本記事では、アメリカのサイバーセキュリティ企業 ColorTokens（カラートークンズ）社が発信しているセキュリティ情報（英文）を、日本の代理店である株式会社電巧社が許諾を得て日本語に翻訳し、要約して掲載しています。
※本記事は、掲載後に修正される可能性がございますので、ご了承ください
※過去の記事もアップしておりますので、現在の情報と異なる可能性がございます。記事下の最終更新日をご参考ください
企業がゼロトラストセキュリティを必要とする10の理由
私はプロダクトマネージャーとして、頻繁に世界中の情報セキュリティのリーダーたちと差し迫ったサイバーセキュリティのニーズについて話しています。
そして、彼らは皆、なぜ企業がゼロトラストセキュリティを必要としているのかについて聞きたがります。
この関心 – そして要望 – は増加しています。
私はしばしば、ゼロトラストアーキテクチャが現在および将来予測されるセキュリティに対する正しいサイバーセキュリティソリューションである理由を説明しています。
以下は、セキュリティリーダーが彼らの組織のセキュリティに対する体制を向上させるためにゼロトラスト戦略を実施する必要があるトップ10の理由です。
1．進化する企業環境において境界ベースのセキュリティは効果的ではない
企業がビジネスを行い、デジタルテクノロジーを利用する方法は絶えず進化しており、そのペースはますます速まっています。
これらのデジタルトランスフォーメーションにより、従来の境界ベースのサイバーセキュリティモデルは効果的でなくなり、重要度が減少しています。
なぜなら、境界線はもはやセキュリティの実行範囲を定義していないからです。
ゼロトラストセキュリティだけが、ネットワーク内のすべてのポイントでアクセスリクエストの認証と承認を最小レベルで行うアプローチを採用しています。
最小権限のコンセプトは、誰もがシステム全体に無制限のアクセス権を持たないことを意味します。
代わりに、各リクエストはネットワークの異なる部分へのアクセスを得るために常に監視され、確認される必要があります。
もし侵害が発生した場合、マイクロセグメンテーションによって水平移動が防止され、脅威行為者によって引き起こされるかもしれない被害が最小限に抑えられます。
2．クラウドデータセンターには共有のセキュリティ責任が必要
重要なアプリケーションとワークロードは、企業所有のデータセンターからパブリッククラウドまたはハイブリッドクラウドに移行しています。
今、セキュリティリーダーは、人々とデータセンターセキュリティツール、テクノロジー、プロセス、スキルに関する従来の「信頼する」という前提を再考する必要があります。
この新しいクラウド環境では、クラウドベンダーが一部の安全面を提供し、他の面は企業に負担がかかります。
インフラストラクチャへの信頼という基本的な前提はもはや同じではありません。
ゼロトラストモデルは、この共有のサイバーセキュリティの責任をカバーできます。
3．サードパーティのSaaSおよびPaaSアプリケーションは確認なしでは信頼できない
現在、アプリケーションはより頻繁にSoftware-as-a-Service（SaaS）またはPlatform-as-a-Service（PaaS）として提供されることがあります。
ソフトウェアのOEM（Original Equipment Manufacturer）は、認証、ログ記録、データベース、機械学習など、すでに利用可能なサービスを利用してアプリケーションを開発します。
彼らはコアロジックとビジネスロジックを所有していますが、アプリケーションの構築に使用されるソフトウェアコンポーネントの所有権はほとんどありません。
つまり、アプリケーション開発者はもはや自分たちの「自前」のアプリケーションに盲信できなくなりました。
ゼロトラストアプローチでは、「セキュリティコントロールはネットワークが既に侵害されている」という前提で展開されます。
認可されていないプロセスやアプリケーションは実行されないようにし、データへのアクセスには認証が必要です。
4．インターネットのネットワークはセキュリティの確保が不十分なネットワーク
アプリケーションとワークロードはクラウドに移行し、ユーザーはリモートからアクセスしています。
つまり、ネットワークはもはや保護された企業ネットワークではなく、セキュリティのないインターネットとなっています。
