第25回 サイバー犯罪に関する白浜シンポジウム

境界はどこへ行った?

～曖昧化する境界とデータとヒトの守り方～

1

株式会社ラック
サイバーセキュリティサービス統括部
デジタルペンテストサービス部
兼 サイバー・グリッド・ジャパン
仲上竜太

アジェンダ
境界はどこへ行った?

～曖昧化する境界とデータとヒトの守り方～ ニューノーマルで一変したデジタルビジネス環境
 曖昧化した境界。境界はどこへ行った?
 これからのセキュリティモデル:ゼロトラスト

2

2

自己紹介
仲上 竜太

株式会社ラック
デジタルペンテストサービス部 部⾧
兼 サイバー・グリッド・ジャパン シニア・リサーチャー

情報安全確保支援士(登録番号第005254番)

IoT・情報システム・オンラインサービスなどに攻撃的手法で侵入し、リスク評価を行うデジタルペネトレーションテストサービスを運営。
進化し続けるデジタルテクノロジーについて、「作る面」「使う面」からの安全な利活用方法を研究しています。
研究分野:ブロックチェーン・xR・ゼロトラストセキュリティ
所属団体:
・日本スマートフォンセキュリティ協会 技術部会 部会⾧
・日本エンジニアリング協会 情報システム部会委員
・日本トラストサービス推進フォーラム・日本バーチャルリアリティ学会
連載:

＠IT「働き方改革時代のゼロトラストセキュリティ」
日経クロステックActive「予測不能時代のセキュリティキーワード」

3

アジェンダ
境界はどこへ行った?

～曖昧化する境界とデータとヒトの守り方～ ニューノーマルで一変したデジタルビジネス環境
 曖昧化した境界。境界はどこへ行った?
 これからのセキュリティモデル:ゼロトラスト

44

ニューノーマルで一変したデジタルビジネス環境
そもそもニューノーマルとは?

社会に大きな影響を与える出来事が、社会全体の変化をおこし、新しい常識や常態が生まれること
これまでに…
 2000年代初頭:インターネットの普及
 ネットという新たな社会基盤が普及。生活や仕事の仕方が大きく変化。

 2008年ごろ:企業的責任の追及、新たな価値観 リーマン・ショック後の金融資本主義への批判と反省。

CSR・SDGsなど企業活動の社会的責任が問われるように。

5

3度目の「ニューノーマル」
出来事:世界的なCOVID-19の流行
感染拡大防止のため人同士が近づけない状況
変化:生活や働き方のデジタルトランスフォー
メーションが加速
オンラインミーティング、リモートワーク・テレワーク、電子マネー、電子印鑑、無人店舗、自動運転、AIによる自動化、IoT、オフィスレス、巣ごもり、ウェブ名刺、オンライン飲み会、5G…
→コミュニケーションの急激なデジタル化
6

クラウドサービス利用の加速 2019年には64.7%の企業がクラウドサービスを業務に利用

7

総務省「通信利用動向調査」
https://www.soumu.go.jp/johotsusintokei/statistics/statistics05.html

テレワークの常態化
 コロナ禍を期にテレワークが定着

8

テレワーク導入率調査結果（3月後半）｜東京都
https://www.metro.tokyo.lg.jp/tosei/hodohappyo/press/2021/04/02/11.html

ポストコロナ後のオフィス状況(東京ビジネス地区)
東京ビジネス地区の平均空室率＝都心5区／千代田・中央・港・新宿・渋谷区

東京ビジネス全体の空室面積が1カ月間で約2万6千坪増※東京ドーム1.5個相当

東京都内での13か月連続で空室率上昇
9

出典:三⿁商事株式会社オフィスマーケットデータ 東京ビジネス地区/2021年3月
https://www.e-miki.com/market/tokyo/ニューノーマルで一変したデジタルビジネス環境
 働き方の多様化から在宅前提へ
 緊急避難的なテレワークから、テレワーク常態化に変化

 クラウドサービス利用の増加
 オンプレミスからクラウドサービスへの移行
 クラウドリフトの推進やSaaSの活用

 脱オフィス・オフィス縮小 テレワーク常態化に伴う物理オフィスの縮小

たった1年で大きな変化が起こっている10

アジェンダ
境界はどこへ行った?

～曖昧化する境界とデータとヒトの守り方～ ニューノーマルで一変したデジタルビジネス環境
 曖昧化した境界。境界はどこへ行った?
 これからのセキュリティモデル:ゼロトラスト

1111

チーズはどこへ消えた?
 スペンサー・ジョンソン著
 全世界で2800万部以上
 2000年に日本語版が発売されベストセラーに

 IBM、アップル・コンピュータ、メルセデ

ス・ベンツ等、トップ企業が次々と社員教育に採用

チーズはどこへ消えた? 2000/11/27
スペンサー ジョンソン (著), Spencer Johnson (原著), 門田 美鈴 (翻訳)12

チーズはどこへ消えた?
 登場人物は２匹のネズミと２人の小人のヘムとホー 迷路の中でチーズを探す
ネズミと小人たち
 無くなったチーズを前に小人のホーは...
 外部環境の変化に対して、自発的な行動変容の重要さを説く一冊
チーズはどこへ消えた? 2000/11/27
スペンサー ジョンソン (著), Spencer Johnson (原著), 門田 美鈴 (翻訳)13

「境界」はどこへ行った?

