ゼロトラストの原則を実行して、セキュリティ／リスクの取り組みを改善する
府省庁／地方自治体および公共機関・団体のテクノロジ・リーダーのための実践ガイド

「堀と城壁」のアプローチから「ゼロトラスト」へ

企業は何十年にもわたり、「堀と城壁」型のネットワーク・セキュリティ・アーキテクチャを採用してシステムとデータを保護してきました。

オンプレミスのデータセンター、オンプレミスの従業員、そして攻撃者よりも防御側にやや有利なサイバーセキュリティ環境のために構築されたこのアーキテクチャは、安全でコンセンサスを得たアプローチでした。

1990 年代半ば以降、インフラストラクチャ／オペレーションおよびサイバーセキュリティの状況は大きく変化しています。

インフラストラクチャ／オペレーションとサイバーセキュリティにおける状況の変化

APT 攻撃 ( 高度な標的型攻撃 ) が拡大している

旧モデル

Gartner for Cybersecurity Leaders

ランサムウェアが急増し、攻撃者が横方向に移動するリスクが浮き彫りになっている

脅威が防御よりも速いスピードで進歩している

Special Reports

データセンターのワークロードがクラウドに移行されている

インサイダー ( 内部関係者 ) による脅威と手段を択ばずして行われるデータ流出の被害が拡大している

お問い合わせCOVID-19 ( 新型コロナウイルス感染症 )によって加速したリモート
ワーク／ハイブリッド・ワーク
は、パンデミック後の環境では現実的かつ期待されるものとなっている

コア／コモディティ・サービスは、「サービス型(As-a-Service)」のクラウド・ソリューションに移行している

アクセスを許可／拒否の2 択で制御する方法では、今日の複雑なデータ環境に対応しきれない

ダークウェブのマーケットプレースにより、エクスプロイト／マルウェアや「サービス型(As-a-Service)」のサイバー犯罪者へのアクセスが民主化されている

従来の境界が進化し、認証情報も含まれるようになった ( つまり、認証情報が攻撃を受けており、攻撃対象範囲が拡大している )ユーザーと顧客はパフォーマンスとレジリエンスに対し、以前よりも大きな期待を寄せている

新モデル

ゼロトラストの原則を実行して、セキュリティ／リスクの取り組みを改善する

2

ゼロトラストの歴史

ゼロトラストは、従来型／「堀と城壁」型アーキテクチャの欠点に対処し、最新の脅威、サービス、職場、IT 環境に合わせて防御をカスタマイズすることを目指したサイバーセキュリティ・アーキテクチャです。
ゼロトラストは、米国国立標準技術研究所 (NIST) の Special Publication (SP) 800-207「ゼロトラスト・アーキテクチャ (Zero Trust Architecture)」で定義されており、その文書には基本的な考え方と設計要素が示されています。
NIST SP 800-207 は、米国行政管理予算局 (OMB) の覚書 22-09 (M-22-09)「Moving the U.S.
Government Toward Zero Trust Cybersecurity Principles ( 米国政府のゼロトラスト・サイ「Open Source Security TestingMethodology Manual」第3版で、脆弱性としての信頼に関する章が設けられる「ゼロトラスト」という用語が学術研究に登場

1994年

2003年

2007年

2009年

ジェリコ・フォーラム(Jericho Forum) と呼ばれるグループが「非境界化」を模索
Gartner for Cybersecurity Leaders

Special Reports

バーセキュリティ原則への移行 )」に基づいて拡張され、米国の公共セクタの組織が考慮すべき具体的な対策が詳述されています。さらに、米国国防総省 (DoD) のゼロトラスト戦略では、軍事的枠組みにおける軍事機関、戦闘司令部、軍隊のための機関に対するゼロトラストの要件とタイムラインが詳しく成文化されています。
米国サイバーセキュリティ／インフラストラクチャ・セキュリティ庁 (CISA) も、連邦省庁や機関が、従来型／「堀と城壁」型からゼロトラストのサイバーセキュリティ・アーキテクチャに移行する際の進捗状況／成熟度を評価するためのゼロトラスト成熟度モデルを発表しました。

