ゼロトラストとは

ゼロトラストとは、社内ネットワークの中にいるからといって信頼せず、利用のたびに利用者と端末を確かめてから、必要な最小限のアクセスを許す考え方です。

ゼロトラストとは何か

米国 NIST の SP 800-207「Zero Trust Architecture」(2020 年 8 月)は、ゼロトラストを次のように定義しています。侵害されているとみなしたネットワークの中で、要求ごとに正確で最小権限のアクセスの判断を行うときの不確かさを最小にするために設計された、概念と考え方の集まりです。物理的な場所やネットワーク上の場所だけを理由に、資産や利用者のアカウントを暗黙に信頼しないとも書いています。総務省の「テレワークセキュリティガイドライン」第 5 版は、従来の境界型セキュリティの前提を「信ぜよ、されど確認せよ」とすると、ゼロトラストは「決して信頼せず、必ず確認せよ」だと言い表しています。

境界型セキュリティと何が違うか

総務省は、クラウドサービスの普及と私物端末の利用が進み、特定の拠点を守る境界型だけでは対応が難しくなったと背景を説明しています。同時に、ゼロトラストは境界型に代わるものではなく、両者を組み合わせて守ることが期待されるとしています。

NIST の基本原則は何か

SP 800-207 の 2.1 節は、7 つの基本原則を挙げています。

1. すべてのデータとサービスを、守る対象(資源)とみなす。私物端末も、会社の資源にアクセスするなら対象に含めてよい
2. ネットワーク上の場所にかかわらず、すべての通信を守る。社内からのアクセスも社外と同じ条件を満たす
3. アクセスは利用のたびに、その作業に必要な最小の権限で許す。一つの資源への許可は別の資源に自動では及ばない
4. アクセスの可否は、利用者の身元、アプリ、端末の状態などをもとにした動的なルールで決める
5. 会社が持つ端末や関係する端末の安全の状態を監視し、測る
6. 本人確認と許可は動的で、アクセスを許す前に厳密に行う。多要素認証の利用を含む
7. 資産・ネットワーク・通信の状態をできるだけ集め、守り方の改善に使う

NIST は、これらは理想の目標であり、すべてを純粋な形で行えるとは限らないと断っています。特定の技術によらない原則で、利用者の確認はパスワード、証明書、使い捨てのコードなど複数の方法があり得るとも書いています。

アカウント管理とどう関係するか

原則の 3 と 6 が、SaaS のアカウント管理に直接関わります。利用のたびに本人を確かめ、その作業に要る最小限の権限だけを許し、一つのサービスへのログインが別のサービスへの許可に自動で及ばない形です。共有アカウントで一組の ID とパスワードを複数人が知っている状態では、原則 3 が前提にする「要求している人を確かめる」ことができません。最小権限の考え方は最小権限の原則とはに、多要素認証は多要素認証(MFA)とはにまとめています。