トップへ
Case study 政府CIO

脅威を“戦略”に変える!
すべてのビジネスの基礎となる「ゼロトラスト」の真髄

新型コロナウイルス感染拡大の影響で、リモートワークやクラウド活用のニーズが増加すると同時に、セキュリティに対する注目度や重要性も高まってきている。その中で、よく聞かれるようになった言葉が「ゼロトラストセキュリティ」だ。「ゼロトラスト」とは一体どのような考え方で、企業や組織はどのように取り入れていくべきなのだろうか。セキュリティとビジネスの最前線を知る奈良先端科学技術大学院大学の門林雄基氏、IT総合戦略室の梅谷晃宏氏、情報通信研究機構の井上大介氏が、ゼロトラストセキュリティの真髄について語り合った。

クラウドファーストを進めるにはゼロトラストの考え方が重要

── ゼロトラストセキュリティという言葉がよく聞かれるようになり、政府CIOポータルでもゼロトラストセキュリティの方向性についてディスカッションペーパーで示しています。ゼロトラストセキュリティとはどのようなもので、従来のセキュリティとどのような違いがあるのでしょうか。

IT総合戦略室
政府CIO補佐官
梅谷 晃宏 氏

梅谷氏 政府CIOポータルでは、政府情報システムにゼロトラストをどのように採用していくかついて、ディスカッションペーパーの中に技術的な観点から主な論点をまとめて公開しています。ゼロトラストに関するペーパーでは、これまでのセキュリティ実装だけではリスクが軽減されないことが示されています。ネットワーク上の脅威が様々に変化し、そのスピードも上がってきていること、クラウドサービスをより積極活用していくには利用時のセキュリティの課題をどのように考えていくか論点になっている、といったことが背景にあります。政府が掲げるクラウドファーストの伸展を支援するためにも、ゼロトラストモデルを具体的に検討していくことが重要ではないかという議論がなされています。

従来型のセキュリティ対策では、たとえばファイヤーウォールを設置して境界防御を構築し、外部と内部に分けることが多いと思います。「その境界の外側は危険であり、内部は安全である」という考え方です。しかしゼロトラストは、アクセス元であるPCや、最終的な到達点であるサーバー上のデータ等、エンドポイントを含めてデータのアクセスに関わるすべてのアーキテクチャや重要なポイントを考慮していく包括的な考え方です。クラウドサービスの利用にあたっても基礎的な概念であり、従来のセキュリティの考え方と対比して、今後の実装を整理していくときにも使えるフレームワークだと思います。

国立大学法人
奈良先端科学技術大学院大学
サイバーレジリエンス構成学研究室
教授
門林 雄基 氏

門林氏 城塞の中を守るファイヤーウォールという考え方においては、城塞の中の人同士は一緒に仕事ができても、外の人と一緒に仕事をすることが難しく、これまでは苦労をしながら様々な工夫していました。ゼロトラストは、誰かがある日突然創り出した概念ではなく、安全に組織外の人とコラボレーションしようと工夫してきた過程が、ゼロトラストと呼ばれるようになったと私は考えています。それが、コロナ禍やテレワークの必要性などの外的要因もあって注目されるようになってきていると思います。

井上氏 たとえば、2011年の国内防衛産業の情報漏えいや、2015年の日本年金機構の情報漏えいなどで標的型攻撃が問題となり、「これまでのように境界で防御するというモデルが機能していないのではないか」という感覚は現場でも抱いていました。その後、門林先生が言われるように様々な苦労や努力を重ねている流れの中で、きめ細やかなID管理やEDR製品によるエンドポイントのセキュリティ強化、リソースへの細かなアクセスコントロールなどを包括して「ゼロトラスト」というキーワードで呼び、従来の考え方から脱却するようになったのです。これまで積み重ねた工夫や技術を継続していくことを、再確認するためのキーワードでもあると考えています。

── ゼロトラストセキュリティを実現することによって、企業や組織にはどのようなメリットが生まれるのでしょうか。

門林氏 ゼロトラストを実現できれば、安全にクラウドを使って信頼できるパートナー企業や海外子会社とのやり取りをしたり、リモートで優秀なエンジニアなどの人材を活用しやすくなります。自社に来てもらわないと何もできないのではなく、海外にいる人や組織を活用してエコシステムを作り、生産性を向上させることが可能です。たとえば、日本で作業して終業時間になれば、パリが始業時間となって作業を引き継ぎ、パリが終業時間になればアメリカが始業時間となるように、グローバル企業では世界中にいる優秀な人材を活用して、東京だけで働いている企業に比べて3倍の生産性を実現しています。

梅谷氏 リモートワークがやりやすくなることも、ゼロトラスト実装のわかりやすいメリットの1つですよね。グローバル企業の中には、2021年夏までに100%リモートワークにすると表明している企業もありますが、ゼロトラストセキュリティを実装したセキュリティ体制の整備と実運用ができているからでしょう。リモートワークの課題は、煩雑なアクセスコントロールによってデータが入手しづらいことや、同僚とのコミュニケーション不足などですが、それを補うテレビ会議やコラボレーション、あるいはデータのセキュアな共有等の仕組みは、ゼロトラストの考え方が自然とベースとなっていくと思います。

組織に適した方法を組み合わせることがゼロトラストセキュリティの本質

── 企業や組織がゼロトラストセキュリティに取り組む際に、どのような課題があると考えられていますか。

梅谷氏 「ゼロトラスト」は何か全く新しい製品が存在していて、それを導入するだけで、すべてのセキュリティの課題が解決されるといった大雑把なとらえ方をしている人も少なからずいるような気がします。しかし、基本的な考え方は、境界防御に頼り切るのではなく、日々変化していくリスクをテクノロジーの実装とともに把握しセキュリティ上必要なコントロールをリスクに応じて実装し、運用していくことがゼロトラストのアーキテクチャの本質だと思います。実はベーシックなことに立ち返っているともいえると思います。

門林氏 攻撃する側がどんどん巧妙化していく中で、境界防御で城塞を建てていても、城塞の中に怪文書を投げ込む人が出てきて、その罠にはまる従業員が出てきています。標的型攻撃が登場し、城塞だけでは守れなくなってきたのがここ数年の状況です。ネットワークの中にいても信用できないということから、ゼロトラストという言葉が使われています。ゼロトラストだからと言って、何も信用していない、というわけではありません。社内ネットワークにも信頼できる部分はあるし、しっかりと運用されているクラウドも信頼できます。それらのトラストできる部分を、どのように活用するかが重要となります。ゼロトラストとひと言で言っていますが、各社ごとに守り方は異なり、様々なパターンを組み合わせて守ることがゼロトラストの本質だと思います。

国立研究開発法人 情報通信研究機構(NICT)
サイバーセキュリティ研究所
サイバーセキュリティ研究室
室長
井上 大介 氏

井上氏 企業のセキュリティやネットワークの担当者からすると、「何かまた新しいことを言われて、何をしたらよいかわからない」と感じる方も多いでしょう。NISTが出しているゼロトラストアーキテクチャの文書を見ても、様々なコンポーネントが並んでいます。しかし、「すべての要素に対応しなければならない」ということではなく、それらのコンポーネントの中から各組織に合ったゼロトラストのモデルを考えながら作っていくことが重要です。組織の中で足りないものは何かを考えて選択していく必要があり、ITアーキテクトの能力を持ったエンジニアやマネジメント能力のある人材を揃えて組織のセキュリティを考えていく必要があると思います。

門林氏 ファイヤーウォールや境界防御はもういらないということではない、ということも強調しておきたいですね。ファイヤーウォールや境界防御で守れる部分もあり、守り切れないところはゼロトラストで守る。それにより対策の手段が増え、組織のセキュリティを高めていくことができます。

梅谷氏 既存のファイヤーウォールを捨てて、ゼロトラストという名前の製品で入れ替えなければならないんじゃないか、という勘違いも多いかもしれません。

井上氏 ゼロトラストという新しいアーキテクチャを深く勉強してもらって、自分の組織でやらなければならないことを上層部に伝え、本質的に組織のセキュリティを向上させることにつなげてもらえるといいですね。