EO 14028

ゼロトラストが Gartner のリサーチに初めて登場

2015年

Google が BeyondCorp ( ゼロトラスト・フレームワーク ) の開発に着手
お問い合わせ

2019年

米国国家安全保障局 (NSA) の「Embracing a Zero
Trust Security Model」

CISA ZT 成熟度モデル 2.0

CISA ZT成熟度モデル1.0

2021年

NIST が SP 800-207「ゼロトラスト・アーキテクチャ(Zero Trust Architecture)」の草案を作成

2022年

2023年

OMB M-22-09

DoD の ZT 戦略

ゼロトラストの原則を実行して、セキュリティ／リスクの取り組みを改善する

3

ゼロトラスト原則を明らかにする
ゼロトラスト・システムの概要

しかし、基本原則は以下のように一貫しています。

• 信頼は暗黙の了解ではない。アクセス許可は、個々のリソースに対して行われ、セッションごとに評価される。またこの許可は、状況に応じて動的に行われ、継続的に評価／更新が行われる• 今日の複雑なデータ環境では、アクセス制御の決定において、( アイデンティティだけでなく ) より詳細で複数の要素が必要とされている

アクセス外部からのフィード• アイデンティティ• アクセス・コンテキスト

関連リソース

Tool: Gartner Cybersecurity Business Value Benchmark ( 英語 )の実行

デフォルトで拒否

分析ョンあらゆるユーザー
またはデバイスセス
アク• データとリソースを保護し、不正な横方向の動きを制限することは非常に重要であり、そのためにはデータ／リソースの周囲にマイクロペリメータが必要となる

継続的なリスク／トラスト・エンジン

リスクに応じたアクセス

トランザクションの実行

リソース

シ• 基本のポスチャ ( 態勢 ) は「最小権限」モデルを使用してアクセスを許可する前に、「デフォルトで拒否」することである

適応トラザク「ゼロトラストの原則」については、組織や人によって定義が異なります。連邦政府と国防総省 (DoD) のガイドラインは一定しておらず、徐々に進化してきました。業界の定義は、ベンダーが自社の製品ポートフォリオの機能を重視するため、変わっていきます。

ン

外部からのフィード• 脅威• セッション・コンテキスト

Gartner のお客様向け関連リソース *Infographic: 4 Essential Stages on the Journey to Zero Trust
Quick Answer: What Are Practical Projects for
Implementing Zero Trust?

出典：Gartner* Gartner のリサーチをはじめとするご希望の情報をご覧いただくには、こちらからお問い合わせください。
契約されているサービスにより本ドキュメントを閲覧いただけない場合もございますので、ご了承ください。

Gartner for Cybersecurity Leaders

Special Reports

お問い合わせゼロトラストの原則を実行して、セキュリティ／リスクの取り組みを改善する

4

ゼロトラストと現行のセキュリティ・モデルの違い

Gartner のお客様向け関連リソース *7 Effective Steps for Implementing Zero Trust Network Access* Gartner のリサーチをはじめとするご希望の情報をご覧いただくには、こちらからお問い合わせください。
契約されているサービスにより本ドキュメントを閲覧いただけない場合もございますので、ご了承ください。

従来の「堀と城壁」型
ネットワーク・セキュリティ

ゼロトラスト・アーキテクチャ

従来の「堀と城壁」型
ネットワーク・
セキュリティ

ゼロトラスト・アーキテクチャ

認証済みのユーザーとパートナー・ネットワークは暗黙的に信頼される(「想定された」信頼 )暗黙のうちに信頼されるものはない ( 許可は継続的な再認証によって明示的に行われる )デフォルトでは「すべて」を(「攻撃対象範囲」を最小化するといった方法で ) 保護する

保護する必要のある重要なデータ、資産、アプリケーション、サービスを保護することに重点を置いている (「保護対象範囲」)

ネットワーク境界がセキュリティで重視される(「ネットワークの防御」)

境界は個々のサービス／能力のマイクロ境界に移行する ( マイクロセグメンテーション、ソフトウェア・デファインド・ペリメータ、「データの防御」)

データは最も重要な基盤である ( ゼロトラストでは最高データ責任者[CDO] が設計、エンジニアリング、実装の過程で決定権を持っている必要がある )セキュリティ・ポスチャは外側から内側に向かって設計構築される ( 境界から始まり、データセンターまで「内側」へと移行していく )データは重要だが、ネットワーク境界やデバイスへのパッチ適用に比べれば( ほとんどの場合 ) 二の次になっている

ゼロトラスト・アーキテクチャは内側から外側に向かって設計される( データ／サービスから始まり、封じ込めを念頭に置いてユーザーに向けて「外側」へと設計する )アイデンティティ／アクセス管理 (IAM) は機能的だが基本的である

