「ゼロトラストは製品やソリューションではない」という話を、皆さんも耳にしたことがあるでしょう。実際、アナリストチームをはじめとする専門家たちは、 フォレスター, ……この用語が生まれた場所から、当社のRSAストラテジストに至るまで、その点を指摘してきました。むしろ、これはセキュリティ戦略なのです。その概念は「信頼できると確認するまでは誰をも信頼しない」という非常に単純なものですが、その実装はしばしば途方もない作業となります。ゼロトラストアプローチを採用すると、そこからが本当の作業の始まりです。では、どこから手をつければよいのでしょうか？
答えは「アイデンティティ」だ。
サイバーセキュリティの脅威に対する第一の防衛線として、アイデンティティは、ゼロトラストを組織がセキュリティ態勢の向上に活用できる現実的かつ実用的なツールとする上で鍵となります。ゼロトラストの根底にある考え方は、信頼を決して当然視してはならず、その代わりに、あらゆるやり取りのたびに新たに確立しなければならないというものです――それこそがアイデンティティなのだ。
ユーザーが認証を行うたびに、アクセスが許可される前に信頼性が検証されます。これは、「ゼロトラスト」という概念を日々の実務に定着させるための基礎となるものです。.
それでは、まず「ゼロトラスト」とは具体的にどのようなものなのかから始め、その意味について探っていきましょう。.
ゼロトラストとは、長年にわたり頼りにしてきた従来のネットワーク境界が事実上消滅してしまった、デジタル化が進む世界におけるセキュリティへの考え方です。 今日、人々はどこからでも仕事ができる（そして実際にそうしている）ようになりました。彼らがアクセスするリソースは、クラウド上、オンプレミス、あるいはその両方の組み合わせにある可能性があり、彼らはあらゆる保護境界をはるかに超えた場所からそれらにアクセスしています。そこで問題となるのは、そうしたリソースをどのように保護するかということです。.
ゼロトラストの導入は、この問題を解決する一つの方法です。ゼロトラストの基本原則は、単純に「信頼は決して前提にしてはならない」というものです。 リソースへのアクセスに関連するあらゆるやり取りは、潜在的なリスクを伴うものと見なされなければなりません。RSAの最高製品責任者であるジム・テイラー氏が述べたように、「ゼロトラストとは、かつて安心感を得るために利用していた仕組みがもはや存在しない状況に対処するためのアプローチである」。個人やデバイスを信頼できると前提するのではなく、あらゆるやり取りにおいて信頼性を検証しなければなりません。.
従来の境界が侵食され、アイデンティティが信頼を確立する主要な手段となる。「アイデンティティは新しい境界であり、あなたがコントロールし、保護することができるものです」とテイラーは言う。「あなたが誰であるかを高い信頼性で判断できれば、私はあなたを認証し、承認することができます。誰かや何かのアイデンティティを信頼する能力によって、アイデンティティに基づいたセキュリティ・ポリシーが可能になる。
もちろん、アイデンティティを活用して信頼を確立するという考え方は、決して新しいものではありません。しかし、信頼を確立する状況は変化しており、その結果、アイデンティティの重要性はかつてないほど高まっています。労働力には、社内の正社員だけでなく、契約社員、ギグワーカー、その他多くのリソースへのアクセスを必要とする人々――しかも、社内に限らない――がますます含まれるようになっています。 今日、交流の多くはデジタルやオンライン上で行われており、物理的な所在地はもはや信頼を確立するための基礎的な要素ではなくなっています。こうした変化こそが、ゼロトラストが今これほど重要視されている理由であり、アイデンティティが不可欠である理由なのです。.
アイデンティティは、3つの具体的な方法でゼロトラストへの道を開きます。.
- 適切な人々へのアクセスを提供する。 アクセスを許可する前に適切なレベルの信頼関係を確立する能力は、ゼロトラストの考え方に基づいて運用を行う上で不可欠です。ゼロトラストを実現するには、さまざまな多要素認証（MFA）手法を含むIDおよびアクセス管理機能に加え、ガバナンスに基づいた可視性を重視したアクセス承認を可能にする強力なIDガバナンスおよび管理（IGA）が必要です。.
- ダイナミックな意思決定をサポート. アクセス管理においてゼロトラストアプローチを成功させるには、コンテキストを活用して特定のやり取りに伴うリスクを評価し、そのリスクレベルに基づいてアクセス許可の可否を判断できなければなりません。ゼロトラストアプローチには、コンテキストに基づいた動的な意思決定が求められるため、リスクベースの認証を適用できることが重要です。.
- NISTのゼロトラスト・アーキテクチャ・フレームワークに準拠しています. 米国国立標準技術研究所（NIST）は、ゼロトラスト・アーキテクチャのためのフレームワークを策定しました。NISTが求めるリスクベースの分析や、役割および属性に基づくアクセス制御を含むアイデンティティおよびアクセス管理の構成要素は、NISTのフレームワークに基づいて運用を行う上で不可欠です。.
ゼロトラストを含むあらゆるアクセスセキュリティのアプローチには、2つの側面があります。それは、「悪意のある者を締め出し、正当なユーザーを許可する」ことです。防御のみに焦点を当て、誰のアクセスも許可しなければ、リスクはほとんどなくなりますが、ビジネスもほとんど成り立ちません。 「ゼロトラスト」という言葉は、「決して誰をも信用しない」という意味ではありません。それは、「信頼できるかどうかを事前に確認せずに、誰をも信用してはならない」という意味です。そして、ある人物や対象が信頼できるかどうかを判断する上で、アイデンティティは極めて重要な要素となります。適切なアイデンティティ管理ツールを活用すれば、アクセス管理にゼロトラストの考え方をうまく取り入れ、デジタル世界で成功を収めることができるでしょう。.
RSAの独占サービスについて アイデンティティ重視 今すぐ、RSAのゼロトラストについて詳しくご覧ください：
- ダウンロードはこちらから フォレスター・ゼロトラスト導入ガイド
- RSAの取り組みをご覧ください。 ゼロトラスト 課題
- RSAについて 製品 ゼロトラストに対応しているもの
