ゼロトラスト・アーキテクチャへと向かうデータ保護のポリシー

View: An emerging security paradigm for the post pandemic world

2021/04/17 EconomicTimes — サイバー攻撃の危険性が高まる中、引き続き最重要課題となっているのがデータ・セキュリティである。従来からのデータ保護技術は、「Trust but verify：信ぜよ、されど確認せよ」戦略の下で、機能しているように見える。

これは、境界線主導のパラダイムであり、内部ユーザーのためのネットワークは、アクセスが妨げられないことを前提にしている。したがって、セキュリティの管理が必要なネットワークは、外部ネットワークおよび、信頼されていないネットワークのみだと考えられる。しかし、誤った信頼の持ち方は脆弱性につながり、組織のIT環境に影響を及ぼすことがある。そこで重要な役割を果たすのが、ゼロトラスト・アーキテクチャ（ZTA）モデルである。

ゼロ・トラスト・アーキテクチャーは、企業の外部にあるデータだけを保護するという、従来からの戦略の本質的な弱点を修正するセキュリティ・パラダイムである。この新しいパラダイムでは、組織内のIT資産やビジネス機能を継続的に分析・評価し、そこに関連するリスクを軽減するための戦略が求められる。ZTA モデルでは、リクエストの認証に成功したときにのみ、アクセスを提供するという制限が課せられる。それにより、データやサービスへの不正アクセスを排除するという、積極的なセキュリティ・モデルが実現される。

Zero Trust Architecture (ZTA) は、非常にシンプルなコンセプトですが、実装するのは結構な体力がいることでしょう。IT を使用する組織（いまどきITを使わない組織は稀少でしょうか？）は、全体的なトランスフォーメーション戦略の一環として ZTA を取り込むべきです。クラウドへの移行が進み、レガシー・システムが廃止されていく中で、Zero Trust を実現するためのテクノロジーを導入すべきです。

とはいえ、ユーザーや、アプリケーション、ネットワーク、デバイスを信用せず、動的にコンテキストを追加し、役割とアクセス権限を更新し続けるなんて、どうやって実現するのかな？ でも、あまり悲観的にならず、ユーザー、デバイス、ワークロードの認証に取り組みを、まず始めましょう。また、多要素認証、特権ID管理、行動分析、定義されたルールに基づくファイル・システムの許可などのテクノロジーを実施し、信頼の低下を最小限に抑えるなんてことにも、取り組んでほしいです。