いま注目「何も信頼しない」セキュリティ対策とは？　開発部門の在宅勤務率9割、NTTデータ先端技術に聞く（1/2 ページ）

公開 2021年11月16日 07時04分

[ITmedia]

印刷する Googleで優先するソースとして追加

　いま「何も信頼しない」セキュリティ対策が注目を集めている――ゼロトラストセキュリティという考え方だ。クラウドサービスとモバイル端末の普及に伴い、企業の情報資産や人、端末を社内だけに置いておくことは不可能になった。社内を強固に守ることで、結果的に企業を守るという、従来のセキュリティ対策は通用しなくなっている。

　追い打ちをかけるようにコロナ禍の在宅勤務環境を狙ったサイバー攻撃も急増。「新型コロナの感染拡大がとどめを刺し、強力な後押しとなって（ゼロトラストに）対応せざるを得なくなった」とNTTデータ先端技術の長田正彦担当部長（セキュリティソリューション事業部ゼロトラストネットワーク担当）は指摘する。

　では、ゼロトラストセキュリティとは一体どういうものなのか。テレワークが難しいとされる開発・保守部門の在宅勤務率をゼロトラストによって9割に引き上げたNTTデータ先端技術の担当者に解説してもらった。

NTTデータ先端技術の長田正彦担当部長（セキュリティソリューション事業部ゼロトラストネットワーク担当）

特集：ニューノーマル時代のクラウドセキュリティ

企業のあらゆるデータがさまざまな形態のクラウドに分散化する中、オンプレミスで構築していた時代の情報セキュリティ対策は通用しない。抜本的に考え方を変える必要がある。本特集では、クラウドファースト時代における企業の情報セキュリティ対策の最前線を追う。

コロナ禍、開発・保守部門の在宅勤務率を5割→9割に

　NTTデータ先端技術では、新型コロナの感染が拡大し始めた20年2月ごろに在宅勤務率を8割に引き上げるようトップダウンの号令が出た。しかしセキュリティ事業本部の開発・保守部門の在宅勤務率はこれまで5割にとどまっていた。

　通常、開発部門が扱うソフトウェアのソースコードや設計図といった情報は、社外への漏えいが許されない知的財産だ。同社でも社外からはアクセスできない厳重な仕組みに守られていて、出社しなければ業務ができない状態だった。

　号令を契機にゼロトラストセキュリティに切り替えたことで、わずか1カ月半という短期間で開発・保守部門の在宅勤務率を9割に引き上げた。「通常であれば、リモートアクセスのインフラ整備は1カ月半では絶対にできない」（長田氏）が、顧客に提供するゼロトラスト系ソリューションを自分たちがユーザーとなって使ってみようと決め、ゼロトラストの仕組みを最大限に活用することで、テレワークでも従来とほぼ同等の安全性が担保できる態勢を整えたという。

「社内だから安全」通じず　ゼロトラストで弱点の解決目指す

　そもそもセキュリティ対策と言えば、従来は社内と社外を切り離して境界を設け、その境界の守りを固めて外からの攻撃を防ぐ方法が主流だった。データセンターは自社で構築するものであり、機密データも業務用の端末も社内にあった。社内の端末やユーザーは、一度認証を通過すれば信頼できると見なされた。

　ところがクラウドの普及に伴ってここ5～6年の間に、国内でもSaaSやIaaSなどのサービス利用が急増。コンピューティング環境がインターネットへと移行した。機密データもパブリッククラウドに置かれるようになり、業務用端末は社外での利用が前提となる中で「従来の境界型防御モデルが成り立たなくなった」と長田氏は言う。

境界型防御モデルの変化

　そんな状況の中で起きた新型コロナの感染拡大。多くの企業が急きょ切り替えを強いられたテレワーク環境は、サイバー攻撃の格好の標的になった。

　攻撃者の動向分析を手掛ける宮坂肇センター長（サイバーセキュリティインテリジェンスセンター）によると、テレワークが増えた2020～21年にかけ、企業が被害に遭うケースが急増したという。「テレワークでは自宅にPCを持ち込み、そこから会社の中の情報にアクセスする。そうなると弱点がたくさん出てきてしまう。攻撃者はその弱い部分を狙い、自宅のPCを経由して企業の中に侵入する」（宮坂氏）

NTTデータ先端技術の宮坂肇センター長（サイバーセキュリティインテリジェンスセンター）

“暗黙の信頼”ではアクセスを許可しない

　こうした弱点の解決を目指すのが、ゼロトラストのセキュリティモデルだ。従来のように、ユーザーや端末に対して“暗黙の信頼”に基づくアクセスは許可しない。「デバイスや情報資産にアクセスする際は、必ず何らかの認証を行って、与えられた最小限の権限でしか情報資産が使えないようにする」（長田氏）という考え方が基本となる。

　その仕組みの構築にもクラウドを活用し、従来はオンプレミスにあったセキュリティ対策用の機器やソフトウェアは全てクラウドに移行する。SASE（Secure Access Servie Edge）と呼ばれるこのソリューションを通じて、ユーザーがどこにいてもセキュアなアクセスの実現を目指せる。NTTデータ先端技術でもSASEを採用してテレワーク態勢を整えた。