ゼロトラストでは、高度な IAM ( フィッシングや検証ツールのなりすましに耐性がある多要素認証 [MFA]、ガバナンスと自動ライフサイクル管理、属性、ユーザー権限、監査、特権アクセス管理 [PAM] など )、および安全で信頼性の高いアイデンティティ・ファブリックが使用されるアクセス可否の判断の大半が静的で許可／拒否の二者択一であり、場合によっては役割ベースである

アクセス可否の判断は、リアルタイム、多要素、コンテキスト・ベース、セッション・ベース、属性ベース、リスク・ベースで行われ、動作異常を検出するためのユーザー分析とアクティビティ監視が組み込まれている

従来型／「堀と城壁」型は手作業中心となり、かつ事後対応的である

ゼロトラストは自動化とプロアクティブな対応を重視する ( セキュリティ・オーケストレーション／自動化／対応 [SOAR]、コードとしてのインフラストラクチャ [IaC]、機械学習 [ML]、AI 対応ツールなど )注：ゼロトラストの原則と従来のセキュリティ・アーキテクチャとの違いの一部を示したものであり、すべてを網羅しているわけではありません。

Gartner for Cybersecurity Leaders

Special Reports

お問い合わせゼロトラストの原則を実行して、セキュリティ／リスクの取り組みを改善する

5

ゼロトラスト原則の基盤を明らかにする
ゼロトラストの要件、タスク、マイルストーン、スケジュールについては、各部署のポリシーと戦略が重要な指針となりますが、以降のページに記載されているアクティビティは、多くの企業におけるアーキテクチャの概要を示すものです。

府省庁／地方自治体および公共機関・団体は、確立されたフレームワークに沿った 7 つの「柱」に基づいて、タスクを見直す必要があります。

関連リソースWebinar: Apply Zero-Trust Principles toImprove Your Security and Risk Posture forFederal Government

ゼロトラストの柱

アイデンティティ

デバイス

12

ネットワーク／環境

3

アプリケーション／
ワークロード

4

OMB M-22-09 と CISA ゼロトラスト成熟度モデル (5 つの柱 )DoD のゼロトラスト戦略 (7 つの柱 )

データ

5自動化／
ワークロード6

可視化／分析ガバナンス

78

CISA ゼロトラスト成熟度モデル ( 分野横断的な 3 つの柱 )出典：Gartner

Gartner for Cybersecurity Leaders

Special Reports

お問い合わせゼロトラストの原則を実行して、セキュリティ／リスクの取り組みを改善する6

「アイデンティティ」の柱：6 つのベスト・プラクティス
1 ユーザー／役割／権限を棚卸しする

アイデンティティ

1• 保護対象とするアイデンティティ ( 一般アカウン
ト、特権アカウント、非人間エンティティ・アカウントなど ) を定義し、古い／使われていないアカウントや取り残されたアカウントを非アクティブ化します。

• ユーザーによるアクセスが許可されているアプリ
ケーション／ワークロード (「権限」) と、それらのアプリケーション／ワークロード内での役割 ( 例
えば、一般ユーザー、パワーユーザー、管理者、ファンクショナル・ユーザー [ 人事、財務など ]) を箇条書きにします。
2 単
 一／エンタプライズ IAM ソリューションへ集約する

複雑さとコストを削減し、実装を加速します。

3 ライフサイクル管理を自動化する

4 フ ィッシングや検証ツールのなりすましに耐性のあるMFA を実装する

PIV、DoD CAC、FIDO2、WebAuthn などの手法を使用して、ネットワーク・レイヤではなくアプリケーション・レイヤで MFA を実施します。

アイデンティティのギャップ分析に移動する

5 PAM を使用して特権アカウントを保護する管理者特権のジャスト・イン・タイム (JIT) ／ジャスト・イナフ・アクセス (JEA) 昇格により、「24 時間 365 日対応のグローバル管理者」に関連するリスクを低減または排除します。

6 ユ ーザー／エンティティ挙動分析 (UEBA) とユー
ザー・アクティビティ・モニタリング (UAM) を展開
する

UEBA と UAM に基づいて異常なユーザー行動を特定します。

アカウントの作成、オンボーディング、更新、オフボーディング、無効化、削除などを自動化します。

Gartner for Cybersecurity Leaders

Special Reports

お問い合わせゼロトラストの原則を実行して、セキュリティ／リスクの取り組みを改善する7

「デバイス」の柱：4 つのベスト・プラクティス
1 デバイスを棚卸しする

デバイス

2

保護対象のデバイス、およびそのデバイスの「健全性」を示す関連属性を、企業標準に照らして把握します( パッチの状態、ポリシーの適用状況、ウイルス対策の状態、認定ソフトウェア、場所、種類など )。

