ZOZOテクノロジーズがゼロトラストなセキュリティ体制に移行　そのきっかけは？

公開 2021年01月25日 10時02分

更新 2021年01月25日 08時34分

[ITmedia]

印刷する

　コロナ禍で在宅勤務が広まる中、「ゼロトラスト」の考え方を取り入れたサイバーセキュリティに注目が集まっている。ネットワークの内側と外側を区別せず、全ての通信を等しく疑って監視するという概念のことで、通信を監視するツールや、ユーザー・端末の権限を管理するツールなどの組み合わせで実現する。

ZOZOテクノロジーズのWebサイト

　そんなゼロトラストのセキュリティ体制を、コロナ禍以前から取り入れているのがZOZO子会社のZOZOテクノロジーズ（東京都渋谷区）だ。同社は、2019年8月にリモートワーク制度を導入。同じタイミングでゼロトラストを実現した。

　今回は、同社の荻原直也さん（コーポレートエンジニアリング部長）に導入の背景やコツ、これからゼロトラストのセキュリティ体制を構築する人へのアドバイスなどを聞いた。

当初は働き方改革の一環だった

　ZOZOテクノロジーズがリモートワーク制度を導入したのは、働き方改革の推進が目的だった。少子化による労働者不足などの社会問題がある中で、生産性の向上や労働力の確保を実現するため、従業員のライフスタイルに合わせた環境作りを目指していた。

　従業員の多くは制度の導入後も基本的に出社していたが、コロナ禍の到来で20年3月から原則リモートワークになった。21年1月には日本全国でのテレワークを認める新制度を導入。ゼロトラストのセキュリティ体制がまさに今、リモートワークを陰で支えている。

　荻原さんは「もしゼロトラストセキュリティ体制を構築していなかったら、セキュリティが担保できず、リモートワークする許可が出なかったかもしれない」と話す。20年3月以降、これまで大きなインシデントや攻撃による被害は受けていない。それどころか、同社はコロナ禍における強制リモートワーク状態でも、生産性を落とさずに済んだという。

製品導入の流れ

　同社のセキュリティチームが経営陣からリモートワーク制度の話を聞いたのは18年11月。制度開始までに、従業員がPCを社外に持ち出すことを前提としたセキュリティの仕組みを構築する必要が出てきた。従業員がオフィスにいることを前提に、社内にある端末を守る体制では、リモートワークで端末が社外に持ち出された途端に守り切れなくなってしまう。

　検討の結果、セキュリティチームは19年4月、ゼロトラストのセキュリティ体制の構築に向けて米Microsoft製セキュリティ製品を導入する方向で検証に入った。従業員が使う端末を監視し、不審な動きがあれば通知する「EDR」（Endpoint Detection and Response）、モバイル端末を管理する「MDM」（Mobile Device Management）、クラウドへのアクセスを監視する「CASB」（Cloud Access Security Broker）などの製品の効果を検証した。オフィスの内外に関係なく、全ての通信を監視することで、社外での作業に対応する体制を整えた。