境界防御を超えて：BeyondCorpによる次世代セキュリティ

境界防御を超えて：BeyondCorpによる次世代セキュリティ

従来の防御策の限界

従来の防衛策は、組織の情報網の内と外を分け、防火壁などで内側を守る考えでした。しかし、近年の情報技術環境の変化により、この方法は通用しなくなってきています。遠隔勤務の増加や携帯端末の多様化により、従業員が社外から会社の情報に触れる機会が増え、境界があいまいになりました。内部からの脅威、例えば従業員の不正な利用や悪意のあるプログラムの感染も増え、従来の防衛策だけでは完全に防げません。攻撃者が一度組織の情報網に入ると、内部の資源に自由にアクセスできるようになり、被害が広がる可能性があります。このように、従来の防衛策は、現代の複雑な情報技術環境では、十分な安全を提供できません。組織の資産を守るためには、新しい安全対策への移行が必須です。そのため、境界という考えに頼らず、すべての接続を確認する考え方が重要になっています。この考えに基づいた対策が求められています。

ゼロトラストの原則

「決して信用せず、常に検証する」という考え方が、ゼロトラストの基盤となる考え方です。これは、組織の内外に関わらず、すべての利用者、機器、および応用プログラムからの接続を厳格に検査することを意味します。従来の、一度認証されれば自由にアクセスできるという考え方は、ゼロトラストの考え方には存在しません。全てのアクセス要求は、利用者の身元、使用機器の状態、接続先の応用プログラム、時間帯など、多岐にわたる要素に基づいて評価され、許可されるかどうかが判断されます。例えば、従業員が会社の情報基盤に接続を試みる際、多段階認証によって本人確認を実施します。次に、その従業員が使用している機器が会社の定める安全基準を満たしているかを確認します。機器が最新の保安更新に対応しているか、悪意のあるプログラム対策が施されているかなどが検査されます。さらに、接続先の応用プログラムがその従業員の職務に必要なものかどうか、接続時間帯が適切かどうかも評価されます。これらの要素を総合的に判断し、危険性が低いと判断された場合にのみ、接続が許可されます。ゼロトラストは、このような厳格な検証過程を全ての接続要求に適用することで、内部からの脅威や外部からの攻撃に対する防御力を高めます。

BeyondCorpの仕組み

境界を越えた企業防衛は、信頼を前提としない考え方を具体化したもので、米国の巨大企業が長年かけて自社の基盤を守るために発展させてきました。この仕組みでは、接続場所に関わらず、全ての利用者と端末を厳格に確認し、許可された者のみが業務用の仕組みや情報に触れられるようにします。具体的には、利用者が何らかの仕組みに接続しようとすると、まず本人確認と許可の手続きが始まります。身元保証の提供を通じて本人を特定し、必要に応じて二段階認証などの追加の安全対策を行います。次に、端末の安全状態を評価します。会社の定めた規則を守っているか、最新の保安更新が適用されているか、悪意のある軟体が導入されていないかなどを確認します。本人確認と端末の評価が終わると、接続要求は方針決定機関に送られます。方針決定機関は、利用者の役割、端末の状態、仕組みの機密性などの要素を考慮して、接続を許可するかどうかを判断します。接続が許可されると、利用者は仕組みに接続できますが、その接続は継続的に監視され、不審な動きが検出された場合は、接続が遮断されることがあります。このように、多層的な防御手法を採用することで、保安上の危険を最小限に抑え、企業の情報資産を保護します。

導入の利点

企業が境界防御に頼らない安全対策を導入することで、多くの恩恵を受けられます。第一に、安全性の向上が期待できます。信用しないことを前提とした確認手順により、組織内部からの危険や外部からの攻撃に対する防衛力を強化します。次に、従業員の能率が高まります。社内ネットワークの場所を気にせず、安全に業務に必要なものへ接続できるため、従業員は場所を選ばずに効率よく業務を遂行できます。さらに、管理業務の簡素化も実現できます。全ての接続をまとめて管理できるため、安全に関する規則の一貫性を維持し、担当者の負担を減らすことが可能です。加えて、法令順守を後押しします。接続の管理、監査記録、報告機能を提供し、企業の法令順守に関する要望に応えます。例えば、金融機関や医療機関など、厳しい規則を守る必要のある企業にとって、この対策は非常に有効な解決策となります。これらの恩恵により、企業はより安全で能率的な業務環境を構築できます。

導入に向けて

安全対策の導入は、段階を踏んで進めることが望ましいです。最初に、現在の安全体制を詳しく調べ、どこまで信用しない仕組みを取り入れるかを決めます。次に、本人確認の基盤や端末管理の仕組み、規則を定める機能など、必要な要素を導入します。その後、試験的な取り組みを行い、検証と改良を重ねながら、徐々に適用範囲を広げていきます。導入にあたっては、従業員への教育も大切です。新しい安全に関する規則や本人確認の手順について従業員に知らせ、理解を深めてもらう必要があります。また、情報技術部門は、安全対策の運用に必要な技能を習得し、継続的に監視と改善を行う必要があります。安全対策の導入は、単に技術的な変更ではなく、組織全体の安全に対する考え方を変える取り組みです。経営層の理解と支援を得ながら、組織全体で協力して進めることが成功の秘訣です。導入支援を提供する業者を活用することも有効です。専門家の知識と経験を活用することで、円滑な導入と効果的な運用が実現できます。