ゼロトラストの原則とBeyondCorpモデル

ゼロトラストは、「決して信頼せず、常に検証する」という原則に基づくセキュリティフレームワークです。ネットワーク境界の内側にあるものをすべて信頼する境界型セキュリティとは異なり、ゼロトラストでは場所に関係なく、すべてのユーザー、デバイス、アプリケーションを継続的に検証する必要があります。

従来の境界型セキュリティでは、内部 = 信頼できるものと想定していました。このモデルが機能しなくなった理由は次のとおりです。

• クラウドサービスは境界の外側にある
• リモートワークによって従業員があらゆる場所から接続する
• 信頼されたネットワーク内でのラテラルムーブメントが非常に容易である
• 侵害の70%以上に、内部脅威または窃取された認証情報が関与している

Googleは2014年にBeyondCorpを公開し、VPNを廃止して、ネットワーク上の場所ではなくデバイスとユーザーの検証に基づいてアクセスを決定する方法を説明しました。Googleの従業員はどのネットワークからでも働くことができ、アクセスはIPアドレスではなく、アイデンティティとデバイスの健全性によって決まります。

5つの柱:

1. 明示的に検証する — すべてのユーザーとデバイスを認証します
2. 最小権限を使用する — 必要最小限のアクセス権だけを付与します
3. 侵害を前提とする — ネットワークがすでに侵害されているものとして設計します
4. すべてのトラフィックを検査する — 東西トラフィックを暗黙的に信頼しません
5. 継続的に検証する — セッション中も再検証します

ゼロトラストでは、アクセス制御の主な要素として、ネットワーク上の場所に代わりアイデンティティを使用します。強力なアイデンティティ制御が重要になります。

• フィッシング耐性のあるMFA（FIDO2）
• 一元化されたIdentity Provider（IdP）
• リスクシグナルに基づく条件付きアクセス ポリシー
• Privileged Identity Management（PIM）

ゼロトラストでは、アクセスを許可する前にデバイスの健全性を検証する必要があります。

• デバイスはMDMに登録されていますか。
• OSはセキュリティパッチが適用された最新の状態ですか。
• ディスク暗号化は有効になっていますか。
• EDRエージェントは実行されていますか。
• デバイスは脱獄またはroot化されていませんか。

デバイスのコンプライアンスは、アクセス要求のたびに確認します。

NIST SP 800-207は、米国政府のゼロトラストアーキテクチャ標準です。ZTAの7つの基本原則を定義し、実装シナリオについて説明しています。大統領令14028（2021年）により、すべての連邦機関にZTAの実装が義務付けられています。

従来のVPNは、ネットワークへの広範なアクセスを許可します。Zero Trust Network Access（ZTNA）は、アイデンティティとデバイスの状態に基づいて、アプリケーション単位でアクセスを許可します。

• VPN: ネットワークを信頼する → 内部のすべてにアクセスできる
• ZTNA: アイデンティティとデバイスを検証する → 特定のアプリだけにアクセスできる

段階的なZTAの実装:

1. ユーザー、デバイス、アプリケーション、データを棚卸しする
2. 強力なアイデンティティを確立する（MFA、IdP）
3. デバイスのコンプライアンスチェックを実装する（MDM）
4. アプリケーションをセグメント化する（ZTNAプロキシ）
5. 監視し、継続的に検証する

クラウド環境は、ゼロトラストと自然に適合します。

• 保護すべきオンプレミスの境界がなく、すべてが「外部」にある
• IAMポリシーがファイアウォールとして機能する
• サービスメッシュ（Istio、Consul）が、サービス間のアイデンティティベースのmTLSを強制する
• CSPMがポリシー違反を継続的に監視する

主なゼロトラストプラットフォーム:

• Google BeyondCorp Enterprise
• Zscaler Private Access
• Cloudflare Access
• Okta + Okta Device Trust
• Microsoft Azure AD Conditional Access

ゼロトラストとは、「決して信頼せず、常に検証する」ことです。すべてのアクセス要求に対してアイデンティティとデバイスを検証し、境界型セキュリティに置き換えます。GoogleのBeyondCorpは、大規模環境でも実現可能であることを示しました。NIST SP 800-207が標準を定めています。実装では、強力なIdP、MFA、MDMによるデバイスのコンプライアンス確認、ZTNAによるアプリ単位のアクセスを使用します。クラウド環境はゼロトラストの原則に自然に適合します。