〜 「ゼロトラスト」を読み解く 〜プロフィール

Speaker

永野 憲次郎■所属
株式会社中電シーティーアイ インフラユニット
セキュリティサービス部
セキュリティ基盤グループリーダー■略歴
CHUDEN-CSIRTの⼀員として、中部電⼒グループにおけるセキュリティ事象の監視，分析・調査および対策の実⾏部隊を統括セキュリティ監視サービスなど、外販向けのセキュリティサービスの企画・運営も担う
日本シーサート協議会 地区活動委員
JNSA 事業コンプライアンス部会 部会員
JNSA 社会活動部会 部会員

アフターコロナ時代のセキュリティ

1. 本日皆さんにお伝えしたいこと
2. 今後の世の中はどう変わっていくのか
3. 「ゼロトラスト」とは何か
4. これから必要なセキュリティ
5. おわりに3

Copyright © ChudenCTI Co., Ltd. All rights reserved.

１．本日みなさんにお伝えしたいこと
テレワークやリモート会議が当たり前となった今、セキュリティの課題はさらに複雑化しています。
そんな中「ゼロトラスト」や「ゼロトラストセキュリティ」と⾔う⾔葉がクローズアップされています。
しかし、「ゼロトラスト」は、セキュリティの「答え」でも「目的」でもありません。
「ゼロトラスト」と言うキーワードに踊らされることなく、みなさんの組織で進むべきセキュリティの取り組みを⾒つけていただければ幸いです。
なお、本セミナーの内容は、私の個⼈的⾒解が多く含まれていますのでご了承ください。

4

Copyright © ChudenCTI Co., Ltd. All rights reserved.

２．今後の世の中はどう変わっていくのか
2020年、新型コロナウイルス（COVID-19）の⼤流⾏により私たちの⽣活様式や働き⽅が大きく変わりました。
社会ではテレワークが促進されるとともに、リモート会議も当たり前のように開催されるようになりました。
近年急速に発展しているDX（デジタルトランスフォーメーション）の流れ（デジタルデータの活用の推進）も相まって、IoTやクラウドサービスの活用も促進されて、生活そのものがデジタル化する傾向が強まっています。

5

Copyright © ChudenCTI Co., Ltd. All rights reserved.

２．今後の世の中はどう変わっていくのか
2020年９⽉に発⾜した菅内閣も、デジタル庁の新設を発表し、これからのデジタル社会の発展が⽇本経済の復興に貢献すると期待しているようです。

参照︓平井卓也公式ページ（https://www.hirataku.com/topics/1094/）6

参照︓デジタル・ニッポン2020（https://jimin.jp-east2.storage.api.nifcloud.com/pdf/news/policy/200257_1.pdf）
Copyright © ChudenCTI Co., Ltd. All rights reserved.

２．今後の世の中はどう変わっていくのか
デジタルニッポン2020で解説されている10年後の⽇本の姿は、かなり的を得ているものだと考えます。
ここで⽰されている政策提⾔が妥当かは別として、社会の状況などの⾵刺は恐らく近いものになっているはずですので、その内容をいくつかご紹介します。

引⽤︓デジタル・ニッポン2020
Page No.10

7

Copyright © ChudenCTI Co., Ltd. All rights reserved.

２．今後の世の中はどう変わっていくのか
2030年の⽇本では超⾼齢化が進み、現役世代はデジタルネイティブとなっている。
新型コロナウイルスは周期的に発生しており、2030年までには、新たなパンデミックを覚悟しなければならない。
引⽤︓デジタル・ニッポン2020

Page No.11l 人口は約１億１千６百万人（現在から約１千万人の減少）
l ６５歳以上の高齢者が人口の約１／３占める → 社会保障の限界
l 学生時代からインターネットに親しんだデジタルネイティブ世代は５０歳前後
l 生まれた時からスマホやSNSがあった世代は３０歳前後
l 2002年（SARS）、2012年（MARS）、2020年（COVID-19）→ １０年以内に再びパンデミックは訪れる
8

Copyright © ChudenCTI Co., Ltd. All rights reserved.

２．今後の世の中はどう変わっていくのか

引⽤︓デジタル・ニッポン2020
Page No.18

9

Copyright © ChudenCTI Co., Ltd. All rights reserved.