やらされている感がある日本とポジティブに捉えている海外

── 海外と日本では、セキュリティに対する考え方に違いがあるのでしょうか。日本特有の課題があるのであれば、教えてください。

門林氏 社会人の人材育成プログラムの一環で、企業の方を海外研修に連れていくことがあるのですが、日本とはセキュリティに対する考え方が180度違うと感じる人が非常に多いです。日本ではセキュリティ対策をやらされている感が強いですが、海外では非常にポジティブに取り組んでいる企業が多く、温度感の違いに驚くようです。海外では、官民一体となってセキュリティに攻めの投資を行って一歩先に進もう、という風潮があると思います。

井上氏 海外のある企業では、セキュリティ部門だけがセキュリティをやっているわけではなく、一般社員にもセキュリティの資格試験のようなものを行い、セキュリティ技術を個々人のキャリアアップにもつなげています。全員でセキュリティを考えるという認識ができていて、ポジティブに取り組んでいるのです。セキュリティをビジネスチャンスと考えている人も多く、参加費が高いセキュリティカンファレンスなどにも数万人の参加者が集い、セキュリティエンジニアの待遇も非常によくなっています。一方で、日本では、セキュリティを外注に頼っていたり、ファイヤーウォールのログだけは溜まっている企業が多いと感じています。ある程度セキュリティを内製化し、技術力のある人がログマネジメントをしっかりできるような体制を、日本でも取り入れる必要があると思いますね。

梅谷氏 私の前職のAWSのCISOであるスティーブ・シュミット氏は、外部の講演で“セキュリティ=ジョブゼロ”とよく言っています。セキュリティは、ビジネスの大前提、建物で言うと基礎部分であって、まずはセキュリティを固めないと何もできないという考え方ですね。何かビジネスを実践していく際に、適切なリスクのコントロールが不可欠である、というのは海外では自然な考え方で、日本と比較するとその傾向は強いと感じます。ビジネスのバリューとリスクコントロールは表裏一体であるという考え方ですね。セキュリティもそういった俯瞰的な視点がないと、セキュリティはコストである、あるいはセキュリティのスペシャリストは厳しく難しいことばかりを要求して、ビジネス促進の阻害人という捉え方になってしまいがちではないでしょうか。企業のプレゼンスやビジネスのバリューを出すための表裏一体の必要不可欠な要素として、セキュリティやリスクコントロールが捉えられていないような気がします。

井上氏 日本には、ゼロリスク信仰のようなものがあって、インシデントが起きたら最後、と考えているのではないでしょうか。実際には、世界中の企業で日々インシデントが起きていて、それに対し適切な対応をすることで価値を上げている企業もあります。

門林氏 たとえば、日本は、品質管理や労働安全などは非常にしっかりやっています。ITのセキュリティも同じようにやれば、必ずできるはずだと思いますね。以前はQC運動というのがあって、品質管理や労働安全を全社で行っており、各部門が品質管理や労働安全のために何をやらなければならないかを考えていました。セキュリティに対しても、各部門が何をやるかを考えて、井上さんが言ったようにセキュリティが個々人のキャリアアップになるように人事制度の中にもセキュリティを取り入れて、全社的にやっていく必要があると思います。

ハードウエアレベルのセキュリティが信頼の礎となる

── ゼロトラストセキュリティを実現するうえで、ハードウエアレベルのセキュリティは重要となっていくのでしょうか。

門林氏 もちろん重要です。前にも言ったように、ゼロトラストは「何も信じないこと」と誤訳されることが多いのですが、本来の意味は「ネットワークに暗黙の信頼を置くのは避け、人やクラウドサービス、システム、ネットワークの中の信頼できる部分を活用するための方法を考えましょう」ということです。ハードウエアの信頼の礎となるものとしてPCにセキュリティチップがあり、インテルが十数年かけてTPMソリューションなどを提供してくれることで、信頼できる道具として使えているのです。

井上氏 トラストアンカーの1つとしてハードウエアがあることは重要です。ハードウエア内部の情報は、ソフトウエアやファームウエアに比べて書き換えが難しいため、そこを起点として信頼の基礎を作り、セキュリティを守れるということはベーシックな考え方となっていると思います。

