ゼロトラストセキュリティは、ネットワークを対象としてセキュリティを高める手法だ。「信頼は与えられるものではなく、検証されるものだ」という原則に従う。従来のセキュリティモデルでは、企業のネットワーク境界内に存在するデバイスやユーザーを信頼できると考えて扱ってきた。しかし、ゼロトラストモデルでは、従来の境界内であっても全てのアクセスを潜在的な脅威として扱い、アクセスを許可する前に厳格な認証と検証を必要とする。

　厳格な認証を実現するため、多要素認証はもちろん、ユーザーのアクセス状況からリスクを判定し、リスクがあると判定した場合に追加の認証を実行するリスクベース認証の他、IPアドレスや地域、利用デバイスなどによるアクセス制御を行うコンテキストベースの認証などの厳格な認証メカニズムを実装することがある。

　継続的な監視のために、ネットワーク上のトラフィックとアクティビティーを常に監視し、分析することが必要だ。ユーザー行動の分析の他、デバイスやネットワークの異常な動作の検出、侵入検知システムや侵入防止システムの展開が含まれる場合がある。ログの分析やポリシーの更新、ユーザーやデバイスのオンボーディング／オフボーディングなどのタスクを管理するために、専用のチームや追加のリソースを割り当てる必要がある。

欠点は認証と監視だけではない

　ネットワークインフラの増強　ゼロトラストの導入時にはネットワークインフラのアップグレードや導入が必要になる場合がある。高度な認証メカニズムをサポートする追加のハードウェアやソフトウェアコンポーネント、ネットワークトラフィックの監視と分析のためのツールなどだ。これらの変更や導入にはコストがかかり、物理的なネットワーク設計の見直しが必要になる場合もある。

　スケーラビリティの課題　大規模な組織や複雑なネットワーク環境でゼロトラストを導入すると、実装自体に時間がかかる。運用中に増減する多数のユーザーやデバイス、リソースを管理し、それぞれのアクセスを個別に認証、監視しなければならないため、管理のオーバーヘッドとコストが大幅に増える可能性がある。

　この他、そもそもゼロトラスト導入時と運用時に組織のネットワーク利用のポリシーや手順の大幅な再設計が必要になる場合がある。これがデメリットとも考えられる。

ゼロトラストの欠点をカバーするには

　このようなゼロトラストの欠点をカバーする方法は幾つもある。企業の規模やネットワークの用途、構成によって以下に挙げた解決策には向き不向きがあるので、ゼロトラスト導入前に十分な調査が必要だ。

　認証については管理しやすい手法を取り入れるべきだろう。シングルサインオン（SSO）を実装して、一度認証すると複数のアプリケーションやリソースにアクセスできるようにするとよいだろう。管理者側、ユーザー側を問わず、認証の手間が減る。

　もう一つは何らかのパスワードレス認証を導入することだ。多要素認証には導入、運用に手間が掛かるものとそうでないものがある。従業員全体に網をかけ、さらに認証情報が漏れにくい工夫をすべきだ。その他、外部にサービスを提供していない企業であってもパスキーが利用できる。

　ネットワークインフラについては合理化を進めるべきだ。ある程度規模が大きなネットワークを利用しているのなら、ソフトウェア定義ネットワーク（SDN）とネットワーク仮想化（NFV）を採用するとよい。ネットワークの設計と管理が柔軟になり、ゼロトラストを実装、管理する手間が少なくなる。管理の手間を下げるもう一つの方法はマイクロセグメンテーションの実装だ。ネットワークをより小さなセキュリティゾーンに分割することで、攻撃の範囲を制限できるため、管理の手間が減る。

　合理化のもう一つの方法はクラウドベースのセキュリティソリューションの採用だ。クラウドベースのファイアウォールや侵入検知システム、セキュアWebゲートウェイなどのサービスを使用すると、オンプレミスのインフラと比較して、展開、コスト、管理のオーバーヘッドの問題を解決できる場合がある。

　この他、セキュリティオーケストレーションや自動化、SOAR（Security Orchestration, Automation and Response）ソリューションの導入を導入すると、セキュリティタスクの自動化やワークフローの合理化、インシデント対応の高速化が可能になる場合がある。

　最後に、ゼロトラストであっても人がセキュリティの穴になる可能性は残る。管理者はもちろん、ユーザーにもゼロトラスト環境の維持に役立つトレーニングを実施して、ベストプラクティスをいつでも参照できるようにしよう。