ゼロトラストは「堀と城壁」型アーキテクチャの欠点に対処し、最新の脅威、サービス、職場、IT 環境に合わせて防御をカスタマイズすることを目指したサイバーセキュリティ・アーキテクチャだ。
その原則は組織や人によって定義が異なるが、米国の連邦政府と国防総省のガイドラインは徐々に進化しながらも、その基本原則は以下の通り一貫しているという。
- アクセス許可は個々のリソースに対して、セッションごとに動的に評価され、継続的に評価・更新される
- 「デフォルトで拒否」を基本姿勢とし、最小限モデルに基づいてアクセスを許可する
- データとリソースを保護には、マイクロペリメータによる不正な横展開の制限が必要となる
- アクセス制御の決定には、アイデンティティだけでなく、より詳細で複数の要素が必要となる
ガートナージャパン 提供資料
ゼロトラストの原則を実行して、セキュリティ／リスクの取り組みを改善する
＞ ＞ 資料ダウンロードはこちら
自組織の現状とゼロトラスト能力のギャップを評価する
府省庁/地方自治体および公共機関・団体は、前述した基本原則を踏まえつつ、「アイデンティティ」「デバイス」「ネットワーク/環境」「アプリケーション/ワークロード」「データ」といった観点に基づいて、タスクを見直すとよいだろう。
「アイデンティティ」を例に取ると、次の項目に対し、自組織の現状とゼロトラスト能力のギャップを評価することになる。
- ユーザー/役割/権限の棚卸
- 単一/エンタプライズIAMソリューションへの集約
- ライフサイクル管理の自動化
- 高度なMFA（多要素認証）の実装
- PAM（特権アクセス管理）による特権アカウントの保護
- ユーザー/エンティティ挙動分析（UEBA）とユーザー・アクティビティ・モニタリング（UAM）の展開
* * *
ここまでゼロトラストの基本原則と実践的な評価方法について解説してきたが、やはりゼロトラストの実現には時間やリソースを要する。リンク先から入手できる資料では、戦略的にゼロトラストの原則を実行するための指針について丁寧に解説しているので、担当者の方にはぜひ目を通していただきたい。
ダウンロード資料のご案内
ガートナージャパン 提供資料
ゼロトラストの原則を実行して、セキュリティ／リスクの取り組みを改善する
＞ ＞ 資料ダウンロードはこちら
[PR]提供：ガートナージャパン