ゼロトラスト成熟度モデルと移行計画

ゼロトラストは購入する製品ではなく、複数のセキュリティ領域にわたる継続的な改善の道のりです。構造化された成熟度モデルがなければ、組織は投資の優先順位付けや進捗の測定に苦労します。CISA Zero Trust Maturity Modelは共通言語とロードマップを提供し、チームが現在のセキュリティ態勢を把握して、現実的かつ段階的な改善を計画できるようにします。

CISA Zero Trust Maturity Modelは、Identity、Devices、Networks、Applications and Workloads、Dataという5つの柱と、Traditional、Advanced、Optimalという3つの成熟度段階を定義しています。Traditional段階では、サイロ化が存在し、暗黙の信頼が一般的です。Advanced段階では、自動化と統合が進みます。Optimal段階では、動的ポリシー、継続的な監視、自動化がすべての柱で完全に実装されています。

Identityの柱では、Traditionalの組織はMFAを使わず、基本的なユーザー名とパスワードによる認証を使用します。Advancedの組織は、ほとんどのアプリケーションにMFAとシングルサインオンを導入します。Optimalの組織は、行動分析を伴うリスクベースの継続的な認証を使用します。すべてのアクセス要求を、動的なリスクスコア、ジャストインタイムの権限昇格、パスワードレス認証方式を用いてリアルタイムで評価します。

Devicesの柱では、Traditionalの組織は資産インベントリが限定的で、強制力もほとんどありません。Advancedの組織はMDMを導入し、基本的なコンプライアンスチェックを適用します。Optimalの組織は、完全な資産インベントリ、継続的なコンプライアンス監視、非準拠デバイスの自動修復、ハードウェアアテステーション（TPM）を実現し、ポリシーエンジンを通じてデバイスの健全性シグナルをすべてのアクセス判断に統合します。

Networksの柱では、Traditionalの組織は境界ファイアウォールとフラットな内部ネットワークに依存します。Advancedの組織はマクロセグメンテーションを実装し、一部のユースケースでVPNをZTNAに置き換え始めます。Optimalの組織は、すべてのワークロードの完全なマイクロセグメンテーション、暗号化された東西トラフィック、ソフトウェア定義境界、ゼロトラストポリシーエンジンにリアルタイムで情報を提供するネットワークトラフィック分析を実現します。

Applications and Workloadsでは、Traditionalの組織はアプリケーションごとに広範なアクセスを許可します。Optimalの組織は、インラインのデータ損失防止とアプリケーション層の検査を備えたセッションごとの最小権限アクセスを適用します。Dataの柱では、Traditionalの組織は最小限の分類を行います。Optimalの組織は、自動データ検出、保存中および転送中のデータ分類、全面的な暗号化、データがどこへ移動しても追従するデータ中心のアクセス制御を実現します。

移行を計画する前に、5つの柱すべてについてギャップ評価を実施します。各柱について、現在の状態（Traditional／Advanced／Optimal）、目標状態、解消すべきギャップを記録します。IDプロバイダーのログ、MDMコンソール、ネットワーク図、アプリケーションインベントリ、データ分類レポートからデータを収集します。成果物は、各柱に対応付けられた優先順位付きのプロジェクト一覧です。

ゼロトラストの移行を成功させるには、業務を中断せずにセキュリティ上の価値をもたらすクイックウィンから始めます。フェーズ1の代表的な成果には、すべてのユーザーへのMFAの導入、デバイスのMDMへの登録、パスワードの乱立を減らすためのSSOの実装、基本的な条件付きアクセスの有効化があります。これらの手順で、最も重大なリスク（認証情報の侵害、管理対象外デバイス）に対処しながら、大規模な投資に向けた関係者の信頼を築けます。

フェーズ2では、柱同士を統合し、自動化を導入します。IDのリスクスコアを条件付きアクセス ポリシーに連携します。デバイスのコンプライアンスをアプリケーションアクセスのゲートとして適用します。リモートアクセスではZTNAがVPNに取って代わります。Privileged Access Management（PAM）によって特権認証情報を保管し、ローテーションします。自動化により手作業を減らし、ポリシーを一貫して適用できるため、アクセス制御の判断における人的ミスをなくせます。

ゼロトラスト移行でよくある課題には、最新の認証プロトコル（SAML、OIDC）をサポートしないレガシーアプリケーション、業務フローが中断されるチームからの関係者の抵抗、ID、MDM、SIEM、ZTNA製品の統合によるツールの乱立があります。これらに対処するには、アプリケーションのモダナイゼーションロードマップ、経営層の支援、チェンジマネジメントプログラム、統合の複雑さを減らすためのプラットフォーム統合が必要です。

Zero Trustの成熟度は、主観的な評価ではなく定量化可能な指標で測定する必要があります。主な指標には、MFAに登録済みのユーザーの割合、MDMに登録済みで準拠状態にあるデバイスの割合、ZTNA経由でのみアクセス可能なアプリケーションの割合、ラテラルムーブメントの試行を検知するまでの平均時間（MTTD）、無効化したレガシープロトコルの数などがあります。CISA成熟度モデルのチェックポイントに対して定期的に測定することで、プログラムを計画どおりに進め、継続的な投資の妥当性を示せます。

このレッスンでは、CISA Zero Trust Maturity Modelが3つの成熟度段階にわたって5つの柱を定義していること、ギャップ評価によって現在のセキュリティ態勢を特定し、改善プロジェクトに優先順位を付けられること、そしてクイックウィン（MFA、MDM、SSO）から始める段階的な移行によって、完全なZero Trustの実現に向けて取り組みながら、早期にセキュリティ上の価値を得られることを学びました。次は、脅威ハンティングの方法論と、プロアクティブな調査のために構造化された仮説を作成する方法について説明します。