「何も信頼しない」を前提にした、内外の境界を超えた安全性

ゼロトラストとは、ネットワーク上に内外の領域を定めず、組織のサーバーや社内ネットワークにアクセスする通信やデバイスをすべて信用できないものとみなし、それらの認証を繰り返すことで安全性を高めるセキュリティの方法です。
これまでの企業や組織の情報セキュリティは、「境界型防御」が主流でした。境界型防御とは、ネットワーク上に「信用できる内部」と「信用できない外部」を定め、外部からの侵入をファイアウォールなどで遮断するというセキュリティの手法です。
しかし近年、リモートワークの普及、クラウド利用の増加、業務でのモバイル端末使用の日常化など、ネットワークの利用環境が急激に変化し、内外の境界が曖昧になっています。さらに電子メールなどを使って特定の企業・個人を狙う「標的型攻撃」の脅威も増し、これまで信用できると考えられていた内部のリスクも高まっています。こうした中、注目されるようになったのが「ゼロトラスト」という考え方です。
次に紹介するSASEのほか、端末（エンドポイント）の挙動を常に監視して不審な動作を検知・報告するEDR（Endpoint Detection and Response）、ネットワークトラフィックを収集・分析し、不審な通信や攻撃を検知・報告するNDR（Network Detection and Response）などは、ゼロトラストの実現には欠かせないソリューションです。

ネットワークとセキュリティを一元管理

SASE（Secure Access service Edge）は、ネットワーク機能とセキュリティ機能をクラウド上に集約して一体的に提供するネットワークセキュリティモデルです。クラウドやモバイル端末の利用拡大と境界型セキュリティの限界を背景に、2019年に米ガートナー社が提唱した新しい概念で、ゼロトラストを実現するソリューションの1つとして、注目を集めています。
SASEを構成する代表的な機能は、ソフトウェアによって仮想的なネットワークを構築し複数のWAN接続を一元的に管理するSD-WAN（Software Defined-Wide Area Network）、組織内外の通信を安全に接続するSWG（Secure Web Gateway）、クラウドサービス利用を管理・制御するCASB（Cloud Access Security Broker）、クラウド型ファイアウォールFWaaS（Firewall as a Service）、ゼロトラストの考え方に基づきアクセスを制御するZTNA（Zero Trust Network Access）などです。
SASEを導入することで、これまで個別に行ってきたネットワーク接続やマルウェアなどへのセキュリティ対策を一元管理できるようになり、ネットワーク構成の簡素化や運用コストの削減につながります。ほかにも、テレワークで課題となっているVPNの帯域不足や、データセンターへのアクセス過多による通信遅延を軽減する効果が期待されます。

インシデント発生に迅速に対応、早期の信頼回復へ

CSIRT（Computer Security Incident Response Team）は、マルウェアへの感染、不正アクセスによるデータ流出、サーバーへの攻撃（DOS攻撃、DDOS攻撃）など、インシデント発生の有無を監視し、発生した際には調査・対応する専門チーム・組織のことです。
インシデント発生の報告を受け、その内容を分析し、速やかに復旧と対策を講じることで、企業や組織のダメージを最小限に抑える役割を担います。IPAの「サイバーセキュリティ経営ガイドライン Ver3.0」にも、サプライチェーン全体のインシデントに対応できるCSIRTを構築することが重要と明記されており、今後CSIRTを設置する企業の増加が予測されます。
企業や組織内部のカスタマイズされたシステム復旧に携わる業務のため、これまでCSIRTはインソースでの運営が主流でした。しかし近年のサイバー攻撃の高度化で、高い専門性を持つ人材が24時間365日体制で脅威に向き合う必要性が高まり、社内だけで人材を確保することが困難になってきました。そのため現在は、CSIRT構築支援を外部に委託するケースが増えています。

企業連携の弱点を突き標的組織に侵入

現代の企業活動は、原材料の調達から製品の製造、配送、販売、消費者へのサポートまで、一連の工程・企業のつながり（サプライチェーン）で成立しています。グループ企業や様々な取引先とのネットワークは複雑で、サプライチェーン全体の情報セキュリティ強度を高いレベルで保つことは容易ではありません。本社に比べてセキュリティが手薄になりがちな関連会社や取引先などが使用するシステムやソフトウェアを足掛かりにネットワークに侵入し、内部から標的企業・組織を狙うのが、サプライチェーン攻撃です。
サプライチェーン攻撃は、一般に侵入されたことに気づきづらいという特徴があります。また、内部からの攻撃を受けて、本来、外部からの脅威に対して高いセキュリティレベルで守られているデータが改ざんされたり、システムが攻撃を受けたり、情報が流出したりすると、最悪の場合、企業活動を停止せざるを得ない事態にも発展します。適切な対策を学び、リスク軽減策を講じることが重要です。

オンライン上での信頼性の構築

オンラインでのやり取りは、いまやビジネスに欠かせない要素です。一方でオンラインでのやり取りには、「やり取りしている相手が本当に本人か」「やり取り内容が通信中に改ざんされていないか」など、信用・信頼に関する課題があり、安心・安全にビジネスを行うためには適切な対策を講じる必要があります。
やり取り相手を本人と証明だとする手段として広く利用されるのが個人認証技術です。認証方法の基本的な種類は、パスワードや秘密の質問などの「知識情報」、ICカードやワンタイムパスワード（OTP）などの「所有情報」、指紋や顔、静脈、虹彩などの「生体情報」の3つです。また最近は、生活習慣（ライフスタイル）も認証方法になると考えられ、研究が進んでいます。
一般的な認証方法は「知識情報」ですが、パスワードが類推しやすかったり使い回されたりすると、セキュリティリスクが高まります。そこで現在は、認証方法を2つ以上組み合わせる「多要素認証」が主流です。また、ID管理やシングルサインオン、多要素認証などの機能で企業が扱う、複数のサービス（Webサービスやアプリケーションなど）に登録されているIDやパスワードを一元的に管理できるクラウドサービスIDaaS（アイダース）の利用も進んでいます。
一方、オンライン上でやり取りされる情報の信頼性やセキュリティを確保する技術が、トラストサービスです。トラストサービスを構成する要素は、デジタル署名、タイムスタンプ、eシール、ウェブサイト認証、モノの正当性の認証、eデリバリーなどです。今後のビジネスのデジタル化が進展する中で、データ送信元のなりすましやデータの改ざんなどを防ぐために、トラストサービスの活用は有効です。

セキュアなWeb体験を保証

Webアプリケーションとは、GmailやYouTubeのように、インターネットなどネットワークを経由してWebサイト上で利用するアプリのことです。携帯電話やタブレット端末にダウンロード・インストールするネイティブアプリケーションと比べ、ストレージの容量を節約できる、アップデートの更新手間がかからない、様々なデバイスからアクセス可能といったメリットがあり、企業のホームページや業務システムなどでのWebアプリの活用が広がっています。
一方で、Webアプリには脆弱性という課題があります。ここでいう脆弱性とは、アプリに存在するセキュリティ上の欠陥や弱点のことです。Webアプリに脆弱性があると、クロスサイトスクリプティング（XSS）やSQLインジェクションなどの攻撃手法で、悪意のある第三者が個人情報などの機密情報を盗み取ったり、システムを破壊したりするリスクが生じます。
こうしたリスクを避けるには、Webアプリの設計時に脆弱性をつくらないことが何より重要です。ただし、人がつくるものである以上、どんなに配慮しても脆弱性をゼロにすることは不可能です。そのため、脆弱性があることを前提に、定期的にアプリの脆弱性を診断し、明らかになった課題を分析・対処することが大切です。