2 C
 omply-to-Connect (C2C) の「健全性」チェックをアクセス可否判断に統合する

健全性チェックの結果を考慮して、ローカル・ネットワークやクラウド・サービスなどでのアクセス可否を判断します。

Gartner for Cybersecurity Leaders

Special Reports

お問い合わせ3 エンドポイント検知／対応 (EDR) を実装する

エンドポイント・デバイスに EDR を導入することで、攻撃の特定、およびインシデントへの迅速な対応と修復が可能になります。

4 ユニファイド・エンドポイント管理 (UEM) を展開する

デバイスのギャップ分析に移動する

全社的なパッチ管理、ポリシー管理、脆弱性管理、資産管理のためのツールを提供し、使用することで、可視性を高め、単一のコンソールでの状況把握を実現します。

ゼロトラストの原則を実行して、セキュリティ／リスクの取り組みを改善する8

「ネットワーク／環境」の柱：5 つのベスト・プラクティス
ネットワーク／環境

3

1 ネットワーク／エンクレーブを切り分ける

インシデントの拡大を効果的に封じ込め、データへの不正アクセスを防止するために、攻撃者による横方向の移動を制限します。

2 デ ータセンター内にマイクロセグメンテーションを実装する

攻撃者による横方向の移動を制限し、リソース／サービスからのアクセス、リソース／サービスへのアクセス、リソース／サービス間のアクセスを制御します。

3 ソ
 フトウェア・デファインド・ペリメータ (SDP) を介して、クラウド・ホスト型のワークロード／サービスへのアクセスを制御する

クラウド・ホスト型のワークロード／サービスの可視性とアクセスに制限をかけ、これらのワークロード／サービスへの VPN アクセスを置き換えて、可視性と制御を強化します。

Gartner for Cybersecurity Leaders

Special Reports

お問い合わせ4 セキュリティ・サービス・エッジ (SSE) を実装する

社内の境界セキュリティ・スタックを集約してクラウド・ホスティングを推進し、次世代ファイアウォー
ル、セキュア Web ゲートウェイ、クラウド・アクセス・セキュリティ・ブローカなどのサービスを提供して、場所を問わずユーザー、デバイス、データを保護します。

5 転送中のデータを暗号化する

HTTP トラフィック、DNS クエリ、API コール、アプリケーション・データなどを最新の暗号化プロトコル(TLS 1.3 など ) で暗号化することで、攻撃者によるパケット・キャプチャのリスクを最小限に抑え、大量の復号に対応できます。

ネットワーク／環境のギャップ分析に移動する

Gartner のお客様向け
関連リソース *Market Guide for Zero Trust
Network AccessWebinar: End-User Insights on
Zero Trust Network Access* Gartner のリサーチをはじめとするご希望の情報をご覧いただくには、こちらからお問い合わせください。
契約されているサービスにより本ドキュメントを閲覧いただけない場合もございますので、ご了承ください。

ゼロトラストの原則を実行して、セキュリティ／リスクの取り組みを改善する

9

「アプリケーション／ワークロード」の柱：6 つのベスト・プラクティス
アプリケーション／ワークロード

4

1 アプリケーション開発を DevSecOps へ移行する

4 アプリケーション・セキュリティ・テストを活用する

2 セキュア API ゲートウェイを実装する

5 イ
 ミュータブル・ワークロードを使用し、デプロイ済みワークロードを継続的に検証する

カスタム・アプリケーションを開発／展開している組織において、DevSecOps はアプリケーション・セキュリティを向上させ、修正プログラムや機能の開発と展開を加速させます。
悪意のある攻撃経路 (SQL インジェクション、サービス拒否攻撃など ) から保護するレイヤとして追加します。

3 承認済みバイナリの使用を義務化する

アプリケーション開発において、悪意のあるコードが ( 意図的かどうかを問わず ) ソフトウェアのベースラインに混入することに伴うリスクを軽減します。

Gartner for Cybersecurity Leaders

Special Reports

お問い合わせ自動コード分析ツール、領域専門家による手動分析、独立したサードパーティ・プロバイダーによるテストを活用し、コード品質／セキュリティを向上させ、アプリケーションが攻撃に抵抗できるようにします。

