ゼロトラストは「全部やる」と失敗する？ ガートナーが示す成功への8ステップ

ゼロトラスト導入、最初の2ステップが成否を分ける

　フィッシングに代表されるサイバー攻撃の巧妙化やSaaS利用の広がりなどを背景に、企業ネットワークの内外の境界上で外部攻撃を防御する「境界型防御」では、もはや十分な防御を見込みにくくなっている。代わりに広がっているのが、あらゆるアクセスを信頼せず、毎回検証して必要最小限なアクセスのみを許可するセキュリティモデルの「ゼロトラスト」だ。

　「ただし、ゼロトラストの実現にはIDやデバイスの管理、ネットワーク制御、データ保護、継続監視など、多くの技術の正しい導入が必要です。実施までの道のりは決して平たんではない」と指摘するのは、ガートナーのシニア ディレクター、アナリストのラジプリート・カウル氏だ。

　その適切な導入は、言うまでもなくCISO（最高情報セキュリティ責任者）の責務の1つだ。そこでのあるべき展開法を、カウル氏は次の「8つのステップ」として提示する。

　最初のステップが「ゼロトラストを導入する理由の明確化」だ。ここで検討すべきなのは、ゼロトラストで何を最優先で保護するのか、そして法規制上の要件やネットワーク面で何が課題になるのか、という点だ。「いずれのプロジェクトにおいても、リーダーは現状把握から始めるべき。まずは自社固有の状況を正しく認識する必要があります」とカウル氏は話す。

　2つ目のステップになるのが「ビジネス目標とリスクの定義」である。前ステップの結果を事業目標に落とし込み、その達成に向けたセキュリティリスクを明確化する（図1）。


　リスクは外部攻撃だけでなく、内部の犯行なども含めて具体的に検討する。ここでの成果物が、その後の社内コミュニケーションで広く用いられることになるという。

ゼロトラスト最大の“落とし穴”を避けるには

　3つ目が「基本原則を用いたゼロトラスト戦略の策定」だ。ゼロトラストの3原則は「敵対的な行為者の存在を想定する（Assume Breach）」「アクセスを制限する（Least Privilege Access）」「アイデンティティを確立する（Verify Explicitly）」である。これを前ステップで明確化したリスクと突き合わせ、最適な対応法を検討するのである。

　ステップの4つ目が「範囲とユースケースの定義」だ。

　策定したゼロトラスト戦略と個々の技術との紐づけを行うが、「ここで落とし穴にはまるケースが散見されます」（カウル氏）。

　「全システムやユーザー・シナリオにゼロトラスト原則を適用しようとすること」「成功の評価、進捗測定、価値の伝達に苦労すること」「ユーザーや管理者の手間が増え、オペレーションの管理負荷が増大すること」などが「落とし穴」の代表例となる。

　回避の“策”は、「ゼロトラスト・センター・オブ・エクセレンス（ZTCE）の設立」「リスクが高く影響の大きいユースケースと価値の高い資産への注力」「取り組みの範囲の限定」の3つだ。

「ゼロトラストをあらゆる環境に適用するのは、構成が複雑化してユーザーと管理者のどちらにとっても扱いにくくなる。コスト高で、セキュリティが機能しにくい環境になってしまいます。取り組みの範囲を限定することがとりわけ重要です」（カウル氏）

　5つ目のステップが、「ゼロトラストのフレームワークの選択」である。ここで行うのが、自社のゼロトラスト戦略に合致する機能の選択だ。


　ゼロトラストのフレームワークはいくつかあり、企業で広く用いられているのが「CISA成熟度モデル」だ。保護対象として「アイデンティティ」「デバイス」など5つの「柱」と、各柱を保護する40の機能／能力がまとめられている（図2）。

　これを参考に、ゼロトラスト戦略の実現に向けた柱の保護手法をそれぞれ決定していくのである。 【次ページ】ゼロトラストは「一気に完成」しない…数年計画をどう描く？