テレワークの普及やクラウドサービスの利用が進むなか、国内の企業でもゼロトラストセキュリティの導入事例が増えてきている。海外で発案されたゼロトラストセキュリティだが、どのように導入し、定着させていくべきだろうか。

1月20日に開催されたTECH+セキュリティセミナー「ゼロトラストの効能、システム・運用変更のポイント」で、HENNGE Cloud Sales Division　West Japan Sales Section Regional Manager 奥谷慶行氏は、ロールプレイングゲーム(RPG)に例えて独自の視点から解説した。

  • HENNGE Cloud Sales Division　West Japan Sales Section Regional Manager 奥谷慶行氏

ゼロトラストというRPGで一番最初に手に入れるべき武器は?

ゼロトラストは、米国立標準技術研究所(NIST:National Institute of Standards and Technology)が公開している「NIST SP800-207 Zero Trust Architecture」で定義されているが、抽象的な表現や専門用語が多く理解しづらい部分も多くある。

そこで奥谷氏は、ゼロトラストセキュリティの概念をRPGに例えて次のように説明する。

「自分の住んでいる村のリソースを攻撃者から守ろうとすると、RPGでは武器や防具を駆使して敵と戦わなければならない。また、村にはさまざまな仕事をしている人たちが住んでいるため、勇者や魔法使いとなって村人を守る人が必要となる。さらに、RPGではキャラクターをレベルアップさせたり、多くのメンバーを仲間にして特技を生かせるパーティをつくったりすることで、より強大な敵に立ち向かっていく。こうして、さまざまな手段で外部からの攻撃に対抗する点は、ゼロトラストの考え方と似ている。

ただし、ゼロトラストはすべてを疑う『性悪説』で物事を考える必要がある。そのためには、システムを誰がどのように使っているか、どこが弱く何を守るべきか、己を知ることが何より大事。会社として管理できないシステムを利用してはならない」(奥谷氏)

とはいえ、HENNGE社自身においても、社内システムのクラウド移行開始当初には、利用サービスが増えていくことによるID/パスワードの散在、シャドーITの存在、不正アクセス対策など、多くの課題を抱えていたという。奥谷氏は「さまざまなシステムが別々に運用されており、どこから手を付けてどのような対策を打てばよいかわからない状態だった」と振り返る。

幸いにも最近では、それぞれの敵に対して有効な対策が定義され、多くのソリューションが各社より提供されている。奥谷氏によると、なかでもHENNGEが提供するクラウドセキュリティサービス「HENNGE One」は、RPGでまず最初に手に入れるべき剣のような武器になりえるという。

「ゼロトラストでは、利用しているサービスやシステム、ユーザーの所属部門や働き方、利用端末などを一括で管理したうえで、戦う相手を特定しなければならない。HENNGE Oneは、ユーザーとデバイスの一元管理を可能とするSaaS認証基盤(IDaaS)。さまざまなクラウドサービスを利用するユーザーおよびデバイスを特定してセキュアなアクセス制御を実現する」(奥谷氏)

導入実績の豊富さと充実したサポートで、あらゆるフェーズの企業が利用

HENNGE Oneは、各種クラウドサービスへのセキュアなアクセスを実現するID管理サービス「HENNGE One IdP Edition」と、クラウドメールに対するPPAP対策・メール監査・標的型攻撃対策を実現するメールセキュリティソリューション「HENNGE One E-Mail Security Edition」からなるオールインワンサービスだ。導入実績の豊富さと充実したサポートにより、2021年9月末現在で利用者数1952社、利用ユーザー数約213万人を誇る。

HENNGE One IdP Editionは、シングルサインオンやSSOポータル、アクセス制御、アクセスログ管理、ID管理といった機能を持つほか、Active Directoryとの連携も可能。また、端末を特定するためのデバイス証明書やセキュアブラウザも提供することで、統一された管理を図りながら、ユーザーの利便性を損なわずに各種クラウドサービスをセキュアに利用できるようにしている。

充実したサポートもHENNGE Oneの特徴の1つだ。働き方の変化に合わせたポリシーの変更、ポリシーに従ったルールの作成・変更を代わりに行う設定代行サービスを提供するほか、シングルサインオンの接続検証、マニュアルの作成などもサポート。導入後にはHENNGE Oneの活用に向けたオンボーディングオンラインセミナーも用意されている。こうした手厚い支援体制により、HENNGE Oneは低い解約率を維持しているという。

なお、HENNGE One E-Mail Security Editionは、Exchange OnlineやGmailと連携し、脱PPAP対策、メール監査、標的型攻撃対策を実現する機能のほか、大容量ファイル送受信用オンラインストレージやアーカイブ機能なども備えている。

HENNGE Oneは、ゼロトラストセキュリティの構築を目指すさまざまなフェーズの企業が導入している。たとえば静岡ガスでは、Microsoft 365の導入をきっかけにHENNGE Oneを採用し、現在ではセキュアウェブゲートウェイであるZscalerとの連携も実現しているという(導入事例:https://hennge.com/jp/service/one/case/shizuokagas/)。

「サイバーセキュリティには終わりがない。敵を倒しても、また新たな敵が登場する。今回のRPGに例えた説明を思い出して、一足飛びに解決しようとするのではなく、着実に武器を揃えてレベルアップしていってほしい。まずは、HENNGE Oneという剣を手に入れ、他の武器も揃えていくことで、敵やラスボスと戦えるようにしていただければ」(奥谷氏)

[PR]提供：HENNGE