「何も信頼しないゼロトラスト」 その“仕組み自体”はどこまで信頼できる？――防げる脅威、防げない脅威：導入後に残る7つの脅威（2/2 ページ）

[石塚 健太郎（A10ネットワークス）, 編集：遠藤文康，＠IT]

セキュリティ対策の優先順位

　理想的には上記のように全ての対応ができることが望ましいですが、現実の組織においてこれら全てに同時に投資することは困難です。従って、脅威を単純に並べてその対策を検討するのではなく、「発生可能性」「事業への影響」「現在の対策状況」「対策コスト」などの観点から優先順位を付けることが重要です。

　まずは、「何を守るのか」の明確化が起点となります。顧客データベース、基幹システム、認証基盤、PE／PA、DNS（ドメインネームシステム）など、停止したり侵害があったりした場合に事業継続への影響が大きいリソースを最初に特定します。次に、ユーザー／端末がアプリケーションやデータにアクセスする経路の中で、どこが侵害されると重要リソースへ到達できるのか、どこが単一障害点となっているのかを確認します。その上で、既存のMFA、ファイアウォール、EDR（エンドポイント脅威検知・対応）、WAF、SIEM（セキュリティ情報イベント管理）、ロードバランサー、バックアップ、DDoS対策などを棚卸しし、現在の対策で十分にリスクを低減できていない部分を明確化します。

　例えば、「認証基盤の管理者に対する認証がパスワード認証だけになっている」という問題があった場合、侵害時の影響が大きい一方で比較的低いコストで改善できることから、優先度を高めて対応する必要があります。一方で、例えばAIエージェントをまだ利用していない企業がAIによるポリシー変更への対策に大きく投資する必要性は高くありません。また、インターネットサービスそのものが事業の中心である企業であれば、DDoS対策の優先順位は大きく上がることもあります。

ゼロトラストの限界を補うセキュリティ対策

　これらのセキュリティ対策を考える際には、まず想定される脅威に対するセキュリティ対策を考慮し、現在の対策との差分を確認した上で、必要なソリューション（製品・サービス）を検討することが重要です。

　例えば、認証情報の窃取が想定される脅威であれば、セキュリティ対策としてはフィッシング耐性の高いMFAや端末認証、PE／PAの侵害であれば特権アクセス管理（PAM）や管理系ネットワークの分離、設定変更の監視などが考えられます。アプリケーションへの攻撃が想定される脅威であれば、対策としてはセキュアコーディングやWAF／WAAPなどとの組み合わせが考えられます。DDoS攻撃が想定される脅威であれば、通信事業者やクラウド事業者によるDDoS防御、DDoS緩和装置によるDDoS緩和や大量通信の制限、システムの冗長化などを検討します。

　その後、安易に新しいソリューションの導入を行うのではなく、既存製品の設定改善や機能追加、運用の改善などの可能性を考慮した上で、差分となる部分に新しいソリューションを導入します。こうして不足部分を埋めることによって、不必要な投資を抑えながらセキュリティレベルを向上できます。

　セキュリティ対策は攻撃を防ぐだけで終わらせてはいけません。いかなるセキュリティフレームワークも侵害を完全に防止することは困難であるため、予防／検知／対応／復旧までを一連の対策として考える必要があります。

　例えば認証情報が窃取された場合には、異常なアクセスを検知し、セッションを失効させ、影響範囲を調査する必要があります。PE／PAが侵害された場合には、ポリシーの改ざんを検知し、正常であることが確認できる時点の設定に復旧できる仕組みも必要です。

　このように、攻撃を防ぐだけではなく、侵害や障害が発生しても事業を継続し、速やかに復旧できるサイバーレジリエンスの視点までを含めて設計することが重要になります。

ゼロトラストの仕組みも信頼しない包括的なセキュリティ対策

　ゼロトラストの「暗黙的に信頼しない」という原則を徹底するのであれば、ユーザーだけでなく、認証情報、セッション、ポリシー、PE／PA／PEP、アプリケーション、監視情報、AIエージェント、そしてゼロトラストを実現している仕組みそのものも暗黙には信用しないという視点も必要になります。

　目指すべきはゼロトラストで全ての攻撃を防ぐことではありません。ゼロトラストによって不正なアクセスや侵入後の横展開を抑え、それだけでは防げない脅威については他のセキュリティ対策で補完します。そして、万が一侵害が発生した場合も被害を局所化し、早期に検知・対応・復旧することで事業を継続できる、現実的で多層的なセキュリティアーキテクチャを構築することが重要です。

---

　本稿ではここまでゼロトラストアーキテクチャの導入後に考慮すべき脅威とゼロトラストだけでは防げない脅威、およびその対策について述べてきました。次回はなぜゼロトラストが定着しないのか、ゼロトラストを導入し運用を成功させるための実践的視点について述べます。

著者紹介

石塚 健太郎（いしづか・けんたろう）

A10ネットワークス株式会社　ソリューション開発・推進部 部長／情報安全確保支援士／博士（情報学）

自社製品を用いた各種ソリューションを他社ソリューションとの連携も含め検討・開発・提案している。デジタル庁においてもネットワークエンジニアリング業務に従事。