「ゼロから信頼性を創り上げる」セキュリティの新たなアプローチ

シスコ ゼロトラストセキュリティ―働き方改革やデジタル化など、近年、企業や組織のネットワーク利用のあり方が大きく変化しています。
それに伴い、従来の境界型セキュリティだけに頼るアプローチは限界に近づきつつあります―

FW

VPN

専用線

―ネットワークの過去から現在へ―
社内の信頼できるユーザが安全なデバイスで、社内のリソースにアクセスする、ファイアウォールなど社内外の境界に位置するセキュリティで社外からの脅威を防御し、社内の安全と信頼性を確保する――これまでは、このような「安全で信頼できる社内」と「危険な社外」という前提や目的に基づく、境界型のセキュリティアプローチが一般的でした。
しかし、現在では、この前提や目的が崩れつつあります。
来訪者など多様なユーザ、さらに BYOD や IoT など多様なデバイスによるアクセスも発生し、アクセス先のリソースがクラウドなど社外に点在するようになり、さらにアクセス元も外出先や自宅、パートナー企業に拡大するなど、社外からの柔軟なアクセスが求められるようになっています。
その結果、次のような課題が生まれています。

多様化する各ユーザ / デバイスに適切なアクセス権を与えたい

従来の境界をまたいで拡大する
攻撃対象を保護したい

従来の境界をまたいで生じうる潜在的なリスクを可視化したい―このような新しい課題に対処できるアプローチとして着目されているのが「ゼロトラスト」セキュリティです―変化するビジネス、IT 環境、そして脅威
ファイアウォールや IPS など、境界型セキュリティで守られた安全な社内ネットワークから危険な社外ネットワーク（インターネット）に接続する、それが従来のビジネスのあり方であり、IT 環境でした。外出先など物理的な社外からでも、インターネットを利用する場合には VPN で境界型セキュリティを経由することが基本的な考え方でした。現在では、働き方改革の推進やクラウド利用の拡大によって、境界型セキュリティを経由しないダイレクト インターネットアクセスが増加しています。また、社内外を出入りするユーザやモバイルデバイスの増加、さらに IoT など、ネットワークに接続するユーザやデバイスも多様化しています。その結果、境界型セキュリティでは対処できない新たな脅威がどんどん生まれてきています。

SaaS

インターネット

アプリは社内のみ

データは社内のみ

VPN OFF

アプリは社外にも信頼できるユーザ / デバイスのみ

ダイレクト
インターネット
アクセス

データは社外にも多様なユーザ、多様なデバイス

VPN ON外出先や在宅勤務など

IaaS

データセンター

拠点

VPN ON

外出先や在宅勤務など

拠点

従来の境界型セキュリティでは対処できない脅威

境界セキュリティを迂回する
ダイレクト インターネットアクセス

なりすましによるVPN 接続

外部ストレージの持ち込み / 持ち出し詐取した ID/PW で不正アクセス

セキュリティ対策が不十分な
IoT デバイス

境界をまたぐ標的型攻撃

境界をすり抜けた
脅威は容易に拡散
境界セキュリティを迂回する
テザリング接続など社外で感染したデバイスの持ち込み

境界セキュリティを迂回する
ダイレクト インターネットアクセス

シスコ ゼロトラストセキュリティ「ゼロトラスト」（zero trust）は、2010 年に Forrest Research 社が発案した概念枠組みです。
「決して信頼するな、常に検証せよ」（never trust, alwaysverify）という基本概念に基づき、従来の境界型セキュリティアプローチのように安全で信頼できる社内と危険な社外という前提ではなく、社内外のあらゆる領域が潜在的に危険であるという前提でセキュリティを実装するアプローチです。
「あらゆるアプリ」「あらゆる場所」の 3 つの領域に分けて保護対象とし、ゼシスコのゼロトラストセキュリティは、企業や組織の IT を「あらゆるユーザとデバイス」
ロトラストの基本概念を各領域で適用します。