２．今後の世の中はどう変わっていくのか
2030年、⽇本社会の理想像は人間中心の「デジタル田園都市国家」であり、デジタライゼーションにより、地⽅における働き⽅、医療、教育が進化している。
※あくまで１０年後の理想像

引⽤︓デジタル・ニッポン2020

Page No.12

l COVID-19の流⾏以降、ネットワーク⾃体やセキュリティが⼤きく⾒直され、データ資源を活用した経済となる → DXが⾏き渡っている状態
l 「逆都市化」が進み、人々が地方でも幸せに暮らせる → デジタル田園都市国家
l リアルな現場の効率化、リモートワークの普及 → 地方に住み都市部並みの収入
l オンライン医療の普及、健康を核としたデータガバナンスの構築
l オンライン授業の普及 → ティーチングからコーチングへ教師の役割がシフト
10

Copyright © ChudenCTI Co., Ltd. All rights reserved.

２．今後の世の中はどう変わっていくのか
2030年の「デジタル⽥園都市国家」では、⾏政⼿続きはマイナンバーカードとスマホで完結でき、サプライチェーンは⾒直されて、トラストが重視されている。エンターテイメントは最新技術でどこでも楽しめるようになり、防災は広域かつリアルタイムな仕組みが完備されている。
※あくまで１０年後の理想像

引⽤︓デジタル・ニッポン2020

Page No.13l 適法な個人情報の活用 → 医療、企業活動、⾏政の効率と正確性が向上
l ⾏政のデジタル化が加速 → ⾏政⼿続きでの紙、対⾯、押印は例外扱い
l IoT/AI/ロボット/3Dプリンタの活用 → 工場（生産現場）は国内に回帰
l 防災情報や感染者情報のリアルタイムでの共有
11

Copyright © ChudenCTI Co., Ltd. All rights reserved.

２．今後の世の中はどう変わっていくのか

ちなみに・・・
経済界では５年前から同じようなことを言っていました

参照︓https://jane.or.jp/app/wp-content/uploads/topic359/topic_1.pdf
12

Copyright © ChudenCTI Co., Ltd. All rights reserved.

２．今後の世の中はどう変わっていくのか
ここで紹介した10年後の⽇本の姿は、すでに顕在化しつつあり、理想像には追い付かないものの、数年後には現実のものとなってくるでしょう。
「リモートワークなど働き方の変革」と「デジタルデータの爆発的増大」は、避けて通れない道であり、コンピュータネットワークの接続形態やセキュリティの在り⽅について根本から⾒直すことが必要になってくるでしょう。
「デジタルニッポン2020」でもリモートワークとクラウドの活用について、セキュリティを確保しながら使われるべきだと提言しています。
「デジタル田園都市国家」のリモートワークでは、自らの端末だけでなく、クラウド上のデータやサービスを活用する形態になる。そのため、オフィス内外のネットワーク境界を失くし、モバイル等様々な端末が、セキュリティを確保しながら使われるようになるべき。
引⽤︓デジタル・ニッポン2020
13

Page No.30

Copyright © ChudenCTI Co., Ltd. All rights reserved.

２．今後の世の中はどう変わっていくのか
サイバーセキュリティ強化に関しては以下の３点について提言しています。
① サイバーセキュリティ強化︓地⽅／中⼩企業
2020年の緊急事態宣⾔を受けてインターネットとそのセキュリティの重要性が改めて認識された。特に多くの中⼩企業ではセキュリティが脆弱であり、クラウドサービスの導⼊促
進等、中小企業のセキュリティ対策はさらに強化すべきである。
引⽤︓デジタル・ニッポン2020

Page No.42② サイバーセキュリティ強化︓新たな技術の導⼊巧妙化するサイバー犯罪や量⼦コンピュータの実⽤化により従来型の暗号化やパスワードによる運⽤の限界が⾒られているため、秘密分散、秘密／秘匿計算等、国として新たなセキュリティ技術の導入を進めるべき。
引⽤︓デジタル・ニッポン2020
14

Page No.43

Copyright © ChudenCTI Co., Ltd. All rights reserved.

２．今後の世の中はどう変わっていくのか③ サイバーセキュリティ強化︓ゼロトラスト
社会全体でインターネットの活用が盛んになり、様々なネットワーク境界が存在する現在、益々巧妙化するサイバーセキュリティ脅威に対して、すべてのネットワークを信頼しない「ゼロトラスト」なネットワークセキュリティの重要性が増している。ゼロトラストセキュリ
ティを積極的に推進し、官庁でもその採用を推進すべき。
引⽤︓デジタル・ニッポン2020

Page No.44

ここで「ゼロトラスト」という⾔葉が出てきます。

「ゼロトラスト」とは何なのか、ここから掘り下げてみましょう。

15

Copyright © ChudenCTI Co., Ltd. All rights reserved.

