【図解】ゼロトラストの基本構成とは？IPA資料から学ぶ5つの移行フェーズと要素技術
IPA（独立行政法人 情報処理推進機構）では、「ゼロトラストの概念について理解しているが、具体的なソリューションに関しては、どのように進めればよいのかわからない」という課題に対して、コンサルティング企業やベンダー企業、また実際に移行を完了したユーザー企業へのヒアリングを実施しました。移行を検討している組織の担当者に向けて、進め方の流れを示す参考資料として「ゼロトラスト移行へのすゝめ」を公開しています。
下図は、この資料の中で紹介されている、組織が必要な構成を検討するための具体的なソリューション落とし込みのイメージを、資料内容を踏まえて編集・図化したものです。
※詳細な内容に関しては、「ゼロトラスト移行へのすゝめ」をご参照ください。
この記事で解決できること
- ゼロトラストの基本的な概念と「7つの原則」がわかる
- IPAの資料に基づく、ゼロトラスト構成への「5つの移行フェーズ」が理解できる
- ゼロトラストを具体化するために必要な「5つの重要要素（ソリューション）」が整理できる
目次
※画像クリックでPDFが表示されます
ゼロトラストとは（NIST SP800-207の原則）
ゼロトラストとは、2010年に米国の調査会社フォレスター・リサーチ（Forrester Research）により提唱されたセキュリティ概念です。
「境界型防御内のネットワークは安全で、外部は危険だ」という従来の考え方に対して、「たとえ境界内部であっても無条件に信用せず、全てにおいて確認し、認証・認可を行う」というアプローチをとります。
ゼロトラストの基本的な考え方は米国標準技術研究所の「NIST SP800-207」で定義されており、以下に示す基本的な7つの原則（考え方）があります。
- すべてのデータソースとコンピューティングサービスをリソースとみなす
- ネットワークの場所に関係なく、全ての通信を保護する
- 企業リソースへのアクセスをセッション単位で付与する
- リソースへのアクセスは、クライアントID、アプリケーション、要求する資産の状態、その他の行動属性や環境属性を含めた動的ポリシーにより決定する
- 企業は、全ての資産の整合性とセキュリティ動作を監視し、測定する
- 全てのリソースの認証と認可は動的に行われ、アクセスが許可される前に厳格に実施する
- 企業は、資産やネットワークインフラストラクチャ、通信の現状について可能な限り多くの情報を収集し、それをセキュリティ体制の改善に利用する
ゼロトラスト構成への移行の流れ（5つのフェーズ）
IPAの「ゼロトラスト移行へのすゝめ」では、ゼロトラスト構成への移行プロセスを以下の5つのフェーズに分けて紹介しています。
- フェーズ1：As-is分析（現状分析）と「ありたい姿」の検討
セキュリティ、ユーザ利便性、運用効率化の観点から現状を分析し、抽出された課題をもとに組織の「ありたい姿」を検討します。 - フェーズ2：グランドデザインの策定（To-be構成の明確化）
「ありたい姿」を実現するために必要なソリューションを検討し、目指すべき構成（To-be構成）を明らかにするためのグランドデザインを作成します。 - フェーズ3：投資判断とステークホルダーへの説明
投資対効果を明確にし、経営層をはじめとするステークホルダーに納得・合意をもらうための説明を行います。 - フェーズ4：環境構築と移行の実施
フェーズ2で作成したグランドデザインに基づき、実際のシステム環境を構築・移行します。 - フェーズ5：運用・継続的な改善
ユーザーからのフィードバックや運用状況を得つつ、より安全で最適な構成へと継続的に改善します。
ゼロトラストを構成する重要な5つの要素
組織がフェーズ2において「To-be構成」を検討する際は、具体的なセキュリティ機能（ソリューション）の落とし込みをイメージし、必要な要素を洗い出した上で、最終的に具体的な製品レベルへと選定を進めます。
本資料では、ゼロトラストを構成する重要な要素を以下の5つに分類し、それぞれの関連ソリューションを紹介しています。
- ID統制：アクセス主体の確実な認証・認可
- デバイス統制・保護：端末の安全性の確認と保護
- ネットワークセキュリティ：通信経路の保護とアクセス制御
- データ漏洩防止：機密データの不正持ち出し・閲覧の防止
- ログの収集・分析：環境全体の可視化と脅威の早期検知
ID統制
「信頼できる安全なネットワーク領域は存在しない」というゼロトラストの前提において、「誰が」リソースにアクセスしようとしているのかを都度的確に識別し、認証・認可を行うことが最も重要です。
■ 関連ソリューション
IDaaS（Identity as a Service）
クラウド経由でID認証、ID・パスワード管理、シングルサインオン（SSO）、多要素認証などのアクセス制御を統合的に提供するサービスです。
デバイス統制・保護
組織のリソースにアクセスする端末が、組織の管理下にあること、および適切なセキュリティ設定が維持されているかをアクセス時にチェックすることが重要です。
■ 関連ソリューション
MDM（Mobile Device Management）
モバイルデバイス管理。スマートフォンやタブレットなどの設定やアプリを一元的に管理し、紛失時のリモートロックやポリシー適用を効率化するシステムです。
EPP（Endpoint Protection Platform）
