ゼロトラスト・アーキテクチャ:必要なものから当前のものへ

Zero Trust Architecture – No Longer A ‘Nice to Have’

2021.09/21 CyberSecurityIntelligence — 米国 National Institute of Standards and Technology (NIST) が、先日に発表した Special Publication (SP 800-207) は、サイバー・セキュリティのベスト・プラクティスにおける当たり前の事柄を変えた。強制力はないが、経済面でのセキュリティを高める上で、この連邦機関の役割は過小評価できない。

ゼロトラストの概念を洗練させるためのガイダンスや、ゼロトラスト・アーキテクチャへの標準化されたアプローチを、組織的に実施するためのハイレベルなロードマップも、無視できないものとなっている。

ゼロトラスト

ゼロトラストの概念は、決して新しいものではない。もともとは、1994年に Stephen Paul Marsh が発表したコンピュータ・セキュリティに関する博士論文の中で定義されていたが、2000年代後半に Forrester の John Kindervag が再燃させたことで、サイバー・セキュリティにおける重要な概念となった。それは、組織のネットワークの内外から、攻撃が行われる可能性があるという考え方に基づくものだ。

しかし、最近まで、ゼロトラストに関する議論は、システム内でのユーザー認証のみに焦点が当てられていたと、私は考えている。 しかし、この概念は、NIST の Special Publication で変更された。ゼロトラストの焦点は、もはやネットワークではなく、ネットワークを通過するデータになってきている。

NIST の Special Publication の核心は、データ・セキュリティをネットワークから切り離すことにある。ポリシーの定義や、ダイナミックなポリシーの実施、マイクロ・セグメンテーション、オブザバビリティといった重要な項目は、今日の企業が責任を負うべきゼロトラスト・アーキテクチャ (ZTA) に対して、新しい基準を提供するものになった。

ビジネスの意図に沿ったダイナミックなポリシー

データ所有者としての企業は、機密情報を保護する責任がある。さらに、このような機密データの保護を対象とした規制が増加していることから、コンプライアンスや情報保証を確実にし、維持することができる、サイバー・セキュリティ・スタンスの採用すが、これまで以上に重要になってきている。しかし、すべてのデータが、同じレベルの機密性を持っているわけではない。

最新のゼロトラスト基準では、それぞれのデータは、異なるレベルの気密性と、ビジネス上の意図に応じて、分類される必要がある。このビジネスの意図において必要なことは、データの処理方法とアクセス方法に関する、組織の運用ポリシーを定義することである。言い換えると、それは、何時/何処/誰が、マイクロ・セグメンテーションを用いて、外部からの侵害から各データのクラスを保護し、他のデータクラスから隔離するかという考え方のことである。

また、企業は、資産のセキュリティ状況に関する情報や、ネットワーク・トラフィック/アクセス要求などの情報を可能な限り収集し、それらのデータを処理し、得られた知見をもとに、ポリシーの作成と実施を、動的に改善することが推奨される。

認証と認可

NIST のゼロトラスト基準では、個々の企業リソースへのアクセスは、クライアント ID や、アプリケーション/サービス、資産に対する要求元の状態などの、観測可能なコンポーネントの関係に基づき、セッションごとに許可される。この関係には、他の行動や環境の属性が含まれる場合もあり、運用ポリシーの施行も含まれる。

あるリソースに対する認証と認可は、別のリソースへのアクセスを許可するものではない。また、認証は動的なものであり、アクセスの取得や、脅威の検出/評価/適応、そして進行中の通信に対する、継続的な信頼の再評価というサイクルが必要となる。

サイバー・セキュリティのベスト・プラクティスでは、きめ細かなポリシーを作成し、認証と認可をパケット単位で行い、必要なリソースへのアクセスのみを許可することが求められる。Layer-4 の暗号化は、ポリシー実施ポイント間を移動するデータを保護すると同時に、ペイロードのみを暗号化してパケット・ヘッダーを明らかにすることで、完全な観測性を提供し、きめ細かなセキュリティ・ポリシーの実施を可能にする。

ネットワークの可視化と監視ツールは、リアルタイムのコンテキスト・メタデータを提供するという重要な役割を果たす。それにより、ポリシー違反のデータを迅速に検出し、コンプライアンス違反のトラフィック・フローや、ポリシーの変更に迅速に対応して修復し、必要なセキュリティ体制を継続的に維持することが可能となるで。

妥協しない

基本的に、ゼロトラスト体制は、ネットワークのパフォーマンスを損なうことなく実現される必要があり、認証および認可されたアクセスによりユーザーは、業務に必要なデータにシームレスにアクセスできなければならない。企業は、パフォーマンス/スケーラビリティ/運用上の可視性に影響を与えることなく、あらゆるネットワーク上で転送されるデータを保護する必要がある。最新の NIST ゼロトラスト規格が提唱するように、ネットワーク・ハードウェアからセキュリティを切り離すことは個別のアプローチであり、ネットワークで何が起こっているかに関わらず、セキュリティ・チームは組織のデータが確実に保護されていることを確信できる。つまり、サイバー・セキュリティにおけるベスト・プラクティスの本質である、データに焦点を当てた保護が実現される。

ゼロトラストを実現するためには、「可視化の重要性:インフラ・セキュリティにおいて最初に必要なものとは?」に記されているように、エンドポイントとネットワークの両方において、最低限の可視性を確保する必要があるはずです。その一方では、「クラウド環境の危険性:Role パーミッションについて再考しよう」にあるように、クラウドの利便性と引き換えに、危険にさらされているパーミションを見直すなど、さまざまな可視化が必要になります。いろいろとありすぎて、頭が痛くなりますが、どちらもゼロトラストへ向けた一歩であり、それらを進めていけば、段階的なゼロトラストが達成されるのだろうとも思えてきます。PwC が訳してくれた、NIST SP 800-207 へのリンクも貼っておきます。

%d bloggers like this: