Getting Maximum Protection through Zero Trust Callout

ゼロ・トラストで保護を最大限に強化する

Akamai Technologies、Web Security and Performance 担当 CTO、John Summers へのインタビュー

ゼロ・トラストとはどのようなものですか?

ゼロ・トラストとは、内部と外部の区別が消滅することです。これまで、組織では、管理領域内にデータセンターやネットワークを配置していました。そして、内部にあるものを信頼し、外部から入ってくるものには警戒していました。そのため、セキュリティ対策は、境界を超える者に対して極めて効果の高いアクセス制御を適用することで、不正侵入者を締め出し、正規の利用者だけを迎え入れることに重点を置いていました。

ところが、現在、企業では何が起きているでしょうか。境界は崩壊しつつあります。インフラストラクチャ、アプリケーション、データ、およびユーザーは、ますます分散されるようになりました。そして、クラウドではモバイルユーザーとビジネスアプリとの境界はなくなり、企業がコントロールしていないネットワーク上でやり取りが発生しています。そのため、私たちはこの新たなパラダイムに対する考え方を改め、新しい方法でセキュリティを構築する必要があります。

まず初めに言えることは、通信をその発信元に基づいて信頼することはできないということです。そのため、発信元がネットワークの内部または外部のどちらであっても、その通信を始める前に、認証や承認チェックと同等の確認処理が必要になります。すべてを信頼できないものとして処理するというシンプルなアプローチは、今月はデータセンターにあったアプリケーションが来月はクラウドに移動するなど、移行状態にある組織で対応するのに大いに役立ちます。さらに、今日は管理領域にいたユーザーが、明日は別の場所から作業するような場合も同様です。

一切を信頼しない、すべてを確認する、一貫した管理を維持することは、ゼロ・トラストの基本です。

ゼロ・トラストのビジネスニーズを推進するものは何かについて、詳しく説明してください。

サイバーセキュリティの目的は、デジタル資産とそれを使用する人々を保護することで、エンタープライズが自信を持って効果的に活動し革新できるようにすることです。今日、それらの資産は分散され、かつてないほどに移動しています。

私たちが利用するインフラストラクチャには、インターネットやクラウドが含まれるようになり、ソフトウェア定義されたインフラストラクチャが増えるにつれ、その物理的な位置もより流動的になりつつあります。ネットワークインフラストラクチャは、エンタープライズとお客様、モバイルワーカー、およびサードパーティーとをつなげ、それらの間のやり取りは必然的に従来の境界を超えることになります。

アプリケーションとは、価値が創出されるビジネスプロセスを意味します。ミッションクリティカルなアプリケーションはすべて、データと共にデータセンターからクラウドに移行しています。トランザクションはセキュリティが確保され、データは保護され、そしてビジネス活動は規制コンプライアンスの目的で監査される必要があります。それらのことは、資産がデータセンターの内部にあったときとまったく同じです。

さらに、ユーザーはいたるところにいます。エンタープライズは、お客様がどこにいても、お客様のデバイスで、お客様の思いどおりにお客様とつながる必要があります。モバイルワーカーやリモートワーカーは、従来の管理領域内で時間を過ごすことが少なくなってきました。そして、ビジネスパートナー、サプライヤー、販売店、および請負業者は、高度に分散されています。

これでおわかりいただけたと思いますが、インフラストラクチャ、アプリケーション、データ、およびユーザーは、どこにでも存在し得ます。そのため、攻撃に晒される確率が飛躍的に高くなり、企業が保護しなければならない攻撃の対象範囲も増えています。また、ネットワークやセキュリティ管理の複雑さも著しく増しています。

私たちはこれらの資産を抑制しながら、デジタルビジネスで成功を続けることはできません。ですから、1 つの境界で資産のセキュリティを確保するのではなく、資産がどこにあっても、それらを個別に保護する必要があります。それには、高い可視性とゼロ・トラストが必要です。

ゼロ・トラストへの移行には何が必要ですか?

異なるセキュリティアーキテクチャを使用します。セキュリティポリシーやセキュリティ管理は、デジタル資産が保護されている状態で、それらが最も効果的に機能する場所に適用する必要があります。クラウド内のエンドポイントと別のエンドポイントとの間の通信のセキュリティを確保する最適な方法を考えてみましょう。これらの 2 つのポイントの間で最速の通信経路を見つけて、その経路のど真ん中に適切なセキュリティ管理を実装したいと思うのではないでしょうか。両方の関係者が強固に認証されていない限り、通信は開始されず、強固に暗号化されていない限り、データは移動しないというのが、まさに私たちがやるべきことです。

ただし、それはセキュリティに対する別の考え方でもあります。ほとんどのセキュリティ専門家は、ルーター、ファイアウォール、ネットワークパケットが取引のツールとして見なされるネットワーク管理環境で育ってきました。マイクロセグメンテーションなどの手法を使用して、主にネットワークレイヤーでセキュリティをエンコードしようとするのはごく自然なことです。しかし、それは簡単ではなく、複雑さを伴う方法です。私たちはそのような習慣を捨てて、アプリケーションレイヤーまで引き上げる必要があります。目標は、どのネットワーク上で実行しているのかに関係なく、アプリケーションとのやり取りのセキュリティを確保することです。なぜなら、アプリケーションを実行するネットワークをエンタープライズがコントロールしていないからです。アプリケーションレベルとは、ビジネスで定義されたセキュリティポリシーやセキュリティ管理が最適に埋め込まれ、適用される場所です。そのレベルで、セキュリティ管理は、資産があるところであればどこへでも移植できます。

エンタープライズにとって、ゼロ・トラストは何を意味するのでしょうか?

ゼロ・トラストにより、ネットワークの状況だけでなく、デジタル資産やユーザーの状況についても、これまでにないレベルでの可視化が可能です。そして、高度に分散したビジネス環境でより包括的なセキュリティを実現します。標準のセキュリティ管理は、アプリケーションとそのインタフェースに組み込むことができ、新しいビジネス機能の開発と展開を迅速化します。そのため、ゼロ・トラストによって、最終的にはビジネスの俊敏性が向上し、デジタルへのすべての取り組みにおいてスピードと信頼性も向上します。

また、複雑さも軽減され、ネットワーク管理がシンプル化されます。ネットワークの専門家は、ビジネス・プロセス・レイヤーのセキュリティ管理とポリシーをネットワークに適用する必要がなければ、ネットワークのパフォーマンスと信頼性や、ユーザーに提供するデジタル体験に重点的に対応することができます。

セキュリティ管理は、このユーザーは誰か、どのくらい信頼を置けるか、どのようなアプリケーションと通信をしようとしているのか、そのアプリケーションとの通信を許可することによるビジネス上のリスクは何か、その通信経路にはどのようなポリシーや管理が必要かなどの、ビジネス上の条件で対処できます。これらのポリシーと管理に関する決定は、アプリケーション所有者の責任であることは明らかです。このことは、CISO やネットワーク専門家の負荷を軽減することにもなります。

ユーザーにとって、ゼロ・トラストはフリクションを軽減し、ユーザー体験を向上させるものです。私たちはパスワード以外の方法でも認証を強化できますが、認証のレベルは、単純なタスクへのシームレスなアクセスに対し、機密性の高いデータへのアクセスの場合はより多くの認証が必要になるなど、ユーザーによる処理の内容によって異なります。会社のディレクトリを検索する場合は、簡単に利用できますが、企業の財務情報にアクセスする場合は、まったく別の認証が必要です。

最後に、可視性の向上は、資産の保護以外にもあてはまります。ビジネスの可視性も向上するということです。可視化されることで、オンラインで運用しているビジネスプロセスやトランザクションをより詳しく理解できます。その情報を分析することで、プロセスやお客様の実際の動作についての新たな知見を得ることができ、セキュリティの領域をはるかに超えた改善の機会が見つかります。

組織はどこでどのように始めるべきでしょうか?

最適なユースケースのいくつかは、ネットワークを大幅に再構成する必要がある場合などに該当します。たとえば、大手小売チェーンでは、10,000 以上の店舗で新しいビジネス機能をローンチする必要がありました。そのビジネス目標は、個々の店舗と全体におけるコスト削減ならびに売上増加を図るために効果的な分析を行うことでした。VPN を使用してすべての店舗ネットワークをつなぎ、マイクロセグメンテーションでセキュリティ管理を適用することは複雑すぎて、拡張性の特性も間違ったものでした。

クラウドとアプリケーションレイヤーコントロールを活用したゼロ・トラスト・アプローチは、その代替策として、はるかに優れたものでした。そこで、ネットワーク全体をつなぎ合わせるのではなく、組織内の各自の役割に基づいた多要素認証による属性ベースのアクセスを実装しました。すべてのアクセス制御インフラストラクチャは仮想化され、データ転送は基本的にクラウド内で接続されたペアの間で行われ、会社のバックエンドシステムはインターネットから隠されます。

これにより、ネットワークへの変更を最小限に抑えながら、実装が加速されました。その経験と成功を活かして、ビジネスのさまざまな取り組みにゼロ・トラストのアーキテクチャを応用しています。