３．「ゼロトラスト」とは何か（１）ゼロトラストの歴史「ゼロトラスト」という⾔葉は2010年に、Forester社が初めて提唱しました。
情報活用とセキュリティを両⽴するための考え⽅として、すべてのアクセスに対して、「信頼しない」＝「ゼロトラスト」の状態からチェックし、認証・認可する考え方です。

16

参照︓https://go.forrester.com/government-solutions/

Copyright © ChudenCTI Co., Ltd. All rights reserved.

３．「ゼロトラスト」とは何か
その後、2016年にGoogle社が、「ゼロトラスト」の考え方を採用し、設計から実装までのアプローチを「BeyondCorp」という研究論⽂として発表したことによりブレイクしました。
「BeyondCorp」は、Google社内のイニシアチブとして始まり、実際にGoogle社員のワークスタイルとして採用されています。

参照︓
https://cloud.google.com/beyondcorp?hl=ja

17

Copyright © ChudenCTI Co., Ltd. All rights reserved.

３．「ゼロトラスト」とは何か
2018年にはForester社が、「拡張ゼロトラスト（Zero Trust Extended）」として主要な「ゼロトラストアーキテクチャ」をコンポーネント化して再定義します。
しかし、これらのコンポーネントは多くのアーキテクチャを含むため、ベンダー各社が、自社なりの解釈と強みでロジックを組み⽴てて、独⾃のゼロトラストソリューションを謳い、混とんとした状況となりました。

参照︓Yhoo︕Japan ニューズhttps://news.yahoo.co.jp/byline/ohmototakashi/2019111
2-00150232/
18

Copyright © ChudenCTI Co., Ltd. All rights reserved.

３．「ゼロトラスト」とは何か
2019年にNIST（アメリカ国⽴標準技術研究所）が、SP800-207を発表し、多くの技術者が、これを「Zero Trust Architecture」の標準と認めるようになりました。
※NIST SP800-207（Final）は、2020年8月に発表

19

Copyright © ChudenCTI Co., Ltd. All rights reserved.

３．「ゼロトラスト」とは何か
NIST SP800-207（Zero Trust Architecture）のドキュメントの構成は、以下のようになっています。

20

Section １

イントロダクション

Section ２

ゼロトラストの基本方針

Section ３

ゼロトラスト・アーキtクチャの論理コンポーネント

Section ４

導入シナリオ／ユースケース

Section ５

ゼロトラストアーキテクチャに関する脅威

Section ６

既存の連邦政府間の影響

Section ７

ゼロトラスト・アーキテクチャへの移⾏

Copyright © ChudenCTI Co., Ltd. All rights reserved.

３．「ゼロトラスト」とは何か
NIST SP800-207（Zero Trust Architecture）を読み解くにあたり、⾔葉の定義をしておきます。
ゼロトラスト
全てのネットワークアクセスを信頼できないものとしたうえで、サブジェクト（人・デバイス・システム・ネットワーク）を常に検証して、データへのアクセス制御を⾏ない、セキュリティを確保する考え⽅、アイデア、ポリシー
ゼロトラスト・アーキテクチャー
ゼロトラストの考え方に基づいたセキュリティ実装を実現するための要素技術

21

Copyright © ChudenCTI Co., Ltd. All rights reserved.

３．「ゼロトラスト」とは何か
ゼロトラスト・アーキテクチャーの基本方針（SP800-207 Section 2 より）（１）全データ・全てのコンピューティングサービスはリソースとみなされる（２）ネットワーク接続の場所にかかわらず全ての通信は保護される（３）企業リソースへのアクセスは、アクセス毎（セッション単位）に承認を受ける（４）リソースへのアクセスは、監視可能な状態を含む動的ポリシーによって決定される（５）システムの安全性が確保されていることを可視化する（６）すべてのリソース認証と承認は動的に厳密に処理する（７）リアルタイムでのシステムやネットワークの情報など可能な限りの情報を収集する

22

Copyright © ChudenCTI Co., Ltd. All rights reserved.