エンドポイント保護プラットフォーム。パソコンやサーバーなどの端末をマルウェア感染から保護する製品で、従来の「アンチウイルスソフト」の発展形です。
EDR（Endpoint Detection and Response）
エンドポイント検知・対処。EPPがマルウェアを「水際で防ぐ」のに対し、EDRは「侵入された後の脅威を検知して迅速な対応を支援する」ことを主眼とし、不審な挙動の可視化や通信遮断を行います。
XDR（Extended Detection and Response）
EDRをさらに拡張した概念。エンドポイントだけでなく、ネットワーク、クラウド、IDなどのデータを統合的に収集・分析し、組織全体に対する高度なサイバー攻撃を検知・防御します。
ネットワークセキュリティ
ゼロトラストでは「すべての通信を保護する」必要があるため、社内外を問わずあらゆるアクセスに対して一貫したセキュリティ対策を施します。
■ 関連ソリューション
SWG（Secure Web Gateway）
安全なWebアクセスを中継するクラウド型プロキシ。URLフィルタリングやアプリケーション制御、サンドボックスなどの機能を統合し、危険なサイトへの接続を遮断します。
CASB（Cloud Access Security Broker）
従業員が利用する外部クラウドサービスの利用状況を可視化・制御する仕組み。自社ポリシーに基づき、許可されていないクラウド（シャドーIT）へのデータアップロードなどを制限します。
IAP（Identity-Aware Proxy）
アイデンティティ認識型プロキシ。ユーザーのアイデンティティや端末のリスク状態を検証してアプリケーションへのアクセスを仲介します。オンプレミス環境にコネクターを配置することで、VPNを介さずに安全なリモートアクセスを実現できます。
※注意点
現在のゼロトラストネットワークでは、個別のソリューションを組み合わせるだけでなく、これらをクラウド上で一元管理する「SSE（Security Service Edge）」や「SASE（Secure Access Service Edge）」という統合プラットフォームの採用が主流となっています。
データ漏洩防止
内部関係者や外部の攻撃者による機密情報の不正な持ち出しを防ぐとともに、万が一データが流出した場合でも、内容を閲覧させないための対策が必要です。
■ 関連ソリューション
DLP（Data Loss Prevention）
データ流出防止システム。「ユーザー」ではなく「機密情報（データそのもの）」を特定・監視し、社外への不正なコピーや送信を自動的にブロックします。
IRM（Information Rights Management）
情報権限管理。文書ファイルを暗号化し、閲覧・編集・印刷・スクリーンショットなどの権限をユーザーごとに制限・記録することで、流出後の不正利用を防ぎます。
ログ収集・分析
IT環境を構成する各機器からログを集約・分析することで、サイバー攻撃を早期に検知して対処するだけでなく、運用状況からセキュリティ体制の継続的な改善に役立てます。
■ 関連ソリューション
SIEM（Security Information and Event Management）
セキュリティ情報イベント管理。様々なサーバーやネットワーク機器のログを一元的に蓄積し、相関分析を行うことで、単一のログでは見落としがちな複合的な脅威をリアルタイムに検知して管理者に通知します。
SOAR（Security Orchestration, Automation and Response）
SIEMなどが検知した脅威に対して、AIや自動化ワークフローを用いて、端末の隔離やアカウントの一時停止といった初期対応（レスポンス）を自動化・迅速化する仕組みです。
まとめ
本記事では、IPAの「ゼロトラスト移行へのすゝめ」をベースに、ゼロトラストの基本概念から具体的な構成要素までを解説しました。
要点を振り返ると、ゼロトラストの導入において重要なポイントは以下の3点に集約されます。
- 「境界」に頼らないセキュリティへの転換
NIST SP800-207の7つの原則にある通り、ネットワークの場所（社内・社外）を問わず、すべての通信やアクセスに対して「動的なポリシー」で都度、認証・認可を行うアプローチが現代の標準（デファクトスタンダード）です。 - 段階的な移行プロセスの実践
ゼロトラスト構成への移行は、一朝一夕には完了しません。まずは現状分析（As-is）から始め、目指すべきグランドデザイン（To-be）を明確にし、経営層やステークホルダーの合意（投資判断）を得ながら一歩ずつ進めることが成功の鍵となります。 - 5つの重要要素の最適化と統合
「ID統制」「デバイス」「ネットワーク」「データ」「ログ」の5つの要素をバランスよく強化する必要があります。近年では、これらを個別のソリューションとして導入するだけでなく、SASE/SSE や XDR といった統合プラットフォームを活用し、一元的に管理・自動化（SOAR）していく流れが主流です。
ゼロトラストの構築は、自社のビジネス環境やDX（デジタルトランスフォーメーション）の推進に合わせて継続的に改善していく「終わりのないプロセス」でもあります。まずは自社の現在のセキュリティ体制の棚卸し（フェーズ1）から、ゼロトラストへの第一歩を踏み出してみてはいかがでしょうか。