もう 1 つのユースケースとして挙げられるのは、企業の合併や買収です。つまり、それらに伴う相乗効果や財務上の成功は、技術やアプリケーションとビジネスを迅速に結び付けることができるかどうかにかかっています。一部の組織では、大手の金融サービス機関が地域または地方の銀行チェーンを買収するときと同じように、これを繰り返し行う必要があります。ネットワークをつなぎ合わせ、ファイアウォールの前にファイアウォールを配置し、古いネットワークとそのセキュリティ管理に対する新しい資産をすべて特定しようとする従来のアプローチは、複雑で時間がかかり、エラーを起こしやすいものです。

これとは対照的に、ゼロ・トラスト・アーキテクチャはアクセシビリティと管理を重ね合わせることができます。こうして買収システムの運用を継続させます。従業員に親会社のアプリケーションとデータへの適切なアクセスを許可し、逆の場合も同様に行います。まず、境界とアプリケーション全体との間にブリッジを設定して、運用を迅速に調整できるようにします。次に、一定期間にわたり、基盤となるネットワークの実際のトポロジーを必要な程度まで統合します。

同様に、全体または部分的な分割後、資産へのアクセスは安全に分離されるか、選択的に共有されます。特定の資産が売却されるメディアやエンターテイメント業界の例は複雑です。たとえば、コンテンツ制作事業が複数の施設に分散しているとします。従業員の半数は新会社に勤務する予定で、残りの半数は元の会社にとどまることになります。アクセスの必要があるアプリの中には、新会社に移行するものもあれば、元の会社に残るもの、さらには、その中間に置いて共有の必要があるものもあります。そのような場合、それぞれを再接続するにはどうすればよいでしょうか。それを行うには高額なコストがかかり、問題なく機能するとは思えません。

そこで解決策として考えられるのは、物理的なインフラストラクチャをそのまま残して、その上にユーザーグループの仮想セグメンテーションを重ねることで、アプリケーションへの排他的または共有アクセスと完全なセキュリティ管理を可能にすることです。この方法は、従業員の生産性を維持できるため、かなり短期間でビジネスの価値が創出されます。

上の 3 つの例は、根底にある重要なメッセージを伝えています。つまり、ゼロ・トラストは、複数のアプリケーションで段階的に採用できるということです。また、アーキテクチャとインフラストラクチャの全面的な見直しを意味するものではありません。ゼロ・トラストは、既存のセキュリティメカニズムを補完しながら、段階的に置き換えていくため、それに伴って価値を提供することができます。また、ゼロ・トラストの概念を実証するだけでなく、ビジネスに大きな価値をもたらすようなユースケースから着手することが肝心です。

ゼロ・トラストに大きな期待を寄せるのはなぜですか?

Akamai は、ゼロ・トラストが効果的に機能することを知っており、比類のない経験もしているため、熱心に勧めています。世界中の何千台ものサーバーで構成されたビジネスプラットフォームを展開する必要があり、そのうえ、それらがすべてインターネットのファブリックに直接埋め込まれていることを想像してみてください。さらに、それらのすべては互いに安全に通信し、相互運用する必要がありました。それを 20 年前に行ったとしたらどうでしょう。それこそ、実際に Akamai が手掛けたことだったのです。

Akamai は高度に分散されたインターネットベースのコンテンツ・デリバリー・ネットワークを構築しており、高いパフォーマンスをお客様に保証していたため、信頼すべき送信はないと仮定する必要がありました。

そのため、Akamai では、すべてのエンドポイントに強力な認証が設定されています。それにより、IP アドレスがわかるだけでなく、通信が始まる前にデジタル証明書の交換と検証が行われます。また、ユーザーがアクセス制御プロキシを経由せずに、プラットフォームにアクセスすることはできません。そのため、ユーザーの名前、所在地、組織内での役割などの属性に応じてポリシーを適用するための論理的な中心点が存在していることになります。さらにはアクセスした時刻なども属性に含まれます。それは業務時間外にアクセスすると、アクセスを許可すべきでない場合があるためです。

現在、Akamai プラットフォームは、130 か国以上に設置された 24 万台以上のサーバーで構成されています。Akamai は、境界という概念が時代遅れになったインターネットのエッジで運用しています。また、大量のインターネットトラフィックを処理しているため、インターネットのセキュリティとお客様のインフラストラクチャのセキュリティ状況を大規模に可視化することができます。そのような継続的な可視化によって、サイバーセキュティティに関する Akamai の考え方やイノベーションは推進され続けます。

今から 20 年前に「ゼロ・トラスト」を提唱した人は誰もいませんでしたが、そのアプローチは Akamai は当初から取り組んできたものです。Akamai が真剣に取り組みたいと思っても、実際にはそれ以外に選択肢はありませんでした。ゼロ・トラストに大きな期待を寄せ、お客様がセキュリティを次のレベルに引き上げて、デジタルビジネスの成功要因に位置付けることができるようサポートしているのは、そのような理由によります。

関連する CIO のコンテンツ