利用の記録が残っていれば、どこまで影響が及んだかを確かめられます。
ただし、被害をなくせるわけではありません。影響を小さくとどめ、早く気づくための考え方です。検知した後にどう動くかの手順は、別に決めておく必要があります。誰に報告し、どこまで止めるかを書き出しておきましょう。
取り入れる前に確かめたい注意点
一度に実現できるものではありません。次の点を押さえたうえで検討しましょう。
一つの製品では実現しない
ゼロトラストという名前の製品を導入すれば完成するものではありません。認証を強くする仕組み、端末の状態を確かめる仕組み、通信を制御する仕組み、記録を集めて確認する仕組みなどを組み合わせます。
すべてを一度にそろえようとすると、費用も期間も大きくなります。まず何を守りたいのかを決め、優先順位をつけて進めましょう。判断に迷う場合は、情報システムの担当者や、相談できる事業者に整理を手伝ってもらう方法もあります。
費用と運用の手間がかかる
複数の仕組みを使うため、それぞれに費用が発生します。利用する人数で決まる形が多く、社員数が増えると総額も上がります。今使っている仕組みと重なる部分があれば、置き換えを検討することも必要です。
導入した後も、許可の設定を見直す運用が続きます。異動や退職のたびに権限を確かめる作業も生じます。誰がその作業を担当し、どの頻度で確認するのかを決めておかないと、設定が実態と離れていきます。
利用者の手間が増える場合がある
確認の回数が増えると、社員は面倒に感じます。1日に何度も認証を求められる設定では、業務の流れが止まります。使いにくさが理由で、回避する方法を探す人が出てくることもあります。
扱う情報の重要さに応じて、確認の強さを変える設定が有効です。普段と違う場所からの利用に限って追加の確認を求める形もあります。導入前に一部の部署で試し、現場の声を聞いてから広げましょう。負担の大きさは、実際に使ってみないとわかりません。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料を取り寄せて機能や特徴をさまざまな製品で比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でゼロトラスト・セキュリティの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
進め方と製品を選ぶときの確認項目
段階的に進めることが基本です。どこから始めるかと、選ぶ際の観点を整理しましょう。
守りたいものを決めて優先順位をつける
まず、社内にどんな情報があり、どれが最も守るべきかを整理します。そのうえで、誰がどこからアクセスしているかを把握しましょう。現状がわからないまま仕組みを入れても、設定の基準を決められません。
着手しやすいのは、認証を強くする取り組みです。誰が使っているかを確かめる部分は、他の仕組みの土台にもなります。そこから端末の管理、通信の制御へと広げていく進め方が考えられます。
今の仕組みと組み合わせられるかを確かめる
使っている業務システムやクラウドサービスに対応しているかを確認します。対応していないものが残ると、そこだけ従来の運用が続くことになります。対象にできる範囲を、実際のサービス名を挙げて確かめましょう。
設定や記録の確認を自社で行えるかも重要な点です。専門の担当者を置きにくい場合は、運用まで任せられるサービスも選択肢になります。困ったときにどこまで相談でき、対応の時間帯はいつかも聞いておきましょう。
記録を確認する体制を整える
仕組みを入れると、認証や通信の記録が大量に集まります。しかし記録は、確認する人がいなければ意味を持ちません。誰がどの頻度で見るのか、どんな状態を異常とみなすのかを決めておきましょう。
すべてを人の目で追うのは現実的ではないため、条件に合う動きがあったときに知らせる設定を使います。知らせが多すぎると見落としにつながるため、基準の調整も必要です。担当を1人に固定せず、複数人で状況を把握できる形にしておきましょう。
ゼロトラストの考え方に対応したセキュリティ製品
接続のたびに確認する仕組みを取り入れたい場合に候補となる、ゼロトラスト対応の製品を紹介します。
Okta Workforce Identity
- リソースへのアクセスに必要な認証と認可を実施
- エンドポイントやネットワークセキュリティなどとも連携が容易
- ユーザーライフサイクル管理、APIへのセキュアなアクセスを提供
Okta Japan株式会社が提供する「Okta Workforce Identity」は、利用者と端末の状態を都度確認したうえで業務システムへの接続を許可する認証基盤です。社内ネットワークの内側であっても無条件に信頼しない考え方にもとづき、接続のたびに条件を確認する構成を組めます。多くのクラウドサービスとの連携にも対応しています。
IIJフレックスモビリティサービス/ZTNA
- 私物端末からのリモートアクセスを制御
- 端末のインターネットアクセスを制御してマルウエア感染を防御
- 感染端末からのアクセス通信をブロック
株式会社インターネットイニシアティブが提供する「IIJフレックスモビリティサービス/ZTNA」は、社外からの接続を都度確認する仕組みを備えたサービスです。従来のリモート接続のように広い範囲へ一括してつながる構成ではなく、必要な業務システムごとに接続の可否を判断します。在宅勤務や外出先からの利用が多い企業での活用が想定されます。
NTTドコモソリューションズのゼロトラスト型セキュリティサービス
- SWG・EDR・ZTNA等のサービス導入から運用まで丸ごとお任せ
- VPNやオンプレ環境から脱却、セキュアなクラウドシフトを支援
- M365 やAIPといった周辺環境まで支援可能
NTTドコモソリューションズ株式会社が提供する「NTTドコモソリューションズのゼロトラスト型セキュリティサービス」は、端末の状態確認と接続の制御をあわせて提供するセキュリティサービスです。社外から接続する端末が条件を満たしているかを確認し、満たさない場合は接続を制限する構成に対応しています。導入にあたっての設計支援も受けられます。
ZscalerInternetAccess （ゼットスケーラー株式会社）
- 全トラフィックを検査し、高度な脅威を阻止します。
- クラウドで高速・場所を問わない一貫したセキュリティ
- 従来の機器を置き換え、ネットワーク構成と運用を簡素化
Zero Trust Secure Access （トレンドマイクロ株式会社）
- ID・端末評価と動的ポリシーでアクセス制御。
- SWGによるWeb/SaaS脅威検査、URLフィルタ、サンドボックスに対応
- VPN代替で社内アプリへ安全接続。
ゼロトラストに関するよくある質問
検討するときによく寄せられる疑問をまとめました。社内で話し合う際の参考にしてください。
- Q1： 今使っている仕組みは不要になりますか？
- すべてを置き換える必要はありません。役割が重なる部分は見直す価値がありますが、併用する形も考えられます。今の構成を整理したうえで、何を残すかを判断しましょう。
- Q2： 中小企業でも取り入れられますか？
- すべてを一度にそろえる必要はありません。認証を強くする、端末の状態を確かめるといった取り組みから始められます。規模にあわせて、できる範囲から進める形が現実的です。
- Q3： 導入までにどのくらいの期間がかかりますか？
- 対象とする範囲によって大きく変わります。一つの仕組みだけなら短期間で始められます。全体を整えるには年単位で計画する例もあるため、段階を分けて進めましょう。
- Q4： 何から手をつければよいですか？
- 現状の把握が出発点です。どんな情報があり、誰がどこから使っているかを整理しましょう。そのうえで、認証の強化など影響の大きい部分から着手する進め方が考えられます。
まとめ
ゼロトラストには、働く場所を問わず同じ基準で守れること、クラウドサービスを使いやすくなること、問題が起きたときの影響を抑えやすいことというメリットがあります。一方で、一つの製品では実現しない点や、費用と運用の手間、利用者の負担にも配慮が必要です。まずは守りたいものを整理し、優先順位をつけて進めましょう。資料請求を活用して比べてみてください。
