ゼロトラストアーキテクチャ
ゼロトラストとは？
ゼロトラストは、「決して信頼せず、常に検証する」という原則に基づくセキュリティモデルです。 従来の境界型モデルとは異なり、ゼロトラストは脅威がネットワークの 外部と内部の両方に存在すると想定し、あらゆるエンティティに対する暗黙の信頼を排除します。
基本原則
1. 継続的な検証
アクセスを許可する前に、すべてのリクエストは認証、認可、暗号化されます。 検証はログイン時だけでなく、セッション全体を通じて継続的に行われます。
- 多要素認証（MFA）の必須化
- 継続的な振る舞い分析
- リスクベースの再認証
- コンテキストの監視（場所、デバイス、時刻）
2. 最小権限（Least Privilege）
ユーザーとシステムには、その機能を遂行するために必要な最小限の権限のみが付与されます。 アクセスは、きめ細かく、かつ時間を限定して付与されます。
- ジャストインタイム（JIT）アクセス
- Just-Enough-Access（JEA）
- 職務の分離
- 権限の定期的な見直し
3. 侵害を前提とする（Assume Breach）
侵害がすでに発生している、または発生するという前提で運用します。 影響範囲（ブラストレディウス）を最小化し、ラテラルムーブメントを迅速に検知することに重点を置きます。
ゼロトラストアーキテクチャの構成要素
Policy Engine (PE)
ポリシーに基づいてアクセスの判断を行う中核的なコンポーネントです。次の点を考慮します：
- アイデンティティ：誰がリクエストを行っているか
- デバイス：エンドポイントのセキュリティ状態
- ネットワーク：リクエストの送信元と宛先
- アプリケーション：アクセス対象のリソース
- データ：情報の機微度
- 振る舞い：異常なパターン
Policy Administrator (PA)
Policy Engine の判断を実行し、サブジェクトとリソースの間の接続を確立または終了します。
Policy Enforcement Point (PEP)
リクエストを傍受してポリシーを適用するゲートウェイです。次のようなものがあります：
- リバースプロキシ
- Web アプリケーションファイアウォール（WAF）
- サービスメッシュ（Istio、Linkerd）
- API ゲートウェイ
- ソフトウェア定義境界（SDP）
実践的な実装
フェーズ 1：資産のマッピング
- すべてのリソース（アプリケーション、データ、サービス）を特定する
- 重要度と機微度に応じて分類する
- コンポーネント間のデータフローをマッピングする
- アイデンティティとデバイスを文書化する
フェーズ 2：マイクロセグメンテーション
きめ細かな制御を維持するため、ネットワークを小さく隔離されたゾーンに分割します：
- 物理的な場所ではなく、ワークロード単位でセグメント化する
- マイクロセグメント間にファイアウォールを実装する
- セグメントごとに固有のポリシーを適用する
- 東西方向のトラフィックを監視する
フェーズ 3：アイデンティティおよびアクセス管理（IAM）
ゼロトラストの根幹となる基盤です：
- SSO：集中型 IdP によるシングルサインオン
- MFA：アダプティブな多要素認証
- RBAC/ABAC：ロール／属性ベースのアクセス制御
- PAM：特権アクセス管理
フェーズ 4：デバイストラスト（Device Trust）
デバイスの完全性とセキュリティ態勢を検証します：
- エンドポイント検知・対応（EDR）
- モバイルデバイス管理（MDM）
- デバイスのコンプライアンスチェック
- パッチ適用状況の確認
- 証明書ベースの認証
フェーズ 5：監視と分析
継続的な可視性が不可欠です：
- イベント相関のための SIEM
- 異常検知のための UEBA
- ネットワークトラフィック分析
- 脅威インテリジェンスの統合
テクノロジーとツール
ソフトウェア定義境界（SDP）
個別化された論理的な境界を作成します：
- Google BeyondCorp：従業員向けのゼロトラスト
- Zscaler ZPA：VPN を使わない Private Access
- Cloudflare Access：アプリケーションレベルの分離
- Palo Alto Prisma Access：SASE プラットフォーム
サービスメッシュ
コンテナ化された環境やマイクロサービス向け：
- Istio：mTLS、ポリシー、可観測性
- Linkerd：軽量なサービスメッシュ
- Consul：サービスディスカバリとメッシュ
アイデンティティプロバイダー
- Okta：エンタープライズ向け IAM
- Azure AD：Microsoft のアイデンティティプラットフォーム
- Auth0：開発者にやさしい認証
- Keycloak：オープンソースの IAM
NIST 800-207 フレームワーク
NIST はゼロトラストの 7 つの原則（tenets）を定義しています：
- すべてのデータソースとコンピューティングサービスはリソースとみなされる
- ネットワーク上の場所に関係なく通信は保護される
- リソースへのアクセスはセッション単位（per-session）で付与される
- アクセスは動的なポリシーによって決定される
- 組織は資産の完全性を監視し、測定する
- 認証と認可は動的であり、厳格に適用される
- 組織は態勢を改善するため可能な限り多くの情報を収集する
実装上の課題
技術的な複雑さ
- レガシーシステムとの統合
- 複数のポイントソリューション
- 検証による追加のレイテンシ
- チームの学習曲線
組織的な影響
- 大きな文化的変革
- 追加の制御に対するユーザーの抵抗
- 高い初期コスト
- 長い実装期間（2〜3 年）
可視性の課題
- シャドー IT が完全なマッピングを困難にする
- ハイブリッドおよびマルチクラウド環境
- IoT および管理されていないデバイス
- サードパーティのアクセス
ベストプラクティス
- 小さく始める：重要なパイロットアプリケーションで実装する
- アイデンティティを優先する：強力な IAM が基盤となる
- 自動化する：手動のポリシーはスケールしない
- ユーザーを教育する：変更に関するコミュニケーションが極めて重要
- 絶えず反復する：ゼロトラストは目的地ではなく旅である
- すべてを測定する：セキュリティの指標と KPI
- DR を計画する：フェイルオーバーと事業継続
ユースケース
リモートワーカー
従来の VPN を排除し、企業ネットワーク全体を露出させることなく どこからでも安全なアクセスを提供します。
クラウド移行
マルチクラウド環境のセキュリティを簡素化し、プロバイダーに関係なく 一貫したポリシーを適用します。
サードパーティのアクセス
広範な信頼を生み出すことなく、パートナーやベンダーにきめ細かなアクセスを付与します。
ゼロトラストの未来
AI/ML の統合
行動パターンをリアルタイムで分析する機械学習に基づくアクセス判断。
量子耐性ゼロトラスト
ポスト量子暗号をアーキテクチャに統合し、量子コンピューティングに備えます。
拡張ゼロトラスト
IoT、OT（運用技術）、サイバーフィジカルシステムへの拡張。
ゼロトラストは、境界からアイデンティティへの根本的な転換を表します。 実装は複雑ですが、ますます分散化しクラウドファースト化する世界において 堅牢な保護を提供します。組織は、最も重要なリソースから始めて段階的に拡大しながら、 反復的な旅として取り組むべきです。