アプリケーション／ワークロードのギャップ分析に移動する

非本番環境でパッチ適用、更新、構成を行った後、デプロイし、古いバイナリと確認の完全な置き換え／上書きを行います。

6 ア プリケーション／サービス／データへの動的アクセスを許可する

アプリケーションとワークロードは、ユーザーの役割／属性、デバイスの属性、UEBA と UAM のアラート／異常に基づいてアクセスを許可または拒否するように構成する必要があります。

ゼロトラストの原則を実行して、セキュリティ／リスクの取り組みを改善する

10

「データ」の柱：4 つのベスト・プラクティス
1 企業標準に基づいてデータのタグ付けと分類を行う

データ

5

粒 度 の 細 か い ア ク セ ス・ コ ン ト ロ ー ル・ ポ リ シ ー(「データを知る (Know Your Data)」) に基づいて機密データを保護し、情報漏洩防止 (DLP) およびデジタ
ル著作権管理 (DRM) 機能の効果を高めます。

2 DLP を実装する

データ侵害、盗難、不正共有 ( 意図的でない、あるいはインサイダー・リスクによるもの ) に起因する不正なデータ流出のリスクを低減します。

Gartner for Cybersecurity Leaders

Special Reports

お問い合わせ3 DRM を展開する企業のセキュリティ境界を離れた場所でも、ファイルへのアクセスと閲覧を制御します。

4 保管しているデータを暗号化する

データのギャップ分析に移動する侵害されたシステムのディスク上のデータに攻撃者がアクセスすることでもたらされるリスクを軽減します。

ゼロトラストの原則を実行して、セキュリティ／リスクの取り組みを改善する

11

DoD リーダーが検討すべきその他の事項：4 つのベスト・プラクティス

その他

1 ロ
 グ／イベントのトリアージ、分析、集約に向けてAI/ML 利用を促進する

3 タ
 スクの自動化と、コードとしてのインフラストラク
チャ (IaC) の利用を拡大する

2 セ キュリティ・オーケストレーション／自動化／対応(SOAR) を実装する

4 サ
 イバー脅威インテリジェンスのデータ・フィードを、アラート機能を搭載したセキュリティ情報／イベント管理 (SIEM) へ統合する

イベント・データのトリアージ、集約、分析をより効率的に行うために、AI を活用してログ・データの増加に対処します。

手動プロセスよりも迅速にインシデントを検出／緩和／解決します。

Gartner for Cybersecurity Leaders

Special Reports

お問い合わせワークロード／ネットワーク／サービスをデプロイして構成する際の脆弱性や設定ミスを削減します。

異常なアクティビティや、新規 / 最新の悪意のあるアクティビティに関連するパターンをプロアクティブに特定します。

ゼロトラストの原則を実行して、セキュリティ／リスクの取り組みを改善する

12

ゼロトラストの実現には時間とリソースを要する
ゼロトラスト・セキュリティ・アーキテクチャは、従来のセキュリティ・アーキテクチャの暗黙的で静的なトラスト・モデルを、動的で明示的なトラスト・モデルに置き換えます。セキュ
リティ／リスク・マネジメントのリーダーは、組織のリスク・ポスチャを最適にするために、ゼロトラスト・プログラムの明確なロードマップを策定しなければなりません。このロードマップは、ゼロトラスト戦略を採用する組織にとって、今後数年間にわたる行動指針となります。
多くの組織にとって、ゼロトラストを実現するには複数の段階からなるプログラム・レベルの実装が必要です。組織内でゼロトラストの導入を効果的に行うには、組織変更管理、オペレーション、経営幹部の賛同が必要になります。ゼロトラスト・アーキテクチャの一部のメリットについては、少しずつ特定のインスタンスで実現される可能性がありますが、ゼロトラスト・アーキテクチャを大規模かつ複雑な組織に拡大するには時間がかかります。

戦略的ロードマップのタイムライン• 原則、範囲、ガバナンスを定義する• ゼロトラスト制御のオペレーションを強化する• アイデンティティ・システムとプロセスを集約し、簡素化する• ゼロトラスト制御を重要なワークロードへと拡大する• 組織にメリットを伝達する• リモート・アクセスの価値実証(POV) の構築に注力する

