ゼロトラスト アーキテクチャの実装: ビジネス向け実践ガイド

従来の境界ベースのセキュリティ モデル ---「ネットワーク内のすべてを信頼し、外部のすべてをブロックする」--- は根本的に壊れています。リモートワーク、クラウド アプリケーション、モバイル デバイスにより、ネットワーク境界が解消されました。 Forrester の調査によると、データ侵害の 80% には、ネットワーク内部で使用される資格情報の漏洩が関係しており、まさに境界セキュリティでは保護が提供されていません。

ゼロトラストは、暗黙的な信頼を明示的な検証に置き換えます。原則は単純です。決して信頼せず、常に検証してください。すべてのアクセス要求は、送信元に関係なく、認証、許可され、暗号化されます。このガイドは、あらゆる規模の企業向けの実践的な実装ロードマップを提供します。

---

ゼロトラストの基本原則

原則 1: 明示的に検証する

すべてのアクセス要求は、利用可能なすべてのデータ ポイントに基づいて検証する必要があります。

• ユーザー ID (誰がリクエストしているか?)
• デバイスの健全性 (デバイスは準拠していますか?)
• 場所 (これは既知の場所ですか?)
• サービス/ワークロード (何にアクセスしようとしているのか?)
• データ分類 (リソースの機密性はどれくらいですか?)
• 異常検出 (この動作はこのユーザーにとって正常ですか?)

原則 2: 最小限の特権アクセスを使用する

タスクに必要な最小限の権限を、必要な最小限の時間だけ付与します。

原則 3: 違反を想定する

攻撃者がすでにネットワーク内にいるかのようにシステムを設計します。

• 横方向の動きを制限するセグメントネットワーク
• 内部トラフィックを含むすべてのトラフィックを暗号化します
• 異常な動作を継続的に監視します
• 脅威への対応を自動化する
• 詳細な監査ログを維持する

---

ゼロトラストの 5 つの柱

柱 1: アイデンティティ

アイデンティティは新しい境界です。アクセスに関するあらゆる決定は、身元確認から始まります。

実装チェックリスト:

• すべてのユーザーに対する多要素認証 (MFA)、例外なし
• すべてのアプリケーションにわたるシングル サインオン (SSO)
• 対象となるアプリケーションのパスワードレス認証 (FIDO2、生体認証)
• 条件付きアクセス ポリシー (新しい場所/デバイスからの MFA が必要)
• 管理者アカウントの特権アクセス管理 (PAM)
• アイデンティティ ガバナンス (定期的なアクセス レビュー、自動プロビジョニング解除)
• 不可能な移動の検出 (同じユーザーが 2 つの離れた場所からログインした場合に警告)

柱 2: デバイス

侵害されたデバイス上の認証済みユーザーは依然として脅威です。

実装チェックリスト:

• デバイスのインベントリと管理 (MDM/UEM)
• アクセスを許可する前のデバイスの健全性評価
• すべてのデバイスで暗号化が必要です (フルディスク暗号化)
• オペレーティング システムとソフトウェアは最新のものである必要があります (パッチ準拠)
• エンドポイント検出と応答 (EDR) がインストールされ、アクティブになっています
• 最小限のセキュリティ要件を備えた個人用デバイス ポリシー (BYOD)
• 登録だけでなく、アクセス要求ごとにデバイスのコンプライアンスがチェックされます

柱 3: ネットワーク

ネットワークをセグメント化して侵害を封じ込め、横方向の動きを制限します。

実装チェックリスト:

• マイクロセグメンテーション (アプリケーションレベルのネットワークポリシー)
• アプリケーション アクセス用のソフトウェア定義境界 (SDP)
• 既知の悪意のあるドメインをブロックする DNS フィルタリング
• 暗号化された内部トラフィック (すべての内部 API およびサービスに対する TLS)
• 物理ネットワーク接続用のネットワーク アクセス制御 (NAC)
• リモート ユーザー向けのゼロトラスト ネットワーク アクセス (ZTNA) による VPN の代替
• 東西交通監視 (横方向の動きを検出)