梅谷氏 ハードウエアやデバイスは、抽象的な世界のITと物理世界の人間の接点となるところですよね。例えばTPMに格納された認証関連データをつかってシステムやデータにアクセスするというのは一つのケースかと思いますが、そうした物理的な基礎の部分に脆弱性があるとすべての信頼性が崩れてしまうので、非常に重要ですよね。その重要性があまり注目されていないような気もしますが、むしろ意識せずともそういった重要な機能が利用可能になってきているということかもしれません。

── 近年では、企業や組織におけるデータ活用の重要性が高まり、DcX(データ・セントリック・トランスフォーメーション、データ活用を中心に据えたデジタル変革)などの概念も生まれています。DcXを推進するためにも、ゼロトラストセキュリティは重要となってくるのでしょうか。

梅谷氏 新型コロナウイルス感染拡大や地政学的なリスクなどがあっても、ゼロトラストセキュリティの概念を活用したセキュリティを実装することによって、データ活用の可能性は間違いなく広がると思います。

門林氏 今は、工場の現場などでもデータの活用が進み、ベルトコンベアにIoTを活用したり、不良品や故障の診断にAIが使われたりしています。デジタル技術が実空間をカバーするようになってきている中で、基本の基本であるセキュリティがなければ、様々な問題が発生することになります。ゼロトラストは、その礎となるものだと考えています。

井上氏 逆に、ゼロトラストを実現するためにもデータの利活用は重要だと考えています。NISTのゼロトラストアーキテクチャの中にも、アクティビティログをしっかりと取ってそれを元にセキュリティ対策を行うことや、脅威情報をセキュリティに生かすことについて書かれています。データを活用して組織の健康状態を知ったうえで対応を行い、アウェアネスを高めていくこともゼロトラストアーキテクチャの中には含まれています。

梅谷氏 様々な業種でデータが利活用される中で、たとえば、医療データなどのクリティカルなデータがセキュアかつ適切に保持され活用されなければ、命に関わる問題となってしまいます。今後は、広い意味でのゼロトラストセキュリティが認識され、具体的なシステムに適用されていくことで企業や組織の活動を支えていくのだと確信しています。

併せて読みたい

記事一覧

テレワーク、リモートワークの重要情報漏洩リスク対策にも応用可能! インテル® vPro® プラットフォームでアウトオブバンド管理を実現した医療法人社団 心翠会の電子カルテ端末リニューアル事例

Case study医療法人社団 心翠会

脅威を“戦略”に変える! すべてのビジネスの基礎となる「ゼロトラスト」の真髄

Case study政府CIO

インテル® vPro® プラットフォーム搭載デバイスにはスタートアップが求める“基準”が詰まっている

Case studySymmetry Dimensions Inc.

営業担当者のノートPCを守れ! インテル® vPro® プラットフォームでデバイス管理

Case studyシュアラスター株式会社

イラストで解説!各業界の働き方はどう変わる? ~テレビ業界編

Case studyインテル株式会社

イラストで解説!各業界の働き方はどう変わる? ~不動産業界編

Case studyインテル株式会社

イラストで解説!各業界の働き方はどう変わる? ~製造業編

Case studyインテル株式会社

ITマネージャー必読!インテル® EMA活用「虎の巻」

Case studyインテル株式会社

ニューノーマル時代の到来に合わせて進化した第10世代インテル® Core vPro® プロセッサーが登場!

Case studyインテル株式会社

インテル® vPro® プラットフォームの特長3:セキュリティ ビジネスを強力に支援するハードウエア・ベースのセキュリティ

Case studyインテル株式会社

インテル® vPro® プラットフォームの特長2:安定性 将来的な成長に向けた安定性、可用性、信頼性を確保するインテル® vPro® プラットフォーム

Case studyインテル株式会社

インテル® vPro® プラットフォームの特長1:パフォーマンス 最新のビジネスPCに求められるパフォーマンス

Case studyインテル株式会社

テレワークへと大きく舵を切るビジネスワーカーたちへ!ASUSが「ASUS ExpertBook B9 B9450FA」で掲げた、新時代PCの条件

Case studyASUS

求められるのは“柔軟なビジネスモデル”変化の時代、中小企業が適応するには?