３．「ゼロトラスト」とは何か（１）全データ・全てのコンピューティングサービスはリソースとみなされる全てのコンピュータリソース、ネットワークリソース、ネットワークに接続されるデバイス、システム、サービス、アプリケーション、データのすべてがリソースであるとしています。
データセンタクラウドサービス
サーバ・通信機器
アプリケーション
データIoTセンサー

公衆WiFi
PC・プリンタ等

23

ネットワークサービス

モバイル

Copyright © ChudenCTI Co., Ltd. All rights reserved.

３．「ゼロトラスト」とは何か（２）ネットワーク接続の場所にかかわらず全ての通信は保護される全ての通信は、アクセス元の場所、アクセス先のデータの場所にかかわらず、暗号化技術などのテクノロジーを利⽤した安全な経路を利⽤するとしています。
データセンタクラウドサービス

接続場所にかかわらず、エンド to エンドで暗号化されることや、信頼度の低い経路に誘導されないようにする対策が必要

会社内からのアクセスも安全とはみなさない
会社

出張先

⾃宅
Copyright © ChudenCTI Co., Ltd. All rights reserved.

24

３．「ゼロトラスト」とは何か（３）企業リソースへのアクセスは、アクセス毎（セッション単位）に承認を受ける
過去にアクセス許可された接続元からの通信であっても、アクセス毎に同じプロセスで評価し、リソースへのアクセスを認可するとしています。

Untrusted

ID・PW

25

許可拒否Copyright © ChudenCTI Co., Ltd. All rights reserved.

３．「ゼロトラスト」とは何か（４）リソースへのアクセスは、監視可能な状態を含む動的ポリシーによって決定されるクライアントID、ユーザアカウント、認証情報、接続元デバイスの状態、アクセス先のアプリケーション／サービス、アクセスするデータの属性、アクセス頻度や⾏動属性などの様々な情報をインプットとしてリソースへのアクセスを許可・拒否することが望まれます。
ID
PW

アプリ

etc…
DATA
属性

証明書

許可拒否

26

Copyright © ChudenCTI Co., Ltd. All rights reserved.

３．「ゼロトラスト」とは何か（５）システムの安全性が確保されていることを可視化する
システムパッチの適用状況やセキュリティ侵害の状況が可視化されてていることが望まれます。安全性が確保されていないデバイスやユーザアカウントからのアクセスの限定的な制限または、アクセス拒否が必要となります。

xxxx未適用
612台

xxxx適用済み
2,109台27

Copyright © ChudenCTI Co., Ltd. All rights reserved.

３．「ゼロトラスト」とは何か（６）すべてのリソース認証と承認は動的に厳密に処理する
マルチファクタ認証やAIなどの技術を活用し、ユーザの真正性を動的に判定し、認証後も異常なアクティビティの検出などがあれば再認証を⾏ないます。

28

Copyright © ChudenCTI Co., Ltd. All rights reserved.

３．「ゼロトラスト」とは何か（７）リアルタイムでのシステムやネットワークの情報など可能な限りの情報を収集する
組織は、IT資産に関する情報、ネットワークトラフィック、アクセスリクエスト、プロセス、ユーザ情報などの現在のリソースの状態を正しく把握します。

29

Copyright © ChudenCTI Co., Ltd. All rights reserved.

３．「ゼロトラスト」とは何か
ゼロトラスト・アーキテクチャーの基本コンポーネント（SP800-207 Section 3 より）
NIST SP800-207 では、ゼロトラスト・アーキテクチャのコアとなる論理コンポーネントを以下の図で示しています。

30

Copyright © ChudenCTI Co., Ltd. All rights reserved.

３．「ゼロトラスト」とは何か
図を分解しながら解説します。⾚枠で囲った部分はシステム等から出⼒されるインプット情報です。これらの情報はリソースへのアクセスポリシーの決定に利⽤します。

31

Copyright © ChudenCTI Co., Ltd. All rights reserved.

３．「ゼロトラスト」とは何か
インプット情報は、以下の８種類が定義されていますが、今後のITの発展や利⽤⽅法の変革により、さらに増えるかもしれません。

32

No. 出⼒元のシステム

内容

１ continuous
diagnostics andmitigation（CDM）
システム

CDMはネットワークとシステムに対して、セキュリティに関する継続的な診断と脅威の緩和を⾏う仕組みです。例えば、パッチ未適用の脆弱な端末やシステムを特定し、リソースへのアクセス可否の判断に利⽤するなどが考えられます。

２ 業界コンプライアンス

例えば、⾦融や通信事業など業界や組織固有のコンプライアンスルールに従い、リソースへのアクセス可否の判断を⾏ないます。

３ 脅威インテリジェンス

例えば、ブラックリスト（URL、IPなど）やマルウェアや攻撃者のプロファイル情報などの脅威情報に基づいて、リソースへのアクセス可否判断を⾏います。
Copyright © ChudenCTI Co., Ltd. All rights reserved.