柱 4: アプリケーションとワークロード

アプリケーションはアクセス制御を実施し、使用中のデータを保護する必要があります。

実装チェックリスト:

• アプリケーションレベルの認証と認可
• API セキュリティ (認証、レート制限、入力検証)
• コンテナおよびサーバーレスのセキュリティ スキャン
• アプリケーション動作の異常監視
• シャドー IT の検出とガバナンス
• SaaS セキュリティ体制管理 (SSPM)
• 公開アプリケーション用の Web アプリケーション ファイアウォール (WAF)

第 5 の柱: データ

データは究極の資産です。ゼロトラストでは、場所に関係なくデータを保護する必要があります。

実装チェックリスト:

• データ分類スキーム (公開、内部、機密、限定)
• データ損失防止 (DLP) ポリシーが適用されました
• 機密データの保存中および転送中の暗号化
• すべての機密データ操作のログにアクセスします
• ドキュメントレベルの保護のためのデータ権利管理
• バックアップの暗号化とアクセス制御
• 規制されたデータのデータ保管場所へのコンプライアンス

---

実装ロードマップ

フェーズ 1: 基礎 (1 ～ 3 か月目)

高いセキュリティ効果を備えた迅速な勝利:

1. すべてのユーザーに対して MFA を有効にします (段階的に行う場合は、管理者アカウントから開始します)。
2. すべての SaaS アプリケーションに SSO を実装する
3. すべてのデバイスにエンドポイント検出と応答 (EDR) を展開します。
4. 重要なアプリケーションに対して条件付きアクセス ポリシーを有効にする
5. すべてのアプリケーションとデータ ストアのインベントリを作成する

予算の見積もり: SMB の場合は 5,000 ドルから 30,000 ドル、中堅市場の場合は 30,000 ドルから 15 万ドル

フェーズ 2: 可視化 (3 ～ 6 か月目)

1. East-West トラフィックのネットワーク監視を展開する
2. ID 分析の実装 (異常なアクセス パターンの検出)
3. データ分類演習を実施する
4. クラウドセキュリティ体制管理を導入する
5. セキュリティ運用監視（SIEM または同等のもの）を確立する

予算の見積もり: SMB の場合は 10,000 ～ 50,000 ドル、中堅市場の場合は 50,000 ～ 250,000 ドル

フェーズ 3: 施行 (6 ～ 12 か月目)

1.重要なアプリケーションにマイクロセグメンテーションを実装する 2. ZTNA を導入して VPN を置き換える 3. アプリケーションへのアクセスに対するデバイスのコンプライアンス要件を強制する 4. 機密データに対する DLP ポリシーの実装 5. ユーザーのプロビジョニングとプロビジョニング解除を自動化する

予算の見積もり: SMB の場合は 20,000 ～ 100,000 ドル、中堅市場の場合は 100,000 ～ 500,000 ドル

フェーズ 4: 最適化 (12 ～ 18 か月目)

1. リスクベースの適応型認証を実装する
2. 自動脅威対応 (SOAR) を導入する
3. ゼロトラストを OT/IoT デバイスに拡張する (該当する場合)
4. インシデントおよび監査結果に基づく継続的な改善
5. 年次侵入テストとレッドチーム演習

---

ゼロトラスト成熟度モデル

---

ゼロトラストの有効性を測定する

---

関連リソース

• エンタープライズ向けゼロトラスト アーキテクチャ --- 高度なゼロトラスト概念
• クラウド セキュリティのベスト プラクティス --- クラウド環境におけるゼロトラスト
• インシデント対応計画テンプレート --- ゼロトラストが侵害を検出したとき
• セキュリティ コンプライアンス フレームワーク ガイド --- コンプライアンスの調整

---

ゼロトラストは購入する製品ではなく、時間をかけて構築するアーキテクチャです。 ID (全員の MFA) から始めて、可視性を追加し (ネットワーク上に何があるか、それがどのように動作するかを知る)、次に強制します (すべてのアクセス要求を検証します)。この取り組みには 12 ～ 18 か月かかりますが、セキュリティ体制の改善はすぐに始まります。ゼロトラスト アーキテクチャの評価と実装計画については、ECOSIRE にお問い合わせください。