Case studyインテル株式会社

緊急のテレワーク環境構築時に考えるべき“3つのポイント” 最終ゴールは“従業員が罪悪感を持たずにテレワークできる環境を作ること”

Case studyレノボ・ジャパン合同会社

インテル® vPro® プラットフォーム搭載PCで Windows 10 の効率的で安定した運用を実現!400台導入したワシントンホテル株式会社の事例

Case studyワシントンホテル株式会社

“モバイルPC専業メーカー”のパナソニックが安心・安全なテレワーク環境の構築を支援する

Case studyパナソニック株式会社

今だからこそ持つべき視点、“ゼロトラストセキュリティー”の必要性

Case studyインテル株式会社

豊富な知見を持つITソリューションベンダーが Windows 10 環境の効率的な設定や運用作業を支援!

Case studyNECキャピタルソリューション株式会社

インテル® vPro® プラットフォーム搭載PCの導入 保険サービスを支えるセキュリティー強化と管理効率化をインテル® vPro® プラットフォーム搭載PCで実現

Case studyオリックス生命保険

テレワーク時代のシステム管理者の悩みを解決する便利なアプリ「インテル® EMA」の凄さ

Technology

デルPC+インテル® vPro® プラットフォームが“止まらないビジネス”を実現する!

Case studyデル株式会社

低コストでセキュアなファイル共有環境を実現、インテル® vPro® プラットフォームとの連携で“未知の脅威”の侵入にも対応

Case studyバリオセキュア株式会社

~インテル® vPro® プラットフォーム搭載PC活用事例~ネットワークセグメントに依存しない電源管理を実現し“パッチ適用率97%”を目標に設定!

Case study日本ビジネスシステムズ

低コストでセキュアなファイル共有環境を実現、インテル® vPro® プラットフォームとの連携で“未知の脅威”の侵入にも対応

Case studyバリオセキュア株式会社

2020年4月からの「働き方改革関連法」施行で求められるIT対応とは?

  

2020年はテレワーク待ったなし! 今こそITをアップデートすべき理由

  

あらゆる課題に対応するインテル® vPro® プラットフォームの4つの特長

ビジネス・プラットフォームの運用をハードウェア・レベルで支援するインテル® vPro® プラットフォームは、パフォーマンス・安定性・セキュリティー・運用管理性の各要件において豊富な機能を具備しています。

パフォーマンスの最適化と長時間バッテリーにより、ワンランク上のコンピューティング体験を手に入れ、生産性を向上させることができます。

複雑な PC ライフサイクルを解消する、高い安定性を体験することができます。


下位レイヤーに保護機能を内蔵するエンドポイントのセキュリティーで、企業を守ることができます。

リモート管理ソリューションにより、効率的な PC 管理が可能になりました。


詳しくはこちら

貴社のビジネスを強力にサポートするインテルのパートナー企業(ABC順)

デル株式会社

豊富に揃ったビジネス向け製品&ソリューションから、働き方に見合ったモデルとスペックを選べます。

デル株式会社のサイトを見る

株式会社ディー・オー・エス

当社のご提供するIT資産管理ソフト「SS1」は、セキュリティ管理やログ管理もおこなえる統合型のソフトウェアです。Windows10への移行や更新プログラム適用管理・働き方改革の推進に効果を発揮します。

株式会社ディー・オー・エスのサイトを見る

Dynabook 株式会社

Dynabook株式会社では、クラウドを活用した業務サービスをはじめ、生産性向上を実現するさまざまなソリューションをご用意。そしてお客様のめざす「働き方改革」を成功に導く豊富な製品ラインアップをご提供しています。

Dynabook 株式会社のサイトを見る

富士通株式会社

富士通はパソコン本体の開発から製造まで一貫した国内体制を確立し、「高信頼性・高品質」にこだわり続け、お客様の用途や業種・業態にあわせた最良の製品・サービスを提供します。

富士通株式会社のサイトを見る

株式会社ハンモック

AssetView は、Windows 10 更新プログラム管理機能に加え組織内のクライアントPC の情報を収集する機能や、クライアントPC の設定コントロールや制御・警告・ウイルス対策などを行ってくれるトータルクライアントソリューションです。

