ゼロ・トラストは製品やソリューションではない、という話を聞いたことがあるだろう。 フォレスター, RSAのストラテジストもその点を指摘している。むしろ、それはセキュリティ戦略なのだ。そして、そのコンセプトは非常にシンプルである一方、「信頼できることを確認するまで誰も信用しない」というものである。ゼロ・トラスト・アプローチにコミットしたら、本当の仕事が始まる。しかし、何から始めればいいのだろうか？
答えは「アイデンティティ」だ。
サイバーセキュリティの脅威に対する防御の第一線として、ID は、ゼロトラストを組織がセキュリティ態勢を改善するために使用できる現実的かつ実用的なツールにするための鍵である。ゼロトラストの背景にある考え方は、信頼は決して仮定されるものではなく、その代わりに、相互作用のたびに新たに確立されなければならないというものである。それこそがアイデンティティなのだ。
ユーザーが認証するたびに、アクセスが許可される前に信頼が検証される。これは、ゼロ・トラスト（信頼ゼロ）というコンセプトを日々の現実にするための基礎となるものだ。
ゼロ・トラストとは何かということから、その意味を探ってみよう。
ゼロ・トラストとは、デジタル化が進む世界におけるセキュリティの考え方であり、私たちが長年頼りにしてきた伝統的なネットワーク境界線は、ほとんどなくなっている。今日、人々はどこからでも仕事ができる（している）。アクセスするリソースは、クラウド、オンプレミス、またはその両方の組み合わせであり、保護境界をはるかに超えた場所からアクセスする。そこで問題になるのが、これらのリソースをどのように保護するかだ。
ゼロ・トラストを採用することは、この問題を解決する一つの方法である。ゼロ・トラストの指針は、信頼は決して仮定されないということである。リソースへのアクセスに関連するすべてのやりとりは、潜在的にリスクがあると想定しなければならない。RSAのチーフ・プロダクト・オフィサーであるジム・テイラーは、「ゼロ・トラストとは、安全だと感じるためのメカニズムがなくなった状況へのアプローチ方法である」と述べている。個人やデバイスが信頼できると仮定するのではなく、信頼はすべての相互作用で検証されなければならない。
従来の境界が侵食され、アイデンティティが信頼を確立する主要な手段となる。「アイデンティティは新しい境界であり、あなたがコントロールし、保護することができるものです」とテイラーは言う。「あなたが誰であるかを高い信頼性で判断できれば、私はあなたを認証し、承認することができます。誰かや何かのアイデンティティを信頼する能力によって、アイデンティティに基づいたセキュリティ・ポリシーが可能になる。
もちろん、ID を使用して信頼を確立するという考えは新しいものではない。しかし、信頼を確立するためのコンテキストは、ID をこれまで以上に重要なものにする形で変化している。労働力には、現場の正社員だけでなく、請負業者やギグワーカーなど、リソースへのア クセスを必要とする多くの人が含まれるようになっている。今日、相互作用はデジタルやオンラインで行われることが非常に多くなり、誰かの物理的な居場所は、もはや信頼を確立するための基礎ではなくなっている。このような変化が、ゼロ・トラストが非常に重要である理由であり、アイデンティティが重要である理由である。
アイデンティティは、3つの具体的な方法で信頼ゼロへの道を開く。
- 適切な人々へのアクセスを提供する。 アクセスを許可する前に適切な信頼レベルを確立する能力は、ゼロトラストの考え方で運用するために不可欠です。ゼロトラストをサポートするためには、ガバナンス・ベースで可視性主導のアクセス承認を可能にする強力なアイデンティティ・ガバナンスと管理（IGA）とともに、さまざまな多要素認証（MFA）方式を含むアイデンティティとアクセス機能が必要である。
- ダイナミックな意思決定をサポート.アクセスに対するゼロ・トラスト・アプローチを成功させるには、コンテキストを使用して特定のインタラクションに関連するリスクを評価し、そのリスク・レベルに基づいてアクセス決定を下すことができなければならない。ゼロ・トラスト・アプローチには、コンテキスト・ベースの動的な意思決定が必要であるため、リスク・ベース認証を適用する能力を持つことが重要である。
- NIST ゼロトラストアーキテクチャフレームワークとの整合性.米国標準技術局（NIST）は、ゼロトラスト・アーキテクチャのフレームワークを開発した。NIST が要求するリスクベースの分析、役割と属性に基づくアクセスを含むアイデンティティとアク セスのコンポーネントは、NIST のフレームワークの中で機能するために不可欠である。
ゼロ・トラストを含め、セキュアなアクセスへのアプローチは2つある。防御にのみ焦点を当て、誰も入れないようにすれば、リスクは少ないが、ビジネスにもならない。ゼロ・トラストという言葉は、決して誰も信用しないという意味ではない。信頼できる人物かどうかをまず確認することなく、誰も信用するなということだ。そしてIDは、誰かや何かが信頼できるかどうかを確認するための中心的なものである。適切なIDツールを使えば、アクセス管理にゼロトラストの考え方を導入し、デジタル世界で成功することができる。
RSAの独占サービスについて アイデンティティ重視 RSAのゼロ・トラストについての詳細をご覧ください：
- ダウンロードはこちらから フォレスター・ゼロトラスト導入ガイド
- RSAの取り組みをご覧ください。 ゼロトラスト 課題
- RSAについて 製品 信頼ゼロを支えるもの
