ゼロトラストの肝は“信頼の確立”

　ガートナーのディレクター，アナリスト，アビューデイ・データ氏は冒頭、1993年に米国『The New Yorker』誌に掲載された有名なミーム「インターネット上ではあなたが犬だと誰も知らない」を紹介した。アビューデイ氏によると、このミームは「相手の正体が分からない」という本質的な問題を象徴しており、「アカウントを持つ人が誰なのか分からなければアクセス管理はできない」という問いは今も重要であるという。


　その上で「ゼロトラスト」と「アイデンティティ・ファースト・セキュリティ」、この2つの用語・アプローチについて明解にしたいと述べた。

「ゼロトラストの肝は信頼の確立であり、単なる出発点に過ぎません。対象者やデバイスに信頼を提供・確立しなければならず、相手が何なのか特定できない状況では成立しないからです」（アビューデイ氏）

　「人間だと思っていたら犬や猫だった」という比喩はその重要性を示しているとのことだ。

　その上でアビューデイ氏は、アイデンティティ・ファーストは単独の概念ではなく、すべての基礎であるアイデンティティを前提と説き、「ゼロトラストを定義する」「強固なアイデンティティ基盤を確立する」「アイデンティティ・ファースト戦略とゼロトラスト戦略を整合させる」の3点を軸に、ID基盤構築方法と戦略統合の実践的アプローチを解説した。

誤解されやすいゼロトラストの定義、その本質とは？

　アビューデイ氏はまず、ゼロトラストという言葉が広く使われている一方で、その定義には曖昧さや混乱が残っていると指摘した。

　ゼロトラストは、従来の境界防御モデルに代わる新たなセキュリティ・パラダイムを指す。各組織はこの考え方を土台に戦略を立て、現状と理想のアーキテクチャーのギャップを見極めながら、段階的に必要な技術実装を進めていくことが求められる。

　ガートナーはゼロトラストを、「暗黙の信頼を、継続的に評価される明示的なリスク／信頼レベルに置き換えるセキュリティ・パラダイム」と定義している。

　続けてアビューデイ氏はこの定義を、「暗黙の信頼を明示的な信頼に置き換える」「アイデンティティとコンテクストを基盤とする」「固定的ではなく適応的に判断する」「常に最適なリスク・ポスチャを追求する」という4つの要素に分けて説明した。


　そのイメージとして、外国に渡航し到着国の軍事基地に入るケースを例に挙げた。入国時にはパスポートによる初期認証で済んでも、軍事基地への立ち入りには追加認証が必要になり、さらに機密区域へ進むにはより厳格な資格確認が求められる。こうしたように、状況に応じて信頼を段階的かつ明示的に確認していく考え方がゼロトラストだという。

　ここでいう“暗黙の信頼”とは、同じネットワーク内にいる、あるいは特定のアプリケーション、ユーザー、アカウント、デバイス間ですでに信頼関係があるとみなし、そのままアクセスを許可する状態を指す。しかしアビューデイ氏は、こうした前提は非常に弱く、同じネットワーク内にいるというだけで全アクセスを認めるべきではないと強調する。攻撃者も同じネットワークから資源を探索する可能性があるためだ。

　一方でアビューデイ氏は、ゼロトラストを過大評価したり誤解したりしないことも重要だと語る。ゼロトラストは「人への信頼をなくす」考え方ではない。むしろ、既存の信頼を人だけでなくアカウントやデバイスにも拡張し、攻撃者に悪用され得るポイントを継続的に監視・制御する発想に基づいている。また、ゼロトラストはサイバーセキュリティだけに閉じた包括策でもなく、アイデンティティ管理やデータ管理を含む広範な戦略の一部として捉える必要がある。

　さらに重要なのは、ゼロトラストが「あらゆる攻撃を防ぐ魔法のテクノロジー」ではないという点だ。同氏は、ゼロトラストは万能ではなく、すべての攻撃を阻止できるわけではないと明言する。その本質は、組織として適切なセキュリティ・ポスチャを定め、IAM（アイデンティティ＆アクセス管理）インフラの各コンポーネントにおいて攻撃経路を減らし、被害を抑えることにある。たとえアカウントが侵害された場合でも、ネットワークや接続デバイスへの信頼を動的に調整・制御することで、リスクを最小化していことがゼロトラストの本質だ。 【次ページ】ゼロトラスト成功を決める？強固なID基盤の作り方