ゼロトラスト実現のために本当に有効な手段とは

湯浅由希恵

2022年08月01日

2019年4月に働き方改革関連法が施行されてから各企業が労働環境改善のためにさまざまな取り組みをする中、テレワークの導入を検討し始めた企業も多いかと思います。また2020年（当初予定）の東京オリンピック・パラリンピックによる交通渋滞や電車遅延を防ぐために総務省などの関係省庁と東京都が実施した「テレワーク・デイズ」により、本格的にテレワークの準備に取り掛かった企業も多いのではないでしょうか。（ちなみに当社もテレワーク・デイズに特別協力団体として参加したことにより、そのころから本格的にテレワークの導入が始まりました。）

2020年に入り新型コロナウイルス感染症が世界各地で拡大する中、日本では感染拡大防止に伴い緊急事態宣言が発令され、国からもテレワーク実施の要請がありました。そこで問題になったのが、テレワークにスムーズに対応できた企業と、そうでない企業です。既にテレワーク環境が整っていた企業はすぐテレワークに切り替えて業務をすることができたかと思いますが、まだ導入をしていなかった、または検討していなかった企業にとっては、ネットワーク環境、テレワーク用の PC、予算の確保など多くの課題があり、すぐテレワーク環境に切り替えることが容易ではありませんでした。その中でも、システム管理者が最も気になったことは「セキュリティ対策」ではないでしょうか。

そこで本ブログでは、本当に有効なセキュリティ対策とは何なのか、詳しくご紹介します。

「ゼロトラスト」って何？

先に述べた理由から、テレワーク推進によるリモートアクセスの増加や、DX 推進に伴うクラウドサービスの利用が増えたことで、ネットワークとクラウドに対するさまざまなセキュリティ対策が必要となりました。
そのため、ネットワーク境界内だけでなく境界外にも保護すべきデータが存在するようになり、従来の「境界防御型セキュリティモデル」では最新の脅威から企業を守ることが難しくなりました。

こうした中で「ゼロトラスト」の概念によるセキュリティ対策が重要とされています。
ゼロトラストとは、社内外のネットワーク環境を区別せず、守るべき情報資産にアクセスするものは「全て信頼しない」を前提に安全性を検証することで情報資産への脅威を防ぐという考え方です。ゼロトラストではサイバー攻撃への対策強化や侵入後の対策も網羅されているため、全ての企業に大きな損害をもたらす恐れのあるランサムウェア・標的型攻撃といった脅威をはじめ、あらゆるサイバー攻撃への対策を実現する上で基礎となる考え方と言えます。

「境界防御モデル」と「ゼロトラストモデル」の違い

パスワードなどでの認証に代表される従来の境界防御モデルでは、ファイアウォールなどを設置することで最初の境界内への入り口のみで安全性の検証が行われていました。そのため、社内からのアクセスであれば「信用できる通信」と評価され、境界内での通信であれば"安全である"とされてきました。
しかしこのような境界防御モデルでは、境界の内側に入ってしまうとウイルスやマルウェアなどが簡単に拡散されてしまい、悪意のあるサイバー攻撃への対策としては不十分です。
一方、ゼロトラストでは、社外だけでなく、社内からのアクセスであっても安全性の検証を都度行うことで、境界の内部に侵入した脅威も防御するため、境界防御モデルの弱点は解消されます。

ゼロトラストのメリット

従来の境界防御モデルと比較した場合、ゼロトラストでは「強固なセキュリティを構築可能」、「複雑な設定が不要」、「どこからでもアクセス可能」などといったメリットがあります。比較的シンプルな設定やソリューションの導入で実現できるため、一度環境を構築してしまえばシンプルで強固なセキュリティを維持できるようになり、セキュリティ管理の負荷を低減します。サイバー攻撃によるデータ流出や情報漏えいのリスク軽減にもなります。

ゼロトラストの実現には、クラウドとネットワーク知識のある人材が重要ポイント！

ゼロトラストは、単一製品で実現することはできません。企業それぞれに必要な機能やサービス、運用を組み合わせることでゼロトラスト環境が実現します。そして、環境を整えるだけでなく、構築後も日々のセキュリティ運用・監視を行うことや巧妙化し続けるサイバー攻撃に対応できることが重要です。重要なポイントは、従来の社内外ネットワークを活用するための知識や、クラウドを始めとした最新のセキュリティ知識をもった人材がいることです。
しかし、社内に運用できる人材がいなかったり、セキュリティ人材の採用や育成に不安がある企業も多いのではないでしょうか。近年、国内企業でセキュリティ人材の不足が深刻となっており、優秀な人材確保も容易ではありません。セキュリティ人材不足の主な理由としては、サイバー攻撃の多様化やデジタルトランスフォーメーション（DX）の進行などがあります。
そこで有効な手段の一つとしておすすめなのが、セキュリティ監視センター（SOC（＝Security Operation Center））を提供している企業への外部委託です。24時間365日体制で、常に各企業のネットワークやデバイスを監視してくれるため、自らセキュリティ人材を確保する必要もなく、専門部署を設けるなどの準備も不要のためコストパフォーマンス的に有効と言えます。