株式会社ハンモックのサイトを見る

Lenovo

レノボ・ジャパンは、ThinkPadをはじめ優れたモビリティを誇るPCデバイス、周辺機器、Web会議システム、セキュリティ製品、サービス等、技術力と確かな品質でお客様企業の働き方改革推進をご支援いたします。

Lenovoのサイトを見る

エムオーテックス株式会社

『LanScopeCat』は14年連続トップシェアの情報漏えい対策ツールです。IT資産管理や操作ログ管理をはじめ、既知・未知のマルウェアの検知・駆除、感染原因の特定まで行え、インシデント対応の課題も解決します。

エムオーテックス株式会社のサイトを見る

NECキャピタルソリューション株式会社

当社では、効率的にインテル® アクティブ・マネジメント・テクノロジー(インテル® AMT)の初期設定ができる「PIT-Configurator for AMT」、複数PCの電源管理が可能な「PIT-PowerController for AMT」を提供しております。

PIT-Configurator for AMT PIT-PowerController for AMT

日本ビジネスシステムズ株式会社

JBSはマイクロソフトを中心としたITソリューションを提供する独立系システムインテグレーターです。最新のテクノロジーを活用し、次世代のイノベーションパートナーとしてお客様のデジタルトランスフォーメーションの実現をご支援します。

日本ビジネスシステムズ株式会社のサイトを見る

日本電気株式会社

ビジネスPC Mate&VersaProシリーズは、様々なワークスタイルをサポートする多彩な商品構成とサービスを提供します。お客様一人ひとりの多彩なニーズに応え、社会とビジネスの革新に貢献します。

日本電気株式会社のサイトを見る

株式会社 日本HP

HPは「世界で最も安全なビジネスPC」を実現するPCメーカーです。マルウェア感染を防ぐ“HP Sure Click”など先端のセキュリティ機能によりサイバー攻撃の対策やテレワーク導入の推進コストを下げることが可能です。

株式会社 日本HPのサイトを見る

日本マイクロソフト株式会社

Windows 10 はマイクロソフトが提供する最も安全なオペレーティングシステムです。セキュアなIT環境の維持・柔軟なITデバイスの管理・リモート作業や既存ITとの統合を可能にし、ビジネスにおける高い生産性の実現に貢献します。

日本マイクロソフト株式会社のサイトを見る

株式会社NTTデータウェーブ

ハードウェアの提供から運用管理、撤去までのPCライフサイクル全体を通したトータルアウトソーシングサービス「Wave PC Mate」を提供しています。これまでに培った構築・運用に至る経験とノウハウをベースに、デスクトップ領域におけるプロフェッショナル集団が情報システム部門を強力にサポートいたします。

株式会社NTTデータウェーブのサイトを見る Wave PC Mateのサイトを見る

オリックス・レンテック株式会社

オリックス・レンテックは国内最大規模のハイテク機器を保有するレンタル会社です。インテル® Coreプロセッサー・ファミリーをはじめ、インテル® vPro® プラットフォームを搭載したさまざまなメーカーのPCを豊富に取り揃え、最短1日からご利用形態に合わせた柔軟な期間設定で、レンタルサービスをご提供しています。

オリックス・レンテック株式会社のサイトを見る

パナソニック株式会社

働き方改革、業務効率性Upに欠かせないモバイル PC。「モバイルワーク」「在宅ワーク」「オフィスワーク」など、さまざまな環境で、快適に業務が行えるよう、レッツノートがトータルサポートします。安心安全の純日本製のレッツノートだからこそできるソリューションを皆様にご提供いたします。

パナソニック株式会社のサイトを見る

Sky株式会社

SKYSEA Client Viewは使いやすさにこだわったクライアント運用管理ソフトウェアです。PC情報を収集し、Windows 10 PCの管理やサイバー攻撃対策を支援。インテル® vPro® プラットフォームにも対応し、詳細なPC情報管理やメンテナンスが可能です。

Sky株式会社のサイトを見る

バリオセキュア株式会社

バリオセキュアはファイル共有をクラウドレスで行う、次世代ファイル共有サービス「FileFlex」を提供をしています。

バリオセキュア株式会社のサイトを見る

Coming soon...