ほとんどの企業が攻撃者を排除するために採用しているネットワークの境界型セキュリティと可視性ソリューションは、もはや実用的ではなく、十分でもありません。
暗黙の信頼の概念ももはや効果がありません。
ゼロトラストは最小権限と「常に確認」の原則を採用し、データセンターやクラウド内に関係なく、ネットワーク内で完全な可視性を提供します。
5．拡大する労働力の全員にすべてのアクセス権を与えるべきではない
企業が重要なビジネスを実施する方法や、重要な業務を実行するために頼る人々は変わりました。
ネットワークユーザーも、もはや単なる従業員や顧客だけではありません。
企業のアプリケーションやインフラストラクチャにアクセスする多くのユーザーは、システムをサービスするベンダーやサプライヤー、またはパートナーかもしれません。
これらの非従業員は、全てのアプリケーション、インフラストラクチャ、またはビジネスデータにアクセスする必要はなく、またその権限を持つべきではありません。
さらに、従業員であっても、専門的な機能を担当しているため、完全なネットワークアクセスは必要ありません。
計画的に実行されたゼロトラスト戦略により、信頼の主要な側面に基づいて認証されたアクセスを提供します。
これにより、特権を持つユーザーに対してもアクセスをより正確に制御できるようになります。
6．すべての在宅勤務環境のセキュリティステータスを検証できない
コロナ禍以前の時代において、リモートワークはそれほど一般的ではありませんでした。
しかし、パンデミックの後、在宅勤務（WFH）が新しい標準となった今、企業の本社などの特定の地理的な拠点に基づくセキュリティ技術やプロセスはもはや重要なものではなくなりました。
リモートで働く従業員が増えると、セキュリティが確保されていないWi-Fiネットワークとデバイスの可能性が急激に増加し、セキュリティリスクが指数関数的に増加します。
企業は従業員の在宅勤務の設定や環境が、オフィスほどセキュアでないと仮定しなければなりません。
彼らのWi-FiルーターはWPA-2に設定されていないかもしれません。
ベビーモニターやスマートサーモスタットなどのIoTデバイスは、セキュリティプロトコルが混在しているか、まったく存在しないかもしれません。
ゼロトラストフレームワークのような包括的なシステムがない場合、従業員がセキュアな環境で作業しているかどうかを確認したり、制御したりすることはできなくなります。
7．BYOD（自分のデバイスを持ち込む）は職場のデバイスと同じくらい安全ではない
在宅勤務（WFH）の新しい標準下では、従業員が使用するデバイスは、従業員に割り当てられたものではない可能性が高くなります。
従来、雇用主の所有するノートパソコンやスマートフォンは、通常、セキュリティツールやポリシーに従って管理され、パッチ適用が行われ、最新の状態が維持されています。
しかし、全員がリモートで働いていると、従業員は基本的なサイバーポリシーを忘れ、自分自身のデバイスを使って職場のネットワークやアプリにアクセスし始める可能性があります。
またZoomの会議の合間に、会社のパソコンを使ってオンラインショッピングを行うかもしれません。
在宅勤務する従業員に対して、職場のデバイスを職場でのみ使用するように強制できない場合でも、ゼロトラストセキュリティがネットワーク内のすべてのポイントで「誰も信用せず、すべてを検証する」という基本的なルールでアクセス制御を施すことによって、セキュリティ侵害の可能性を制御することができます。
8．サイバー攻撃が増加している
サイバー攻撃は毎年増加し続け、どのセクターも免疫を持っているように見えません。
コロナ禍では、ハッカーはパンデミックに関連した理由から、医療および小売業界に焦点を当てました。
患者の急増に苦しむ過負荷の病院やワクチンの開発競争をしている製薬研究所は、サイバー攻撃の理想的な標的となっていました。
リスクが非常に高いため、彼らはビジネスの継続性を確保するために莫大な身代金しか選択肢がなかったのです。
サイバー犯罪者は、外出できないことによる需要の増加を受けて利益を得ているオンライン小売業者に対しても攻撃を仕掛けました。
また、金融機関や運送サービス業者さえも攻撃しました。
ゼロトラストアーキテクチャが導入されていれば、これらのビジネスはより良いセキュリティ体制を築き、サイバーレジリエントを持つことができ、その結果、セキュリティ侵害に対してより脆弱でなくなり、財務上や評判上の被害を抑え込み、軽減するための適切な手段を備えることができたでしょう。