３．「ゼロトラスト」とは何か

33

No. 出⼒元のシステム

内容

４ アクティビティログ

例えば、ネットワークのトラフィックやアクセス元の位置情報、リソースへのアクセス実⾏頻度などのイベント情報に基づいてリソースへのアクセス可否判断を⾏います。

５ データアクセスポリシー

例えば、組織の所属や職掌、システム上の権限などによるリソースへのアクセスポリシーです。

６ PKI

例えば、電⼦証明書によるクライアントの認証情報や有効期限、失効リストなどの情報により、本人認証との整合確認やリソースへのアクセス可否判断を⾏います。

Copyright © ChudenCTI Co., Ltd. All rights reserved.

３．「ゼロトラスト」とは何か
No. 出⼒元のシステム

内容

７ ID管理システム

例えば、ID（ユーザアカウント）を管理するシステムで、IDの有効期限やIDが保有するロール、失効情報などにより認証と、リソースへのアクセス可否判断を⾏います。
多要素認証などのより厳格な本⼈認証にも利⽤されます。

８ SIEM

例えば、システムログやネットワークトラフィック情報、IPSなどのセキュリティイベントを相関分析することで、アクセス元の健全性を確認するなどの利⽤⽅法が想定されます。

インプットされた複数の情報から多角的にリソースへのアクセス可否を判定することで、認証・認可の精度を上げることができます。
34

Copyright © ChudenCTI Co., Ltd. All rights reserved.

３．「ゼロトラスト」とは何か赤枠で囲った部分をコントロール・プレーンと定義しています。

35

Copyright © ChudenCTI Co., Ltd. All rights reserved.

３．「ゼロトラスト」とは何か
コントロール・プレーンは、ポリシーを決定するフローを示しており、アクセスの許可・拒否を決定するポリシーエンジン（PE）と、ポリシー管理（PA）から構成される「ポリシー決定ポイント（PDP）」が定義されています。
PEは、クライアントのリソースアクセスを許可・インプット拒否する機能で、先ほど紹介したインプット（PDP）ポリシー決定ポイント
情報１
情報を諸元に判定を⾏います。
インプット情報２（PE）ポリシーエンジン…

（PA）ポリシー管理

インプット
情報ｎ

アクセス要求

許可・拒否

PAは、リソースへのアクセス要求をPEへ連携し、PEから承諾・拒否のサインを受け取ります。
承諾された場合は認証トークン情報を⽣成し、拒否された場合はセッションのシャットダウン要求を⽣成し、次項で説明するポリシー実⾏ポイントへ伝達します。
Copyright © ChudenCTI Co., Ltd. All rights reserved.

３．「ゼロトラスト」とは何か赤枠で囲った部分をデータ・プレーンと定義しています。

37

Copyright © ChudenCTI Co., Ltd. All rights reserved.

３．「ゼロトラスト」とは何か
データ・プレーンは、人やプログラム、IoTセンサーなどのサブジェクトが、目的のリソース（システム、ファイルやデータ）にアクセスするまでのフローを表しています。
システムへアクセスした時点では、Untrusted（信頼しない）状態です。
PDP
許可・拒否

アクセス要求Subject

SystemUntrusted

（PEP）
ポリシー
実⾏ポイントEnterprise
Resource
Trusted

PEPは、PDPで決定されたポリシーに基づきSubject（クライアント）とリソース間のアクセス制御を⾏ないます。
38

Copyright © ChudenCTI Co., Ltd. All rights reserved.

３．「ゼロトラスト」とは何か
ゼロトラスト・アーキテクチャは、複数のインプット情報に基づいて、動的に決定したポリシーに基づき、リソース（データ）へのアクセス制御を⾏う仕組みが中核の技術と言えます。
インプット
情報１

Subject

インプット
情報２
…
インプット
情報ｎ

Any Network

PE
PA
許可・拒否

アクセス要求PEP

SystemUntrusted

39

Enterprise
Resource

PDP

Trusted

Copyright © ChudenCTI Co., Ltd. All rights reserved.

