「ゼロトラスト」なら境界型防御は不要? バズワードになって発生した“勘違い”(2/2 ページ)
コロナ禍のテレワーク普及などでバズワードになった「ゼロトラスト」だが、「ゼロトラストだけでOK」「1個ツールを導入すればいい」といった勘違いも発生していた。
「これを導入すれば全部OK!」ではないゼロトラスト
ゼロトラストはあくまで理念であり「ゼロトラストセキュリティツール」のような製品があるわけではない。エンドポイント端末の防御を担当する「EDR」や、認証認可をつかさどるIDマネジメントツールなどを組み合わせて、ゼロトラストの理念を実現していく。
「EDRは端末セキュリティとして主流になりつつありますが、過去に『EDRだけいれれば侵入者やウイルスを検知して全部駆除してくれるんですよね?』と言われたことがあって。いえいえ違いますよ、導入している端末だけで──と話したこともあります」山口さん。
情報セキュリティサービスやツールは、どんなものでも「これを導入すれば安心!」と宣伝する。「これだけでは不安!」なんて言い方で売り込むことはない。ユーザーをだましているわけではないが、製品を1つ導入して満足してしまう企業もあるという。
EDRは端末を守ってくれるツール。IDマネジメントツールは認証認可とアクセス制御を実現。ネットワークの保護には「NDR」(Network Detection and Response)、システムを監視して報告や対処をしてくれる「SOC(セキュリティオペレーションセンター)サービス」……それぞれが役割を持ち、適材適所で協力してこそだ。
各サービスやツールが担当領域を“安心”できる状態にし、それらの組み合わせで満遍なくカバーしていく。
「ゼロトラストって概念的なものなのに、コロナ禍でテレワークやクラウド活用が進む中でバズワードになりました。それで『“ゼロトラスト”ってサービスや製品を1個導入すれば安心』と思い込んで対策がおろそかになってしまうケースもありました。ゼロトラストの概念を正しく理解して、境界防御と適宜組み合わせながら最適な情報セキュリティ体制を築いていってほしいです」(山口さん)
関連記事
- ゼロトラストの導入進まず 不採用組織ではサイバー攻撃の被害額が117万ドル上昇 IBM調査
ゼロトラストセキュリティを採用しているインフラ組織は20%にとどまる──日本IBMがそんな調査結果を発表した。不採用の組織より被害コストが平均117万ドル低い傾向にあることが分かった。 - サイバー攻撃検知のためのオープンソースプロジェクト発足 AWSやゼロトラスト関連企業などがデータ連携効率化
AWSやSplunkなどクラウド・情報セキュリティ分野の18社が、サイバー攻撃を検知するためのオープンソースプロジェクトを共同で立ち上げた。データの取り込みや分析の効率化を目指す。 - IPAがゼロトラストセキュリティ入門資料を公開 基礎知識や心構え、検討の流れなど解説
情報処理推進機構が、ゼロトラストセキュリティへの移行を考えている組織向けの入門資料「ゼロトラスト移行のすゝめ」を公開した。検討の流れやメリットなどについて解説している。 - 「うちのゼロトラスト化は何点?」測るセキュリティ診断 三菱グループのSIerが公開
三菱グループでSI事業などを手掛ける三菱総研DCSが、企業のゼロトラストセキュリティに向けた取り組みを評価する診断サービスを公開。質問に答えると、回答を基にゼロトラストセキュリティの実現状況を点数制で評価する。 - いま注目「何も信頼しない」セキュリティ対策とは? 開発部門の在宅勤務率9割、NTTデータ先端技術に聞く
クラウドサービスやテレワークの普及により、社内と社外の境界を守る従来のセキュリティ対策は通用しなくなった。解決策の一つがゼロトラストセキュリティだ。開発部門の在宅勤務率を9割にしたNTTデータ先端技術に解説してもらった。
Copyright © ITmedia, Inc. All Rights Reserved.