開始
推進要因

• ゼロトラスト戦略を策定する• マルウェアが横方向に移動するリスクを低減する

Gartner のお客様向け関連リソース *• アイデンティティのプロセスとテクノロジを改善する

Strategic Roadmap for Zero Trust Security Program
Implementation

Quick Answer: Explaining Zero Trust Security Approaches
to Tech Executives* Gartner のリサーチをはじめとするご希望の情報をご覧いただくには、こちらからお問い合わせください。
契約されているサービスにより本ドキュメントを閲覧いただけない場合もございますので、ご了承ください。

Gartner for Cybersecurity Leaders

Special Reports

お問い合わせ• POV を拡大する• 範囲を確定し、バックアップのアクセス経路を排除してリソースを完全に切り分ける• リモート・アクセスのゼロトラ
ストをオンプレミスのユースケースに拡大する• 脅威を検出するための分析機能と、脅威を緩和するための自動化機能を構築する

1年目• 最適なリスク・ポスチャに向けてポリシーを最適化／自動化する

2年目

推進要因

推進要因

• ゼロトラスト・ポリシーを簡素化
して、エンドユーザー・エクスペリエンスを向上させる• ゼロトラスト・ポリシーによるオペレーションへの影響を最小限に抑える• ワ ー ク ロ ー ド と SaaS ア プ リ ケ ーションのリスクを低減する• チーム横断的なコラボレーションのためのガバナンスを強化する

3年目• リソースを完全に切り分ける• インサイダー ( 内部関係者 ) による脅威とアカウント侵害を検知／対応する

出典：Gartner

ゼロトラストの原則を実行して、セキュリティ／リスクの取り組みを改善する

13

確信を持ってゼロトラスト・イニシアティブを実行する
迅速に好スタートを切るための 10 のステップ

下記の番号をクリックすると、10 のステップの内容が表示されます。

Gartner の展望

2025 年までに、組織の 60% 以上がゼロトラスト原則をセキュリティの出発点として採用するようになります。
しかしその半数以上がゼロトラストのメリットを得られず失敗するでしょう。明確なアクション・プランを策定することが、ゼロトラスト原則の導入を成功させ、セキュリティ／リスク・ポスチャを改善する第一歩となります。
出典：Gartner

12345678910

Gartner for Cybersecurity Leaders

Special Reports

お問い合わせゼロトラストの原則を実行して、セキュリティ／リスクの取り組みを改善する

14

アイデンティティのギャップ分析
1

ゼロトラストに対する準備態勢を評価する
ゼロトラストのタスク／活動のフレームワークを使用して、現状を評価し、ゼロトラスト能力を部署／機関から「継承」するかどうかを評価します。この作業により、戦略プランやロードマップで解消すべきゼロトラスト能力のギャップを特定できるようになります。これらの柱は、互いに補完し合う戦略的能力であり、連続したタスクではありません。ゼロトラストへの過程は企業ごとに異なるものであり、ミッションの要件によって各領域での優先順位付けも異なります。

アイデンティティのギャップを特定し、対応する
アイデンティティ

現状部署／機関から「継承」するゼロトラスト能力

ギャップ

ユーザー／役割／権限の棚卸しを行う企業のアイデンティティ／アクセス管理 (IAM) に集約する
アイデンティティ／アカウントのライフサイクル管理を自動化する
フィッシングや検証ツールのなりすましに対抗できる
多要素認証 (MFA) を実装する
特権アクセス管理 (PAM) を使用して特権アカウントを保護する
ユーザー／エンティティ挙動分析 (UEBA) とユーザー・アクティビティ・モニタリング (UAM) を展開する

Gartner for Cybersecurity Leaders

Special Reports

お問い合わせゼロトラストの原則を実行して、セキュリティ／リスクの取り組みを改善する

15

デバイスのギャップ分析
2

デバイスのギャップを特定し、対応するデバイス

現状部署／機関から「継承」するゼロトラスト能力

ギャップ

デバイスと関連属性の棚卸しを行う

Comply-to-Connect (C2C) の「健全性」チェックをアクセス可否の判断に統合する
エンドポイントの検知／対応 (EDR) を実装する

ユニファイド・エンドポイント管理 (UEM) を適用する

Gartner for Cybersecurity Leaders

Special Reports

お問い合わせゼロトラストの原則を実行して、セキュリティ／リスクの取り組みを改善する

16

ネットワーク／環境のギャップ分析3

ネットワーク／環境のギャップを特定し、対応するネットワーク／環境

現状部署／機関から「継承」するゼロトラスト能力

ギャップ

ネットワーク／エンクレーブを隔離する

マイクロセグメンテーションによって横方向の移動を制限する
ソフトウェア・デファインド・ペリメータ (SDP) を介して、クラウド・ホスト型のワークロード／サービスへのアクセスを制御する
セキュリティ・サービス・エッジ (SSE) を実装する

