暴かれた：ゼロトラストセキュリティについての6つの神話

ゼロトラストモデルアプローチへの組織の関心が高まるにつれ、フレームワークの基本原則に関するいくつかの誤解が採用の妨げになっています。信じてはいけない神話がいくつかあります。

神話1：ゼロトラストは不信の文化を生み出す

ゼロトラストに関する一般的な誤解は、従業員を信頼しないという考えを助長するというものです。ゼロトラストフレームワークでは、企業がネットワークリソースにアクセスするユーザーを精査する必要がありますが、個人的なものと誤解されるべきではありません。

実際のところ、信頼は組織を攻撃のリスクにさらす可能性のある脆弱性を表しています。サイバー犯罪者は特に信頼を悪用して企業を標的にし、ゼロトラストはこれを軽減する方法を提供します。誰もが建物に入ることを許可するのではなく、キーカードを入力するのと同じです。

最小特権の原則（POLP）を使用することで、組織はしきい値ポリシーをパーソナライズして、ユーザーが獲得した信頼に基づいて必要なリソースへのアクセスのみを許可されるようにすることができます。

神話2：ゼロトラストは製品です

ゼロトラストは戦略またはフレームワークであり、製品ではありません。これは、決して信頼せず、常に検証するという考えに基づいて構築されています。

ベンダーが提供するさまざまな製品は、ゼロトラストの達成に役立ちます。ただし、これらはゼロトラスト製品ではありません。これらは、ゼロトラスト環境でうまく機能する製品にすぎません。したがって、ベンダーがゼロトラスト製品の購入を求めた場合、それは彼らが根本的な概念を理解していないことを示しています。

ゼロトラストアーキテクチャと適切に統合されている場合、さまざまな製品が攻撃対象領域を効果的に最小化し、違反が発生した場合の爆風半径を抑えることができます。完全に実装されると、継続的な検証を行うゼロトラストソリューションにより、攻撃対象領域を完全に排除できます。

神話3：ゼロトラストを実装する唯一の方法

ゼロトラストは、継続的な検証、最小特権アクセスの原則、および攻撃対象領域の軽減を含むセキュリティ原則のコレクションです。

何年にもわたって、ゼロトラストモデルを開始するための2つのアプローチが登場しました。最初のアプローチはIDから始まり、迅速な結果をもたらす多要素認証を含みます。

2番目のアプローチはネットワーク中心であり、ネットワークセグメンテーションから始まります。この概念には、ネットワークセグメントを作成して、それらのセグメント内およびセグメント間のトラフィックを制御することが含まれます。その後、ネットワーク管理者は各セグメントに対して個別の承認を維持できるため、システム内での横方向の脅威の拡散を制限できます。

神話4：ゼロトラストは大企業にのみ役立つ

Googleは、2009年のオーロラ作戦に対応してゼロトラストアーキテクチャを導入した最初の企業の1つでした。これは、Google、Yahoo、Morgan Stanley、AdobeSystemsなどの大企業を狙った一連の攻撃でした。

グーグルが攻撃の直後にゼロトラストモデルを採用したとき、多くの企業はそれが大規模な組織にのみ適用されると考えました（そして今でも考えています）。この概念は、サイバー攻撃が大企業に限定されている場合にのみ当てはまりますが、そうではありません。実際には、2021年のデータ侵害の約46％は中小企業を狙ったものでした。

メディアは大企業に影響を与えるデータ侵害を報道する傾向がありますが、中小企業もサイバー攻撃からの保護を必要としていることは間違いありません。

幸いなことに、小規模な組織はゼロトラストモデルを実装するために銀行を破る必要はありません。これは製品ではないため、企業はゼロトラストアーキテクチャに適度な年間投資を割り当てることで、徐々に導入することができます。

神話5：ゼロトラストはユーザーエクスペリエンスを妨げる

ゼロトラストの採用を妨げるものの1つは、ユーザーエクスペリエンスへの影響の認識です。ユーザーのIDを継続的に検証する場合、ユーザーの生産性と敏捷性が低下すると想定することは理解できます。ただし、適切に実装されている場合、ゼロトラストはユーザーフレンドリーなエクスペリエンスを提供できます。

組織は、ユーザープロファイルを評価し、リスクベース認証と機械学習を組み合わせて、リスクを特定し、迅速なアクセス決定を行うことができます。リスクが高い場合、システムは、リソースを保護するために追加の認証手順を必要とするか、アクセスを完全にブロックする可能性があります。逆に、リスクが低い場合は、認証の課題を排除できます。

ゼロトラストアプローチは、管理面の複雑さも軽減します。請負業者と従業員は、あなたとの取引をやめた場合のセキュリティ責任を負わなくなります。効率的なゼロトラストモデルでは、システムは主要な資産へのアクセスを即座に終了し、バックドアを排除します。

神話6：ゼロトラストはオンプレミス環境に限定されています

多くの企業は、依然としてゼロトラストをオンプレミスでのみ管理できるモデルと見なしています。現在、機密データはハイブリッド環境とクラウド環境に存在するため、これは大きな問題になります。オンプレミスアーキテクチャに影響を与えるサイバー攻撃やハッキングが増加しているため、ますます多くの企業がクラウドに移行しています。

良いニュースは、ゼロトラストが急速に動いていることです。

クラウドにゼロトラストアーキテクチャを確立することで、企業は機密データを保護し、ネットワーク内の脆弱な資産の露出を減らすことができます。

さらに、リモートワーク文化が激化し、サイバー犯罪者が脆弱性を悪用する新しい方法を開発するにつれて、オンプレミスのインフラストラクチャに依存する企業は混乱を招くリスクがあります。

決して信頼しない;常に確認する

組織を標的としたデータ侵害の数に基づくと、セキュリティに対する昔ながらのアプローチでは不十分であることは明らかです。多くの人がゼロトラストは費用と時間がかかると信じていますが、それは現在のセキュリティ問題に対する素晴らしい解毒剤です。

ゼロトラストモデルは、サイバー攻撃で頻繁に悪用されるという理由だけで、信頼ベースのシステムを削除しようとします。これは、ネットワークリソースにアクセスする前に、すべての人とすべてを検証する必要があるという原則に基づいて機能します。これは、リスクを軽減し、セキュリティ体制を改善しようとしている企業にとって価値のある追求です。