３．「ゼロトラスト」とは何か
ここまで、NIST SP800-207（Section 2、Section 3）から、ゼロトラスト・アーキテク
チャの基本的な構成を解説してきました。
「ゼロトラスト」は、セキュリティを改善するための考え方の一つであり、「ゼロトラスト・アーキテクチャ」は、その要素技術になります。
SP800-207 のSection 3以降の記述は、以下になります。
Section 4 「導入シナリオ／ユースケース」
Section 5 「ゼロトラストアーキテクチャに関する脅威」
Section 6 「既存の連邦政府間の影響」
今日は割愛します m(_ _)m40

Copyright © ChudenCTI Co., Ltd. All rights reserved.

３．「ゼロトラスト」とは何か
ゼロトラスト・アーキテクチャへの移⾏に関する考察（SP800-207 Section 7 より）Section 7 には重要なメッセージが記述されていますのでポイントを説明しておきます。

41

Copyright © ChudenCTI Co., Ltd. All rights reserved.

３．「ゼロトラスト」とは何か
It is unlikely that any significant enterprise can migrate to zero trust ina single technology refresh cycle.
（翻訳が間違っているようであればご指摘ください）
どんな重要企業であっても、⼀度のテクノロジー更新サイクルで、ゼロトラストへ移⾏できることはほとんどないでしょう。
「⼤企業であっても（政府や⾏政機関も）、何度ものシステムリプレースと採用技術の更新の過程で、ゼロトラストへ移⾏していくことになる」 と私は解釈しました。

42

Copyright © ChudenCTI Co., Ltd. All rights reserved.

３．「ゼロトラスト」とは何か
There may be an indefinite period when ZTA workflows coexist with nonZTA workflows in an enterprise.
（翻訳が間違っているようであればご指摘ください）
ZTAワークフローと非ZTAワークフローが企業内で共存する期間は無期限になるかもしれないでしょう。
「企業内のワークフローがゼロトラストだけになる（非ゼロトラスト≒境界型セキュリティがなくなる）ことはおそらく無い」 と私は解釈しました。

43

Copyright © ChudenCTI Co., Ltd. All rights reserved.

３．「ゼロトラスト」とは何か
POINT1︓
既存のソリューションでは、部分的なゼロトラスト・アーキテクチャの導入しかできない
また、ほんの一部の業務に対するゼロトラスト化にしかならない
POINT2︓ゼロトラスト・アーキテクチャと既存のセキュリティ（境界型セキュリティ）は、共存し続けることになる※本格導入するためには、重要データを取り扱う全ての業務システムの認証・認可の仕組みに手を入れなければならない
44

Copyright © ChudenCTI Co., Ltd. All rights reserved.

４．これから必要なセキュリティ「ゼロトラスト」の導入は、目的ではありません。
皆さんの組織が解決したい課題は、ゼロトラストですべて解決するものではありません。
ここからは、「これからのセキュリティをどのように検討すればよいか」 について一緒に考えてみましょう。

45

Copyright © ChudenCTI Co., Ltd. All rights reserved.

４．これから必要なセキュリティ
これからのIT環境の変化へ対応するために、必要となるセキュリティを設計するときの一つのアプローチとして「ゼロトラスト」という考え方があります。
では、皆さんの組織で、これからのIT環境の変化（すでに始まっている変化）の中で、課題となりそうな事はどんなことでしょうか︖
いくつかのケースを想定してみました。

46

Copyright © ChudenCTI Co., Ltd. All rights reserved.

４．これから必要なセキュリティ
Case1: ⾃宅やサテライトオフィスから仕事をさせたいが、セキュリティに不安がある
まず最初に検討してほしいこと
どんな仕事を⾃宅でさせたいか（例）基本的には⽂書作成やメールでのお客さまとのやり取りだけで良い
スケジュール確認や社内のWeb会議は必要
勤務状況は把握できるようにしたい
対応方針①
⾃宅リモート環境から実施する業務を定義して、社内のIT環境から分離可能な環境で仕事をしてもらう（例）メールやスケジュール、タスク管理、ファイル共有など最低限必要な機能がある安
全なクラウドサービスを利⽤（マルチファクタ認証の仕組みがあれば利⽤する）
47

Copyright © ChudenCTI Co., Ltd. All rights reserved.