9．高度な持続的な脅威（APTs）がより洗練されている
2000年代初頭、サイバー犯罪者は単によく知られたウェブサイトのセキュリティの脆弱性を、単に露呈させるためにサイバー攻撃を行っていました。
しかし、今日のサイバー攻撃は大規模なビジネスとなっています。
ランサムウェアの展開や知的財産の窃盗から得られる潜在的な経済的利益は高いです。
彼らの収益を最大化するために、ハッカーが使用するツール、そして戦術はより高度化しています。
現代のサイバー脅威は、もはや単純なフィッシング詐欺ではありません（それらもまだ存在していますが）。
現代のサイバー攻撃は、国家的、社会的、身体的、財務的影響を及ぼす可能性があります。
サイバー犯罪は今や高度に組織化され、国家、国際犯罪組織、ランサムウェアグループなどによって実行されています。
これらの悪質な行為者は、従来の境界型セキュリティを簡単に迂回できるほどに洗練されています。
彼らは高度で継続的な脅威（APTs）を展開し、マイクロセグメンテーションやゼロトラストモデルを実装していないシステムから情報を盗むか、システムを妨害するという目標を達成するまで行動します。
10．セキュリティのリスクが高まっている
サイバー犯罪者はビジネスを妨害するためにDDoS攻撃を展開する代わりに、洗練された長期戦略を取り始めています。
サイバー攻撃は、ユーザーデータ、顧客データ、財務データ、IPや特許機能などの中核的なビジネス情報を標的とするよう進化しており、基本的に価値のあるものすべてが対象となっています。
中核的な政府システム、武器、原子力発電所、さらには選挙までもがリスクにさらされています。
危険やリスクが非常に高いため、社会や政府のあらゆるレベルで、強力で持続可能なサイバーセキュリティ戦略が極めて重要です。
実装したのが多国籍企業か政府機関かに関わらず、ゼロトラストフレームワークは、サイバーセキュリティ体制を向上させ、サイバーレジリエンスを高め、侵害が発生した場合には封じ込める能力を可能にします。
ゼロトラスト：企業のセキュリティ課題への解決策
サイバーセキュリティの未来は今ここにあります。それはゼロトラストセキュリティモデルです。
過去の代表的なセキュリティの基盤となっていた境界ベースの反応型の保護方法は過去の遺物となる必要があり、ビジネスと政府は積極的にゼロトラストを採用し、顧客、パートナー、従業員、市民に対して自信を持ってサイバーセキュアな未来を提供する必要があります。
現代の脅威を保護し、検出し、軽減するためにセキュリティを優先事項にする時がきました。
この新しい世代のゼロトラストセキュリティフレームワークだけが、ネットワークの可視性と常時のモニタリングを提供し、信頼性を動的かつコンテキストベースで確立します。
これは、すべてのアクセス要求を検証し、特定のパラメータが満たされた場合のみアクセスを許可する方法です。
カラートークンズ ゼロトラスト プラットフォームは、アプリケーション、エンドポイント、ワークロードなどの重要な資産を保護するクラウド提供型のソフトウェア定義プラットフォームです。
このプラットフォームは、ハイブリッド環境へのエンタープライズの移行と完全なクラウド導入を簡素化し、加速します。
詳細に関しまして、ColorTokens（カラートークンズ）公式サイトまでお問い合わせください
翻訳元記事
「10 Reasons Why Enterprises Need Zero Trust Security」
最終更新日：2023/4/13
著者：Satyam Tyagi
この記事の著者：電巧社セキュリティブログ編集部
電巧社がおすすめするサイバーセキュリティ（マイクロセグメンテーション）の
資料をダウンロードする
メルマガ登録
ゼロトラストセキュリティ・マイクロセグメンテーションをはじめとして、サイバーセキュリティの最新情報や事例、セミナー開催情報などをお届けします。
本記事に関連するサービス
エンドポイントごとに分割して守る新サイバーセキュリティ技術「マイクロセグメンテーション」で、ランサムウェアなどのサイバー攻撃から情報資産を保護します。
「会社に情報システム部門がない…」
そんな企業様に最適！
最短2週間で導入可能・シンプルな運用・低コストでサイバー攻撃の被害を最小限に抑えます。
よく読まれている記事
関連する用語集
