ゼロトラストは「全部やる」と失敗する？ ガートナーが示す成功への8ステップ(2/2)

ゼロトラストは「一気に完成」しない…数年計画をどう描く？

　6つ目のステップとなるのが、「（現状および将来の）能力のギャップ／成熟度分析」だ。CISA成熟度モデルを参考に利用を決めた機能／能力の中には、「各企業のゼロトラスト戦略とは必ずしもつながらないものが存在するケースが考えられます」（カウル氏）。

　その対応に向け、すでに導入済みの機能と利用を決めた機能／能力をゼロトラスト戦略と突き合わせ、ギャップ分析を実施する。

　その手法としてガートナーが推奨するのが「CISAゼロトラスト成熟度モデル」だ。同モデルにはCISA成熟度モデルでの5つの柱の保護手法について、「従来型」「最初のゼロトラスト」「高度なゼロトラスト」「最適化されたゼロトラスト」の手法がそれぞれ具体的に取りまとめられている。

「このモデルを参考に、機能／能力の実際の使い方を最終決定していきます。ゼロトラスト戦略に合わない機能については、前述の『取り組みの範囲を限定する』という考え方を前提に、保護対象がどれほど重要かなども踏まえて使うべきかどうかを判断します」（カウル氏）

　残るステップはあと2つだ。7つ目は、「望ましい状態を実現するためのロードマップの策定」である。

　ゼロトラストで用いる機能／能力は数多く、1度で実装を完了させるのは現実的ではない。また、無理な導入はセキュリティの“穴”を生じさせるリスクもある。そのため導入は数年がかりとなることが一般的で、その進捗管理を狙いにロードマップを策定する。

　なお、ゼロトラストの導入で特に重要になるのが、ユーザーとアプリケーション間のセグメンテーションと、ワークロード間のセグメンテーションだ。

　ガートナーではロードマップ作成のツールも用意している。そこではまず、柱ごとのゼロトラストの成熟度をいつまでに、「初歩」「上級」「最適」のいずれまで引き上げるかの概要を年表形式で決定する。


　それを基に、「最小特権アクセスの実装」「CI／DIパイプライン内のコード・インスペクションの開発」など、ゼロトラスト戦略の推進で優先度が高いものから作業を確実に進められるよう、実装時期をマッピングしていく（図3）。この2つの重要作業はプロジェクトの中期に行われるのが一般的だという。

最後に問われるのは「説明力」──全社をいかに巻き込むか