４．これから必要なセキュリティ
Case1: ⾃宅やサテライトオフィスから仕事をさせたいが、セキュリティに不安がある
次に検討してほしいこと
PCのセキュリティ、通信環境、勤務管理など（例）専⽤PCを貸与／社内で利⽤しているノートPCを利⽤／私有のPCを利⽤
通信キャリアのWiFiを貸与／社給のスマホでテザリング／⾃宅のWiFi等
サービス利⽤履歴／タスク管理ツール＋ログイン履歴／メール等
対応方針②
即⽇利⽤可能な⽅法を選択するが、社内のIT環境から分離できないPCのセキュリ
ティを強化する（例）PCには、クラウド上から管理可能なEDRを導⼊し遠隔からの管理を実施
文書作成・修正はクラウド上で全て完結させる（ダウンロードしない）
勤務管理はメールでの開始・終了連絡で代⽤48

Copyright © ChudenCTI Co., Ltd. All rights reserved.

４．これから必要なセキュリティ
Case1: ⾃宅やサテライトオフィスから仕事をさせたいが、セキュリティに不安がある
原始的ですが・・・・エビデンスとしてはOK

49

Copyright © ChudenCTI Co., Ltd. All rights reserved.

４．これから必要なセキュリティ
Case1: ⾃宅やサテライトオフィスから仕事をさせたいが、セキュリティに不安がある対応
l メールやスケジュール、タスク管理、ファイル共有など最低限必要な機能がある安全なクラウドサービスを利⽤
l PCには、クラウド上から管理可能なEDRを導⼊し遠隔からの管理を実施
l 文書作成・修正はクラウド上で全て完結させる（ダウンロードしないルール）
l 勤務管理はメールでの開始・終了連絡で代⽤

今回（例）としてあげたケースでは、ゼロトラストの考えを取り⼊れているのかを考えると、動的なアクセス制御や認証・認可の仕組みは取り入れていません。
ここに、ゼロトラストのエッセンスを１つ加えてみましょう。
l クラウド上で作成した文書は社内からアクセスしたときだけダウンロード可能に制御する
少しだけゼロトラストの考えを取り入れたファイル共有の仕組みでセキュリティ強化ができました。
50

Copyright © ChudenCTI Co., Ltd. All rights reserved.

４．これから必要なセキュリティ
Case２: リモートからのVPN接続により、一定のセキュリティは担保できているが、ネットワーク遅延が発生し、生産性の低下につながっている
まず最初に検討してほしいこと
どんな業務に負担をかけているか（例）クラウド型のメールサービスを利⽤しているが、読み込みに時間がかる
Web会議の画像表⽰に時間がかかるうえ、⾳声も聞き取りずらく時間が⻑引く
対応方針①
クラウドサービスと社内システムのトラフィックを分離する（例）クラウドサービス向けの通信はデータセンターを通らないように設計
データセンターを通らない通信は、クラウド型のセキュリティサービスからアクセス

51

Copyright © ChudenCTI Co., Ltd. All rights reserved.

４．これから必要なセキュリティ
Case２: リモートからのVPN接続により、一定のセキュリティは担保できているが、ネットワーク遅延が発生し、生産性の低下につながっている
次に検討してほしいこと
PCのセキュリティ、通信環境、勤務管理など（例）専⽤PCを貸与／社内で利⽤しているノートPCを利⽤／私有のPCを利⽤
通信キャリアのWiFiを貸与／社給のスマホでテザリング／⾃宅のWiFi等
サービス利⽤履歴／タスク管理ツール＋ログイン履歴／メール等
対応方針②
すでにVPN接続で利⽤している⽅法を選択するが、セキュリティレベルは落とさない（例）セキュリティサービスの利⽤履歴を勤務履歴とすることでセキュリティサービスの利⽤を促進する
パターンファイル配信などをクラウド上から管理可能なウイルス対策を採⽤
52

Copyright © ChudenCTI Co., Ltd. All rights reserved.

４．これから必要なセキュリティ
Case２: リモートからのVPN接続により、一定のセキュリティは担保できているが、ネットワーク遅延が発生し、生産性の低下につながっている対応
l クラウドサービス向けの通信はデータセンターを通らないように設計
l データセンターを通らない通信は、クラウド型のセキュリティサービスからアクセス
l セキュリティサービスの利⽤履歴を勤務履歴とすることでセキュリティサービスの利⽤を促進する
l パターンファイル配信などをクラウド上から管理可能なウイルス対策を採⽤

今回の（例）でも、ゼロトラストのエッセンスを１つ加えてみましょう。
l 社外からインターネットにアクセスすると自動でセキュリティサービスへ接続し、PCから直接インターネットにアクセスできない設計にする
この仕組みは、厳密にはゼロトラスト・アーキテクチャのコア技術要素とは少し異なります。
しかし、ゼロトラストの基本方針とは合致していると考えてよいでしょう。
53

Copyright © ChudenCTI Co., Ltd. All rights reserved.