物理的な防御の方法論をネットワークに適用した
境界防御型セキュリティモデル
14

「境界」はどこへ行った?

インターネット

境界防御型セキュリティで保護されたネットワーク物理的な拠点と物理的なネットワークによって保護された
境界防御型セキュリティモデル
15

「境界」はどこへ行った?
クラウド

インターネット

境界防御型セキュリティで保護されたネットワーク

テレワーク

16

テレワークとクラウドの利用によりオフィスの外側へ利用者やシステムが移動

「境界」はどこへ行った?
クラウド

データ

利用者
インターネット

境界防御型セキュリティで保護されたネットワーク

データ

テレワーク

利用者

ニューノーマルで進んだデジタルビジネス環境の変化
により「ヒト」と「データ」が境界の外側へ
17

「境界」はどこへ行った?
クラウドデータ

利用者
インターネット

データ

境界防御型セキュリティで保護されたネットワーク

データ

18

テレワーク

利用者

アタックサーフェースの増大に伴うサイバー攻撃機会の増加

「境界」はどこへ行った?
 データと利用者の遍在による境界曖昧化と脅威の変化

 クラウドへの不正アクセス
 クラウド設定ミスによる情報漏えい
 私物PCへのデータ持ち出し
 ホームネットワークへのデータ共有
 ネットワーク機器の脆弱性の悪用
 ネットワーク侵害後の横展開

脆弱性の拡大 ×
19

脅威の高度化アジェンダ
境界はどこへ行った?

～曖昧化する境界とデータとヒトの守り方～ ニューノーマルで一変したデジタルビジネス環境
 曖昧化した境界。境界はどこへ行った?
 これからのセキュリティモデル:ゼロトラスト

20

20

ニューノーマルによるデジタル環境の変化
 働く環境の変化
 クラウド利活用によりデータが分散 テレワーク常態化により利用者が分散

 脅威の変化 新たな攻撃手法の登場
 企業や組織が利用するツールやサービスの悪用 デジタル環境の変化を悪用

多様性の実現や利便性向上とともにサイバー攻撃の質も変化
21

未来:ニューノーマルで迎える2025年のデジタル環境
 2025年の社会やデジタル環境
 5G / IPv6などリッチなネットワークインフラの活用 メインフレーム志向からクラウドサービスへ

 場所にとらわれない働き方（自動運転で移動中も） デバイスの多様化（スマホ・PC・VR・AI秘書）

 通信環境の多様化（ケータイキャリア・光通信）

 データと利用者が点在し、従来の「境界」で守る考え方が通用しない状況

デジタル環境変化に対応した
セキュリティコンセプトが必要
22

セキュリティの基本原則(CIA)

ユーザsubjects

デバイス
assets

ネットワーク

守るべきものは
データ

アプリケー
ション

データ

データにアクセスする権限を 機密性（confidentiality）もった「本人」のみが、完全性（integrity）アクセスを許されること
可用性（availability）
23

ゼロトラストの基本
 従来の境界防御型セキュリティモデル

ゾーンによる静的なアクセスコントロール「過去の認証を信用」
 ゼロトラストモデル

ユーザ認証・デバイス認証・信頼度から動的なアクセスコントロール「過去の認証を信用しない」

24

境界型モデル

プライベートクラウド
IaaS / PaaS
パブリッククラウドサービス
SaaS

オンプレミス
社内サービス

オフィスネットワーク

25

境界型モデル

プライベートクラウド
IaaS / PaaS
パブリッククラウドサービス
SaaS

認証済みは信用

オンプレミス
社内サービス

一度だけ認証オフィスネットワーク

26

ゾーンによる静的なアクセスコントロール「過去の認証を信用」

ゼロトラストモデル

プライベートクラウド
IaaS / PaaS
パブリッククラウドサービス
SaaS

オンプレミス
社内サービス

27

アクセス
プロキシ

オフィスネットワーク→インターネット＋アクセスプロキシ

ゼロトラストモデル

プライベートクラウド
IaaS / PaaS

常に検証

パブリッククラウドサービス
SaaS

ユーザ認証・デバイス認証・信頼度から常に検証

オンプレミス
社内サービス

常に検証

常に検証
28

常に検証

アクセス
プロキシ

オフィスネットワーク→インターネット＋
アクセスプロキシ

動的なアクセスコントロール「過去の認証を信用しない」＝常に検証ゼロトラストのコンセプト

Always Verify, Never Trust.
信頼せず、常に検証。

29

ゼロトラストは、何を信用しないのか?
 実環境における現実的な課題
 ネットワークは常に敵意に晒されている
 常に外部と内部の脅威が存在する
 「ローカル」「プライベート」＝安全ではない 過去に適用されたポリシーは信頼できない 不正を行う正規アカウント利用者が存在する