転送中のデータを暗号化する

Gartner for Cybersecurity Leaders

Special Reports

お問い合わせゼロトラストの原則を実行して、セキュリティ／リスクの取り組みを改善する

17

アプリケーション／ワークロードのギャップ分析
4

アプリケーション／ワークロードのギャップを特定し、対応するアプリケーション／ワークロード

現状部署／機関から「継承」するゼロトラスト能力

ギャップ

アプリケーション開発を DevSecOps へ移行する

セキュア API ゲートウェイを実装する

アプリケーション開発において承認済みバイナリの使用を義務付ける
管理プログラムの脆弱性については、オープンな情報源と非公開／管理された情報源を利用する
アプリケーション・セキュリティ・テストと第三者機関による評価を活用する
イミュータブル・ワークロードを使用し、デプロイ済みワークロードを継続的に検証する
ユーザーの役割／属性、デバイスの属性、UEBA と UAM の異常に基づいて、アプリケーション／サービス／データへの動的アクセスを許可する
Gartner for Cybersecurity Leaders

Special Reports

お問い合わせゼロトラストの原則を実行して、セキュリティ／リスクの取り組みを改善する

18

データのギャップ分析
5

データのギャップを特定し、対応するデータ

現状

部署／機関から「継承」するゼロトラスト能力ギャップ

企業標準に基づいてデータをタグ付けし、分類する
情報漏洩防止 (DLP) を実装する

デジタル著作権管理 (DRM) を導入する

保管しているデータを暗号化する

Gartner for Cybersecurity Leaders

Special Reports

お問い合わせゼロトラストの原則を実行して、セキュリティ／リスクの取り組みを改善する

19

その他の検討事項のギャップ分析

DoD リーダーのための自動化／ワークロード／可視性／アナリティクスのギャップ分析
その他の検討事項

現状

部署／機関から「継承」するゼロトラスト能力ギャップ

企業標準に基づいてデータをタグ付けし、分類する
情報漏洩防止 (DLP) を実装する

デジタル著作権管理 (DRM) を導入する

保管しているデータを暗号化する

Gartner for Cybersecurity Leaders

Special Reports

お問い合わせゼロトラストの原則を実行して、セキュリティ／リスクの取り組みを改善する

20実用的で客観的な知見

府省庁／地方自治体および公共機関・団体の成功に向けて、サイバーセキュリティ・リーダーのためのリソース／ツールを無償でご利用いただけます。
Products

Gartner for CISOs
最高情報セキュリティ責任者(CISO) 向けサービス

Roadmap

Client Story

Conference

アジリティとレジリエンスを強化するために実行すべき、5 つの重要なアクションを紹介します。

Gartner がどのように政府機関のイノベーション実現を支援したのかを事例によって解説します。

参加者同士のネットワーキングを通じて、新たな課題に取り組み、変革を推進します。

ロードマップ：デジタル・ガバメ
ントを実現する 5 つのステージ

セキュリティ領域のミッション・クリティカルな優先課題において、優れたパフォーマンス向上に役立
ちます。
詳細を見る

今すぐダウンロード

CIO-CISO Alignment Creates
Organizational Stability

ガートナー セキュリティ＆リスク・マネジメント サミット

今すぐダウンロード ( 英語 )今すぐ登録

Gartner のお客様は、クライアント・ポータルでさらに多くのリソースをご利用いただけます。ログイン
Gartner for Cybersecurity Leaders

Special Reports

お問い合わせゼロトラストの原則を実行して、セキュリティ／リスクの取り組みを改善する21

Connect With Us
Gartner は、お客様のミッション・クリティカルな課題について、より優れた意思決定と大きな成果へと導く実行可能かつ客観的な知見を提供します。

リサーチサービスに関するお問い合わせサイバーセキュリティ・リーダーを成功に導く Gartner のサービス
gartner.co.jp/ja/cybersecurity

最新の知見をご確認ください© 2024 Gartner, Inc. and/or its affiliates. All rights reserved. CM_GTS_2671037_JP