あらゆるユーザ●●●

あらゆるデバイス

自社の従業員

●パートナー社員●

ゲスト（来訪者）●

高度なユーザ認証

あらゆるアプリ会社支給●

個人所有（BYOD）●

IoT（モノ）●デバイスの信頼性を評価

あらゆる場所

オンプレミス●オフィス

ハイブリッドクラウド●

自宅

パブリッククラウド●

オン / オフ VPN

通信を検閲最小権限でアクセスを許可

あらゆるユーザとデバイスのためのゼロトラスト：Cisco Duo セキュリティ
Cisco Duo セキュリティは、場所を問わず、あらゆるユーザとデバイスがあらゆ●るアプリケーション（クラウド、オンプレミス、VPN）にアクセスする際に機能●するゼロトラストセキュリティです。

●

デバイスの健全性を検証

多要素認証（Multi-Factor Authentication；MFA）によってユーザアイデンティティを検証
デバイスを可視化して、セキュリティ健全性などに基づいて信頼性を確立
柔軟かつきめ細やかなアクセスポリシーによって、アプリケーションへのアクセスを制御

クラウドダッシュボードでユーザ / デバイス / アプリを可視化

デバイスの健全性を検証

アクセスポリシーに基づくアクセス

Is thatyou?

SIGNED IN!

user@email.com

SIGN IN

1 つ目の認証

アプリ / サーバと通信

Duo にリクエスト送信

2 つ目の認証（多要素認証）

ログイン

あらゆるアプリのためのゼロトラスト：Cisco Tetration
Cisco Tetration は、オンプレミス、ハイブリッドクラウド、パブリッククラウド●

を問わず、あらゆるアプリやサービスが他のシステムと通信する際に機能するゼ●ロトラストセキュリティです。

●

ワークロードとその通信を可視化して信頼性を把握、正常な状態をポリシーとして定義（信頼性を確立）
アプリケーションのマイクロセグメンテーションで脅威を封じ込め、拡散を抑制（信頼性ベースでアクセス許可）
セキュリティ侵害の兆候を継続的に監視して、ポリシー違反時にはアラートを通知、通信を遮断（継続的に信頼性を検証）

アプリケーションのマイクロセグメンテーション

さまざまな環境に分散するアプリケーション
信頼性を確立ベアメタルサーバ

仮想マシン

プライベートクラウド

コンテナ

パブリッククラウド
信継続的に信頼性を検証

信頼性ベースでアクセス許可

BMCCBMVMCC

BM

BM

C

BMC

VM

CCBM

C

VM

BM

VM

CCBM

C

アプリケーションのふるまいを監視してホワイトリストポリシーを自動生成 / 適用

あらゆる場所のためのゼロトラスト：シスコのセキュアなネットワーク
シスコのセキュアなネットワーク（ネットワークセンサーと SD-Access）は、あらゆる場所、すなわちネットワークに、IoT を含むあらゆるユーザ / デバイスがアクセスする際に機能するゼロトラストセキュリティです。

●●

Catalyst 9000 スイッチなど
NetFlow 対応ネットワークデバイスがFW や IPS を●

NetFlow 対応ネットワークデバイスが脅威を検知するセンサーとして稼動
アクセス可否をマトリックス表で簡単設定、VLAN や ACL を使わずにネットワークセグメンテーションを実現
脅威の所在を一目で確認、感染したデバイスは自動的に隔離

Cisco
DNA Center

トラフィックから情報収集
脅威を検知するセンサー化

＆

すり抜ける
標的型攻撃など

連携

SD-Access誰の / どのデバイスが / どこにアクセス可能か
マトリックス表で簡単設定
VLAN や ACL の設定は不要

ISE
感染したデバイスを自動的に隔離

連携

Stealthwatch
スイッチから Stealthwatch に情報提供

どの端末に /どのような脅威があるのか一覧表示で確認可能

シスコ ゼロトラストセキュリティ製品ポートフォリオ
Cisco Duo セキュリティ、Cisco Tetration、シスコのセキュアなネットワークが、シスコ ゼロトラストセキュリティの保護対象となる 3 つの領域「あらゆるユーザとデバイス」「あらゆるアプリ」「あらゆる場所」に対応する主要製品 / ソリューションです。さらにもう 1 つ、Cisco Umbrella がゼロトラストを補完します。
Cisco Duo セキュリティ（あらゆるユーザとデバイスを保護）

