[連載]ゼロトラスト7つの柱を振り返る。完璧を求めすぎす、見えるところから少しずつ進めればいい[最終回]

恐縮です。

ここまで、ゼロトラストを実現するための7つの柱として、アイデンティティ、デバイス、ネットワーク、ワークロード、データ、可視化と分析、自動化を見てきました。

以下、7回(+0回)のリンクです。

振り返って思うのは、ゼロトラストは「製品を順番に入れる話」ではないということです。

もちろん製品は必要です。
IdPも、EDRも、SSE/SASEも、DLPも、SIEMも、必要になる場面があります。
でも、本当に大事なのは製品名ではありません。

何を見て、何を判断し、どこまで許可し、どこで止めるのか。

ここです。

ゼロトラストは、現場にとってかなり重いテーマです。
やることが多い。
関係者も多い。
例外も多い。
理想通りには進まない。

だからこそ、順序が大事です。

最初にアイデンティティを整える。
誰なのかが分からないと、何も判断できません。

次にデバイスを見る。
どの端末から来ているのか。
管理下なのか。
危険な状態なのか。
ここが分からないと、アクセス制御は粗くなります。

そのうえで、ネットワークの到達経路を見直す。
誰でも広く入れるのではなく、必要なリソースへ、必要な条件でだけ到達させる。

さらに、ワークロードを見る。
人の認証がきれいでも、クラウド上のアプリや実行環境が雑なら、そこが穴になります。

そしてデータを見る。
何を守るのかが分からないままDLPを入れても、うるさい装置になるだけです。

可視化と分析では、各柱から出る信号を集め、判断に変える。
最後に自動化で、判断できるものを、決めた手順で、安全に速く動かす。

この順序には意味があります。
土台がないまま上に積むと崩れるからです。

IDが弱いままSASEを入れても、ポリシーは粗くなります。
端末状態が見えないままアクセス制御を細かくしても、例外だらけになります。
データ分類がないままDLPを入れても、現場と揉めます。
ログの文脈がないまま自動化しても、怖くて止められません。

だから順序は大事です。

ただし、順序を気にしすぎて止まる必要はありません。
ここも同じくらい大事です。

(矛盾することを言ってるなぁと書きながら思っていますが。。)

ゼロトラストに、遅い早いはありません。
今から始めても遅くないです。
すでに少し進めているなら、それでいいです。
全部そろっていなくてもいい。
まずはできるところからでいいんです。

IdPの棚卸しでもいい。
MFAの適用範囲を広げることでもいい。
端末の可視化でもいい。
VPN例外の洗い出しでもいい。
外部共有の確認でもいい。
ログの優先順位付けでもいい。

大事なのは、止まらないことです。
小さくても前に進めることです。

そして、やる気も大事です。
これは精神論に聞こえるかもしれません。
でも現場ではかなり大事です。

ゼロトラストは、誰か一人が気合いで入れれば終わるものではありません。
情シス、セキュリティ、インフラ、開発、業務部門、委託先、時には経営層まで関係します。

途中で必ず面倒になります。
例外も出ます。
反発も出ます。
「そこまでやる必要あるのか」と言われます。

そこで折れないためには、思想ではなく、現場で説明できる言葉が必要です。

これは業務を止めるためではない。
守るべきものを守りながら、必要なアクセスを安全に通すためだ。
最初から完璧にするためではなく、少しずつ事故りにくい状態へ近づけるためだ。

この説明を繰り返すしかありません。

最初から完璧を目指す必要はありません。
むしろ、最初から完璧を目指すと高い確率で止まります。

全部のSaaSを一気に制御する。
全端末を一気に管理する。
全ログを一気に集める。
全アラートを一気に自動化する。

これは見た目は立派ですが、現場ではかなり危ないです。
影響範囲が大きすぎる。
例外が多すぎる。
誰も責任を持てない。

だから、PDCAを回す。

まず見える化する。
影響を測る。
小さく制御する。
誤検知を潰す。
例外を整理する。
ルールを見直す。
また広げる。

この繰り返しです。

特に大事なのは、最初からブロックしすぎないことです。

いきなり止めると、現場は警戒します。
業務が止まれば、セキュリティ施策そのものが敵になります。

最初は可視化でいいです。
まず何が起きているのかを見る。
誰が、どの端末で、どこへ、何に、どのデータへアクセスしているのかを見る。
どこに例外があるのかを見る。
どこが危ないのかを見る。

見えてから、警告する。
警告して、影響を見る。
本当に危ないものから、限定的に止める。
止めたら、戻し方も決める。
そのうえで、少しずつ強くする。

これでいいです。

ゼロトラストは、完成図を一気に作るプロジェクトではありません。
現場で回しながら成熟させる運用です。

昨日より少し見える。
先月より少し判断できる。
半年前より少し安全に止められる。

その積み重ねで十分です。

7つの柱は、全部を同時に完璧に立てるものではありません。
ただし、どれか一つだけで完結するものでもありません。

アイデンティティから始まり、デバイス、ネットワーク、ワークロード、データへ広がり、可視化と分析で判断し、自動化で動く。
この流れを少しずつつなげていく。

それが、現場で回るゼロトラストの形だと思います。

焦らなくていいです。
でも、止まらない方がいいです。

完璧じゃなくていいです。
でも、見直し続けた方がいいです。

最初から止めなくていいです。
でも、見える化は始めた方がいいです。

ゼロトラストは、やる気と順序と継続です。
そして最後は、現場で回るかどうかです。

そこを外さず、少しずつ進めていきましょう。

恐縮でした。

連載の途中で入れた一息的な記事もリンクしておきます。
最終回につながるお話になっております。

明日以降はもう少し具体的な話や技術面も記事にしてみようと思います。
連載を読んでいただきありがとうございました。