ゼロトラストセキュリティの6つの誤解――「神話」を暴き、正しい理解を得る

ゼロトラストセキュリティモデルは、決して新しい概念ではありません。2010年、Forrester Researchのジョン・キンダーバグ（John Kindervag）が論文「No More Chewy Centers: Introducing the Zero Trust Model of Information Security」を発表して以来、存在し続けている考え方です。

ゼロトラストのアプローチは、「ユーザーやアプリケーションを、たとえネットワーク境界の内側にいるものであっても、決して無条件に信頼してはならない」という信念を中心に据えています。

この考え方は、Google、コカ・コーラ、NSA（米国国家安全保障局）といった大手企業や組織によってすでに採用されており、日々深刻化するサイバー攻撃の脅威への対抗手段となっています。しかしその一方で、主流への普及を妨げる障害も依然として残っています。

ゼロトラストセキュリティをめぐる誤解

組織のゼロトラストモデルへの関心が高まるにつれ、フレームワークの基本原則に関する誤解が導入の妨げとなっています。ここでは、信じてはいけない代表的な「神話」を6つ紹介します。

誤解その1：ゼロトラストは不信の文化を生み出す

ゼロトラストに関するよくある誤解の一つが、「従業員を信用しない」という思想を助長するというものです。確かにゼロトラストのフレームワークでは、ネットワークリソースへアクセスするユーザーを精査する必要がありますが、それを個人的な不信と捉えるのは誤りです。

実際のところ、「信頼」こそが組織を攻撃のリスクにさらす脆弱性なのです。サイバー犯罪者は信頼を悪用して企業を標的にします。ゼロトラストは、このリスクを軽減する手段となります。例えるなら、誰でも自由に出入りできる建物ではなく、カードキーによる入退室管理のようなものです。

最小権限の原則（POLP：Principle of Least Privilege）を活用すれば、組織はアクセス基準となるポリシーを柔軟に設計でき、ユーザーが積み上げた信頼度に応じて、業務に必要なリソースのみへのアクセスを許可できます。

誤解その2：ゼロトラストは製品である

ゼロトラストは戦略やフレームワークであって、特定の製品ではありません。その根幹にあるのは「決して信頼せず、常に検証する（Never Trust, Always Verify）」という考え方です。

ベンダーが提供するさまざまな製品はゼロトラストの実現に役立ちますが、それら自体が「ゼロトラスト製品」であるわけではありません。あくまでゼロトラスト環境で有効に機能する製品にすぎません。もしベンダーが「ゼロトラスト製品」の購入を勧めてきたら、それは根本的な概念を理解していない証拠と言えるでしょう。

ゼロトラストアーキテクチャに適切に統合されれば、各種製品は攻撃対象領域（アタックサーフェス）を効果的に最小化し、万一侵害が発生した際の被害範囲（ブラスト半径）を封じ込められます。そして完全に実装されれば、継続的な検証を行うゼロトラストソリューションは、攻撃対象領域そのものを排除できる可能性もあります。

誤解その3：ゼロトラストの実装方法は一つだけ

ゼロトラストとは、継続的な検証、最小権限アクセスの原則、攻撃対象領域の縮小といったセキュリティ原則の集合体です。

これまでの実践の中で、ゼロトラストモデルを始めるための2つのアプローチが確立されてきました。1つ目はアイデンティティ起点のアプローチで、多要素認証（MFA）の導入から着手するため、短期間で成果が出やすいのが特徴です。

2つ目はネットワーク起点のアプローチで、ネットワークセグメンテーションから始まります。この手法では、ネットワークを複数のセグメントに分割し、セグメント内外のトラフィックを制御します。ネットワーク管理者は各セグメントごとに個別の認可を設定できるため、システム内での横方向（ラテラル）の脅威拡散を抑えられます。

誤解その4：ゼロトラストは大企業だけのためのもの

Googleは、2009年の「オペレーション・オーロラ（Operation Aurora）」への対応として、ゼロトラストアーキテクチャを導入した最初期の企業の一つです。これは、Google、Yahoo、モルガン・スタンレー、Adobe Systemsといった大企業を標的とした一連のサイバー攻撃でした。

Googleが攻撃の直後にゼロトラストモデルを採用したことから、多くの企業は（今でもそう考えているケースがありますが）、この仕組みは大規模な組織専用だと認識しました。しかし、この考えが成立するのはサイバー攻撃が大企業に限定されている場合だけであり、現実は違います。実際、2021年に発生したデータ侵害の約46％は中小企業が標的だったという調査結果もあります。

メディアは大企業に影響を与えるデータ侵害を大きく取り上げる傾向がありますが、中小企業こそサイバー攻撃からの保護を必要としているのは明らかです。

朗報なのは、小規模な組織でも大きな投資なしにゼロトラストモデルを導入できる点です。ゼロトラストは製品ではないため、毎年適度な予算を割り当てながら、段階的にアーキテクチャを整備していくことが可能です。

誤解その5：ゼロトラストはユーザー体験を損なう

ゼロトラスト導入の障壁の一つが、ユーザー体験（UX）への悪影響を懸念する声です。ユーザーのIDを継続的に検証すれば、生産性や業務の俊敏性が低下すると考えるのは自然かもしれません。しかし、適切に実装すれば、ゼロトラストはむしろ快適なユーザー体験を提供できます。

組織はユーザープロファイルを評価し、機械学習を組み合わせたリスクベース認証によってリスクを即時に判定し、迅速なアクセス制御を行えます。リスクが高いと判断された場合は、追加の認証ステップを要求したり、リソース保護のためにアクセスを遮断したりします。逆にリスクが低いと判断されれば、認証の手間を省略することもできるのです。

さらに、ゼロトラストのアプローチは管理面の複雑さも軽減します。請負業者や従業員との契約が終了しても、彼らがセキュリティ上のリスク要因として残ることがありません。効率的なゼロトラストモデルの下では、システムは重要な資産へのアクセス権を即座に失効させ、バックドアを排除します。

誤解その6：ゼロトラストはオンプレミス環境限定である

依然として多くの企業は、ゼロトラストをオンプレミス環境でのみ運用できるモデルだと考えています。しかし、機密データがハイブリッド環境やクラウド環境に分散して保管される現在、これは重大な問題になりかねません。サイバー攻撃やハッキングによるオンプレミスインフラへの影響が拡大する中、クラウドへ移行する企業はますます増えています。

幸いなことに、ゼロトラストもまた、その動きに合わせて急速に進化しています。

クラウド上にゼロトラストアーキテクチャを構築することで、企業は機密データを保護し、ネットワーク内の脆弱な資産の露出を最小限に抑えられます。

加えて、リモートワークの定着とともにサイバー犯罪者が新たな脆弱性の悪用手口を開発し続ける中、オンプレミスインフラのみに依存する企業は、業務停止のリスクに常にさらされることになります。

まとめ：決して信頼せず、常に検証する

組織を標的としたデータ侵害の件数を見れば、従来型のセキュリティアプローチではもはや十分ではないことは明らかです。「ゼロトラストは高価で時間がかかる」と思われがちですが、今まさに直面しているセキュリティ課題に対する有力な処方箋と言えます。

ゼロトラストモデルは、サイバー攻撃においてあまりにも頻繁に悪用されるため、信頼ベースの仕組みそのものを排除しようとするものです。ネットワークリソースへのアクセス前に、人もデバイスも含めたすべてを検証するという原則に基づいて機能します。リスクを低減し、セキュリティ態勢の強化を目指すすべての企業にとって、取り組む価値のある道筋でしょう。