４．これから必要なセキュリティ
Case２で紹介した対策は、ゼロトラスト・アーキテクチャのコア要素技術とは少し異なると表現しました。
これは、SASE（Secure Access Service Edge）という考え方です。
「デバイスや利⽤者のロケーションに依存しないセキュリティを提供する仕組み」を指します。
紹介した２つのケース以外にも、IT環境の変化がもたらす課題は多く出てくるでしょう。
l 業務効率化のために機密情報をパブリッククラウド上で取り扱いたいl ビジネスパートナーと効率的に情報を共有したい
l バイタルデータや疾患の情報などを複数の医療機関と連携したい
・・
・

これらの課題と向き合ったとき、⽬的を⾒誤らないように対策を検討することが大事です。
54

Copyright © ChudenCTI Co., Ltd. All rights reserved.

５．まとめ
最後にもう⼀度おさらいしておきましょう。
１０年後の⽇本の状況（デジタルニッポン2020より抜粋）
lllllll

人口は約１億１千６百万人まで減少
６５歳以上の高齢者が人口の約１／３占める
学生時代からインターネットに親しんだデジタルネイティブ世代は５０歳前後
１０年以内に再びパンデミックは訪れる
リアルな現場の効率化とリモートワークの普及が促進
オンライン医療やオンライン授業が普及
個人情報の医療、⾏政、企業活動での活⽤が促進

COVID-19の流⾏により、社会⽣活がオンライン主体となるなど、デジタル化社会が現実のものとなってきました。
55

Copyright © ChudenCTI Co., Ltd. All rights reserved.

５．まとめ急速な生活様式の変化ならびにIT環境の変化によって、様々な課題、特にセキュリティ上の課題が顕在化しつつあります。
課題解決の一つのアプローチとして「ゼロトラスト」という考え方があります。
「ゼロトラスト」は、全てのネットワークアクセスを信頼できないものとしたうえで、セキュリティを確保する考え方、アイデア、ポリシーです。
「ゼロトラスト・アーキテクチャー」は、ゼロトラストの考え方に基づいたセキュリティ実装を実現するための要素技術です。

56

Copyright © ChudenCTI Co., Ltd. All rights reserved.

４．これから必要なセキュリティNIST （アメリカ国⽴標準技術研究所）SP800-207（Zero Trust Architecture）
は、多くの技術者がゼロトラストの考え方を実現するための技術要素の標準と考えています。
しかし、SP800-207に書かれている通り、以下を認識しておく必要があります。
l 既存のソリューションでは、部分的なゼロトラスト・アーキテクチャの導入しかできない
また、ほんの一部の業務に対するゼロトラスト化にしかならない
l ゼロトラスト・アーキテクチャと既存のセキュリティ（境界型セキュリティなど）は、共存し続けることになる

57

Copyright © ChudenCTI Co., Ltd. All rights reserved.

４．これから必要なセキュリティ「ゼロトラスト」、「ゼロトラスト・アーキテクチャ」は、課題解決のためのアプローチの一つとして捉えることが大事です。
l みなさんの組織が解決しようとしている課題は何でしょうか項
l そのために検討しなければならない事項はなんでしょうか︖
l 対策にゼロトラストのエッセンスを加えることでどんな効果が⾒込めるでしょうか︖

58

Copyright © ChudenCTI Co., Ltd. All rights reserved.

４．これから必要なセキュリティ
今後、「ゼロトラスト・アーキテクチャ」 や 「SASE（サッシー）」などの様々な技術 が、IT環境の変化によって生じる課題の解決とセキュリティ強化の両⽴に役⽴つことになるでしょう。
そして、ここで言う様々な技術の中には、「境界型防御を含む既存のセキュリティ対策」も含まれていることをお伝えし、私からの説明は一旦締めたいと思います。

59

Copyright © ChudenCTI Co., Ltd. All rights reserved.

ご清聴、ありがとうございました。

Copyright © ChudenCTI Co., Ltd. All rights reserved.