Cisco Tetration（あらゆるアプリを保護）

適応型の多要素認証とデバイス可視化を実現するソリューションです。信頼できるユーザとデバイスだけがアプリケーションにアクセスできるようにポリシーをアプリケーションの依存関係やプロセスにおけるふるまいを事実ベースで可視化してホワイトリストポリシー自動生成し、マイクロセグメンテーションによってア適用し、情報漏洩のリスクを軽減します。

プリケーションを保護します。

Cisco SD-Access（あらゆる場所を保護）
Cisco Identity Services Engine（ISE）

Cisco Stealthwatch

Cisco DNA Center

ネットワークデバイスが生成する NetFlow を活用し、ネットワークデバイスの運用管理をできる限り自動化

コントロールとデバイスポスチャを提供する認証ポリ

ネットワーク /トラフィック全体を可視化して脅威を検出することで、管理者の負担削減、設定ミスやトラブルシー管理システムです。

します。Cisco Catalyst 9000 シリーズの場合、暗号化されたトラフィックからでもマルウェアを検出できます。の低減、障害の早期発見と対応の簡素化および短縮化を実現するネットワークコントローラです。

ユーザ / デバイスに対するロールベースのアクセス

Cisco Umbrella（あらゆるユーザ、デバイス、アプリ、ネットワークを保護）
インターネットに接続する、あらゆるユーザ、デバイス、アプリ、およびネットワークを保護するセキュア インターネット ゲートウェイです。DNS レイヤセキュリティをベースに、セキュア Web ゲートウェイ（SWG）、クラウド提供型ファイアウォール、クラウドアプリセキュリティ制御、サンドボックスなど、幅広いセキュリティサービスを提供します。

あらゆるユーザとデバイス
あらゆるアプリ

あらゆる場所

Catalyst9000

Catalyst9000

また、シスコは、信頼性や保護を拡張するさまざまな製品を提供しています。
シスコ ゼロトラストセキュリティは、これらの製品と統合することによって、より包括的なゼロトラストを実現します。

ゼロトラスト アドバイザリサービス
次のような課題を抱えるお客様を対象に、現状分析やロードマップ作成など、ゼロトラストの導入、計画、検討を支援します。
●

ゼロトラストの導入を検討しているが、何から実施すればよいかわからない●

Cisco Firepower NGFW（次世代ファイアウォール）●グローバル基準との比較で自社のセキュリティ対応状況を可視化 / 把握したい●

Cisco AnyConnect（リモートアクセス VPN）●

働き方改革でリモートワークを導入するが、セキュリティ対策に不安がある●

Cisco AMP（高度なマルウェア防御）●

Cisco Threat Grid（高度なサンドボックスと脅威インテリジェンス）●

Cisco E メールセキュリティ & Cisco Web セキュリティ

シスコ ゼロトラストセキュリティの詳細は、次の Web サイトをご覧ください。

www.cisco.com/jp/go/zero-trust©2020 Cisco Systems, Inc. All rights reserved.
Cisco、Cisco Systems、および Cisco Systems ロゴは、Cisco Systems, Inc. またはその関連会社の米国およびその他の一定の国における登録商標または商標です。
本書類またはウェブサイトに掲載されているその他の商標はそれぞれの権利者の財産です。
「パートナー」または「partner」という用語の使用は Cisco と他社との間のパートナーシップ関係を意味するものではありません。（1502R）
この資料の記載内容は 2020 年 5 月現在のものです。
この資料に記載された仕様は予告なく変更する場合があります。

シスコシステムズ合同会社〒107-6227 東京都港区赤坂 9-7-1 ミッドタウン・タワー
http://www.cisco.com/jp

シスコ コンタクトセンター
自社導入をご検討されているお客様へのお問い合わせ窓口です。
製品に関して | サービスに関して | 各種キャンペーンに関して | お見積依頼 | 一般的なご質問

お問い合わせ先
2161-2005-000-TO

お電話での問い合わせ

お問い合わせウェブフォーム

平日 10:00-12:00, 13:00-17:00

https://www.cisco.com/jp/go/vdc_callback

0120-092-255