クラウド型 Web ゲートウェイ監視サービス「MSS for Secure Gateway」資料請求・お問い合わせはこちら
 クラウド型 Web ゲートウェイ監視サービス「MSS for Secure Gateway」詳細はこちら

安全・簡単にゼロトラストセキュリティを推進

ゼロトラストを実現するためのセキュリティ対策の重要な要素の一つとしてクラウド型の「セキュア Web ゲートウェイ（以下、SWG）」があります。SWG は、利用者が社内外のどこにいても、全てのインターネット通信をチェックすることでセキュアな Web アクセスを実現する製品で、ゼロトラストにおけるユーザー防御の要として需要が高まっています。また、近年はサプライチェーンを経由したサイバー攻撃も増加していることから、大手企業だけでなく、サプライチェーンを構成する中小規模の企業にもゼロトラストに基づいたセキュリティ対策が求められています。

また、SWG はクラウドサービスとしてプロキシ機能を提供し、端末とインターネット上の Web サイトとのデータの送受信を監視・中継します。利用者がどのような環境にいても、SWG を経由することで情報システム部門の運用ポリシーを適用し、安全に Web 閲覧を行うことができるようにします。
具体的には、Web フィルタリング（URL フィルタリング）やアプリケーションフィルタ（アプリケーション制御）、アンチウイルス、サンドボックスなど複数のセキュリティ機能により、リスクのあるサイトや業務に不要なサイトへのアクセス、管理者の許可していないアプリケーションの利用をブロックします。

クラウド型 Web ゲートウェイ監視サービス「MSS for Secure Gateway」資料請求・お問い合わせはこちら
 クラウド型 Web ゲートウェイ監視サービス「MSS for Secure Gateway」詳細はこちら

ゼロトラストセキュリティサービス「MSS for Secure Gateway」

当社は、ゼロトラストクラウドセキュリティを提供する Zscaler 社のクラウド型セキュア Web ゲートウェイ「Zscaler Internet Access（ZIA）」に対応したセキュリティ監視サービス「MSS for Secure Gateway」を提供しています。

Zscaler Internet Acces（ZIA）は、組織全体のインターネットアクセスを保護するクラウド型の Web ゲートウェイソリューションです。世界100カ所以上にデータセンタを分散配置された高速かつセキュアなインターネットゲートウェイがトラフィックに潜む脅威を可視化し、遮断します。また、基本的なWebセキュリティ機能に加え、オンプレミス導入では高コストとなる標的型攻撃対策(サンドボックス)やSSL/TLS復号化による検査など高度なセキュリティ機能をクラウドで提供してします。

MSS for Secure Gateway は、どこからでもセキュアなインターネットアクセスを可能とするZscaler Internet Access（ZIA）を、当社のセキュリティアナリストが24時間365日常時セキュリティ監視をご提供するサービスです。危険なサイトへのアクセスを制限することで、情報漏洩の要因となる ID の盗難や、マルウェア・ランサムウェアの感染を防止します。

【本サービスの特長】

クラウド型 Web ゲートウェイ監視サービス「MSS for Secure Gateway」資料請求・お問い合わせはこちら
 クラウド型 Web ゲートウェイ監視サービス「MSS for Secure Gateway」詳細はこちら

まとめ

本ブログでは、安全で高速なインターネットアクセスを実現するテレワーク環境を構築する方法や、それに対応した当社のサービスついてご紹介しました。テレワークの導入を検討しているお客様や、既にテレワークを導入しているけれどセキュリティ対策に不安があるお客様まで、セキュリティ全般に関することなら何でも当社にお任せください。

当社では自治体情報セキュリティを含め、官公庁、自治体、製造業、金融、建設業などこれまで25業種以上もの幅広い業種の企業様にセキュリティソリューションを導入いただいています。また、高度な専門知識を持ったセキュリティ専門アナリストも多数在籍し、24時間365日、夜間、早朝、休日も絶え間なくお客様のセキュリティ監視を実施しています。

さらに NIST（National Institute of Standards and Technology）が定める CSF（Cyber Security Framework）に対応した幅広いセキュリティサービスも展開しています。セキュリティコンサルティング、セキュリティインテグレーション、インシデントレスポンス、マネージドセキュリティサービス（MSS）といったさまざまなサービスラインアップもありますので、ぜひお気軽にご相談ください。