Always Verify , Never Trust.
30

ゼロトラストは、何を信用するのか
 ゼロトラストモデルの信用の源泉
 守るべき重要な資産＝「データ」
 データへのアクセス認可をリアルタイムかつ動的にチェックし、適用する

ユーザ
認証

デバイス
認証

信頼度
スコア

常にアクセスコントロール
31

ゼロトラストは、何を信用するのか
 トラストアルゴリズムによる信頼度の計算
 登録された端末かどうか OSやアプリケーション、アンチウィルスソフトのパターンが最新かどうか
 端末が感染していないか 時刻の設定が正しいか アクセス元は適切か
 許可されていないアプリは導入されていないかなどなど

Always Verify , Never Trust.
32ゼロトラストの構成要素

ユーザ
subjects

デバイス
assets

エンティティ
33

ネットワークアプリケー
ション

データリソースゼロトラストの構成要素
守るべきものはデータ

ユーザ

デバイス

ネットワーク

検証

アプリケー
ション

エンティティ

リソース

アクセスプロキシ

エンティティがリソースにアクセスする際にポリシーに照らし合わせて動的に評価し、アクセスの認可を行う
34

データ

空港セキュリティと情報セキュリティ（SP800-207)
従来の境界型モデル

目的外のリソースにもアクセスできる

信頼されていないゾーン

35

ポリシー定義点
ポリシー施行点(PDP/PEP)

暗黙的な信頼ゾーン

リソース
リソース

目的外のリソースにもアクセスできる（システム・データ・リソース（システム・データ・アプリケーション）（システム・データ・アプリケーション）アプリケーション）

空港セキュリティと情報セキュリティ（SP800-207)
ゼロトラストモデル
指定の飛行機に乗る
直前にチェック

信頼されていないゾーン

ポリシー定義点
ポリシー施行点(PDP/PEP)

暗黙的な信頼ゾーン

可能な限り最小化

36

マイクロセグメンテーション

リソース（システム・デー
タ・アプリケーション）ゼロトラストの論理モデル（SP800-207）
コントロールプレーン
CDM
システム

ポリシーエンジン(PE)
ポリシー
アドミニストレーター
(PA)

産業別
コンプライアンス

データアクセス
ポリシー

ポリシー
定義点
(PDP)

PKI

脅威情報
インテリジェンス

アクティビティログ

ID管理

信頼されていない
ゾーン

ユーザ
システム

ポリシー施行点(PEP)

暗黙的な信頼ゾーン

リソース（システム・デー
タ・アプリケーション）

データプレーン

37

ユーザがリソースにアクセスする際にポリシーに従って情報を取得し検証を行う

SIEM

ゼロトラストとは暗黙のゾーンを信用しない
常に最新のポリシーで信頼度を検証する
全てのリソースへのアクセスを検証する
データやリソースへアクセスする際のポリシー適用の徹底により、「内・外」「VPN」といったネットワークセグメントへの依存をなくすことで、より多様な働き方に対応し、セキュリティを保って生産性の最大化(可用性の最大化）が目的。
38

ゼロトラストで目指す次世代SOC
 境界が曖昧化した「ゼロトラスト時代」のSOC構築と運用

39



日本マイクロソフトとラックが共同作成



ゼロトラストの基本的な特徴とともに、ポリシーベースのアクセス制御、ユーザやデバイス別のリスク検証といった具体策、それを実現するEDR
やID管理システムなどについて、詳しく解説

SOCの機能や構築、設計と運用、「次世代SOC」という展望についても触れていますアジェンダ
境界はどこへ行った?

～曖昧化する境界とデータとヒトの守り方～ ニューノーマルで一変したデジタルビジネス環境
 曖昧化した境界。境界はどこへ行った?
 これからのセキュリティモデル:ゼロトラスト

4040

Thank you. Any Questions ?

※
※
※
※
※

41

本資料は2021年4月の情報に基づいて作成しており、記載内容は予告なく変更される場合があります。
本資料に掲載の図は、資料作成用のイメージカットであり、実際とは異なる場合があります。
本資料は、弊社が提供するサービスや製品などの導入検討のためにご利用いただき、他の目的のためには利用しないようご注意ください。
LAC、ラック、JSOC、サイバー救急センターは株式会社ラックの登録商標です。
その他記載されている会社名、製品名は一般に各社の商標または登録商標です。

株式会社ラック〒102-0093 東京都千代田区平河町2-16-1 平河町森タワー
sales@lac.co.jp
www.lac.co.jp