[連載]ゼロトラストを製品名で追わない。まずは7つの柱で地図を置く[第0回]
恐縮です。
ゼロトラストの話になると、多くの現場でいきなり製品名が飛び交います。
IdPが必要だ、EDRが必要だ、SSE/SASEも欲しい、SIEMもいる、DLPも気になる。
どれも間違っていません。全部大事です。
ただ、ここで一度立ち止まった方がいいです。
この入り方をすると、かなりの確率で話が散ります。
なぜか。目的と手段が混ざるからです。
ゼロトラストの本質は、製品を増やすことではありません。
もっと根っこの話です。
「社内にいるから信頼する」という前提を捨てること。
これが出発点です。
昔の境界型セキュリティは、社内ネットワークの内側と外側で信頼を分ける考え方が中心でした。
でも、いまはその前提が崩れています。
ユーザーは社外からアクセスする。
端末は会社支給だけではない。
業務はSaaSに乗り、システムはクラウドへ広がり、アプリは社内だけで完結しない。
この状態で「中に入ったら信用する」という設計を続けるのは、正直かなり無理があります。
だからゼロトラストが必要になる。
これは流行り言葉ではなく、環境変化に対する設計変更です。
参考URL
ゼロトラストの本質は、アクセスのたびに判断し続けること
ゼロトラストをひとことで言うなら、
**「毎回ちゃんと見る」**です。
誰がアクセスしようとしているのか。
その端末は信用できる状態か。
どの経路から来ているのか。
何にアクセスしようとしているのか。
その操作を本当に許していいのか。
これを、場所や接続元だけで雑に決めない。
アクセスのたびに、その時点の情報で判断する。
ここがゼロトラストの本質です。
なので、ゼロトラストはVPNの置き換えでもありません。
MFA導入の言い換えでもありません。
SASEを入れることでもありません。
もちろん、それぞれは重要です。
ただ、それだけでゼロトラストになったとは言えません。
本質は、判断材料を増やし、その判断を制御に結びつけることです。
ここを外すと、製品は増えたのに守りはあまり変わらない、という一番つらい状態になります。
参考URL
初期のゼロトラストは、かなりネットワーク寄りだった
ゼロトラストの初期の議論は、かなりネットワーク寄りでした。
2010年のForresterの文書でも、Zero Trust Network Architecture という言い方で、ネットワークの内側を信用しないこと、セグメンテーションを見直すことが前面に出ています。
これはこれで重要です。
むしろ、当時その問題提起があったから、いまのゼロトラストにつながっています。
ただ、現場でこの文脈だけを強く受け取ると、ゼロトラストが「ネットワーク再設計の話」に見えやすい。
ここに最初の誤解があります。
実際には、ネットワークだけでは足りません。
認証が弱ければ崩れます。
端末状態が見えなければ穴が残ります。
データ保護が弱ければ、入ったあとに持ち出されます。
ログが無ければ、何が起きたか分かりません。
つまり、初期の問題意識はネットワーク寄りでも、実装はそこだけでは閉じないわけです。
参考URL
https://www.virtualstarmedia.com/downloads/Forrester_zero_trust_DNA.pdf
いわゆる「ゼロトラ2.0」で、何が変わったのか
ここ数年でゼロトラストの見え方はかなり変わりました。
いま現場で言われる「ゼロトラ2.0」は、厳密な公式規格名というより、
ゼロトラストが思想の説明から、実装と成熟の話へ移った段階を指す言い方として捉えると分かりやすいです。
NIST SP 800-207では、ゼロトラストは「静的なネットワーク境界」から「ユーザー、資産、リソース中心」へ守り方を移す考え方として整理されました。
CISAは成熟度モデルで、Identity、Devices、Networks、Applications and Workloads、Dataの5つの柱と、Visibility and Analytics、Automation and Orchestration、Governanceの横断能力を示しています。
DoDは7つの柱で整理しています。
NIST SP 1800-35では、実装例までかなり具体的に出てきました。
NSAも実装ガイドを公開しています。
ここで何が起きたか。
ゼロトラストは、もう「考え方としては大事ですね」で済む話ではなくなったということです。
どう実装するのか。
どう運用するのか。
どう成熟させるのか。
いま問われているのは、そこです。
ただし、大事なのはここからです。
見せ方は進化しましたが、本質は変わっていません。
社内だから信頼する、をやめる。
アクセスのたびに判断する。
そのために必要な判断材料を、組織として持てるようにする。
ここは最初から一貫しています。
参考URL
https://www.nsa.gov/Cybersecurity/Zero-Trust-Implementation-Guidelines/
それでも、現場が向き合う柱は大きく変わらない
ここが一番大事だと思っています。
文書ごとに数え方は違います。
CISAは5つの柱と3つの横断能力で整理する。
DoDは7つの柱で整理する。
でも、現場が実際に向き合う単位は、そこまで変わりません。
この連載では、次の7つの柱で見ていきます。
アイデンティティ
デバイス
ネットワーク
ワークロード
データ
可視化と分析
自動化
なぜこの7つなのか。
理由は単純で、実装と運用の話に落としやすいからです。
アイデンティティが無ければ、誰を見ればいいか定まりません。
デバイスが無ければ、そのアクセス元を信用していいか判断できません。
ネットワークが無ければ、どの経路で何に到達させるかを制御できません。
ワークロードが無ければ、クラウドやアプリ側の穴が残ります。
データが無ければ、何を守るかが曖昧になります。
可視化と分析が無ければ、起きていることが見えません。
自動化が無ければ、運用が人力で止まります。
つまりゼロトラストは、何かひとつの製品で完成する話ではないんです。
柱ごとに判断材料を増やして、それをつないでいく話なんです。
ここを見失うと、導入した製品は立派なのに、全体としてはつながらないという状態に陥ります。
このシリーズでgovernanceをあえて外しているのは、重要ではないからではありません。
むしろ極めて重要です。
ただ、この連載ではまず、手を動かす担当者が「何を実装し、何を運用するか」を掴めることを優先します。
管理論を先に大きく広げるより、まずは柱の実体を見にいきたい、という編集方針です。
参考URL
https://dodcio.defense.gov/Portals/0/Documents/Library/DoD-ZTStrategy.pdf
だから、製品名ではなく柱で地図を置く
ここまで来ると、製品名の見え方も変わってきます。
IdPはアイデンティティの柱。
EDRやUEMはデバイスの柱。
SSE/SASEはネットワークの柱。
CNAPPはワークロードの柱。
DLPはデータの柱。
SIEMは可視化と分析の柱。
SOARは自動化の柱。
こう置くと、かなり整理しやすくなります。
製品を覚えることが目的ではなく、
その製品がどの柱の、どの判断材料を増やすのかが見えるからです。
逆に、ここを整理しないまま進めると危ないです。
IdPを入れた。EDRも入れた。SSE/SASEも入れた。
でも属性がつながっていない。
端末状態が制御に使えていない。
ログは集まるが判断に使えていない。
自動化はあるが、誤って止めるのが怖くて動かせない。
これ、珍しくありません。
むしろかなりよく見る形です。
だから最初に必要なのは、製品比較の前に地図を置くことです。
順番を急ぐ前に、まず全体の骨格を揃える。
ここを飛ばすと、あとで必ずしわ寄せが来ます。
参考URL
https://csrc.nist.gov/pubs/cswp/20/planning-for-a-zero-trust-architecture/final
この連載でやること
この連載0本目の役割は、答えを出すことではありません。
地図を置くことです。
このあと各記事では、1本につき1つの柱だけを扱います。
その柱は何を担うのか。
それが無いと何に困るのか。
現場で最低限そろえたいことは何か。
代表的な製品は何か。
そして、どこで失敗しやすいのか。
そこを順番に見ていきます。
導入順の話は、そのあとです。
先に順番だけを見ると、どうしても近視眼的になります。
目立つ製品、導入しやすい製品、話題の製品から入りたくなる。
でも、それでは全体最適になりません。
だから先に柱を見る。
この順番が、結局いちばん遠回りに見えて、いちばん事故が少ないと思っています。
まとめ
ゼロトラストは、魔法の製品を探す話ではありません。
境界の内側を信頼する設計から抜け出して、アクセスのたびに判断し続ける設計へ移る話です。
初期のゼロトラストはネットワーク寄りに語られました。
いまは、アイデンティティ、デバイス、ネットワーク、ワークロード、データ、可視化、自動化まで含めた実装の話になっています。
これを私は、いわゆるゼロトラ2.0の現在地だと見ています。
ただ、見せ方が進化しても、本質は変わりません。
暗黙の信頼を置かないこと。
毎回ちゃんと判断すること。
そのための判断材料を、柱ごとに揃えること。
ここです。
だからまず、製品名で追わない。
最初に置くべきなのは、7つの柱の地図です。
ここを押さえれば、次からの各論がかなり入りやすくなります。
次回からは、この7つの柱を1本ずつ見ていきます。
まず最初はアイデンティティです。
やはりここが無いと、何も始まりません。
恐縮でした。
【補足】GW中頑張って７本の柱連載してみます。
