多くの企業が「DX（デジタルトランスフォーメーション）」への対応を求められる中、セキュリティとDXの両立に悩む企業が増えているようです。その背景には、セキュリティモデルの変化があります。今後は、セキュリティに対する考え方を改める必要があるかもしれません。ここでは、DX時代に求められるセキュリティモデルや課題、解決方法などを紹介します。
DX時代に求められるセキュリティとは
まず、DX時代に求められるセキュリティの概要について理解しておきましょう。DXを目指すにあたっては、従来のペリメタモデルからゼロトラストモデルへの転換が必要になりそうです。
ペリメタモデルからゼロトラストへ
DXの概念が普及するにつれて、企業の中にはさまざまなデジタル技術が混在するようになりました。また、さまざまなデータが組織の枠を飛び越えてやり取りされるようになれば、常にデータ保護や不正アクセスに対する配慮が必要になります。こうした背景から、DX時代においては、セキュティに対する考え方を根本から改める必要があるでしょう。
具体的には、従来型のセキュリティモデルである「ペリメタモデル」から、新しいセキュリティモデル「ゼロトラストモデル」への転換です。
ペリメタモデル
「保護対象とされる情報資産は組織の中にあり、脅威は外部からやってくる」という認識のもとに、ネットワークの境界点にセキュリティ対策を集約するモデルです。ファイヤウォールやIPS/IDSなどはペリメタモデルの典型例と言えるでしょう。境界型防御の内側（社内ネットワークなど）は暗黙のうちに安全とされる傾向があります。
ゼロトラストモデル
ゼロトラストモデルとは、「信頼できる場所は無い」という考え方のもとに、組織の枠を超えてセキュリティ対策を施すモデルです。従来の境界型防御とは異なり、組織の外と内で常にセキュリティツールを稼働させる方法が採られます。例えば、社外ネットワークに対してはアクセスを監視し、社内ネットワークではトラフィックを監視するといった対策が典型例です。
クラウド利用を前提としたセキュリティモデルへ
また、クラウド利用を前提としたセキュリティモデルの構築も急務です。クラウドファーストが進む今、新しいシステムの多くはクラウドで構築されています。一方、旧来のシステムはオンプレミスで稼働することから、両者のセキュリティレベルを一致させる必要が出てきました。
DXにおけるセキュリティ対策のトレンド
では、実際にDXに取り組む企業がどういったセキュリティ対策を進めているのかを俯瞰してみましょう。今回は、トレンドマイクロ社のサーベイをもとに、DX時代のセキュリティ対策を紹介します。
DXのためのシステムでは「情報漏洩」「データ破損」が多い
トレンドマイクロ社が2021年11月に発表したサーベイでは、DX推進担当者が経験したセキュリティインシデントを公開しています。セキュリティインシデントの上位には情報漏洩が並び、次いでデータ破損が挙げられているようです。
セキュリティインシデントによってもたらされた被害 上位5つ
業務提携先に関する情報の漏洩…36%
技術情報に関する漏洩…29.7%
データ破壊・損失（ランサムウェア以外）…28.8%
従業員に関する個人情報の漏洩…26.1%
顧客に関する個人情報の漏洩…22.5%
DXでは情報が出入りするポイントが多くなり、範囲も拡大します。また、使用するデバイスの種類やアクセス元の多様化も進むため、情報漏洩に関するリスクには特に警戒を強める必要があるでしょう。
DX時代のセキュリティは「複数ポイント」「多層構造」が基本
DX時代のセキュリティ対策では、社内のみならず、サテライトオフィスやリモートワーク環境も考慮した漏洩対策が必須になります。また、従来の境界型防御に加えてエンドポイント、アプリケーション、ネットワーク、ID管理、サイバー攻撃への対処を含めた複合的な対策が必要になりそうです。
両立が難しいDXとセキュリティ
一方、DXとセキュリティ対策の間には矛盾する部分があり、どちらも思うように進まないという問題もあるようです。
増えすぎた管理工数でDXが停滞
ゼロトラストモデルをベースにしつつ、セキュリティインシデントの発生源すべてに対策を施すと、これらを管理する手間も増大します。
また、複数システムの連携が前提となるDX時代においては、システム間でやり取りされるデータの整合性をとりながらセキュリティ強度を上げなくてはなりません。
これらキュリティ強度を上げるための工数がDX推進のリソースを奪ってしまうことで、DXが進まない可能性があります。
スピードを優先しすぎるとセキュリティがなおざりに
一般的にセキュリティ強度を上げるための対策（暗号化、認証など）は、通信やデータ処理の負担になりがちです。そのため、スピードや利便性が重視されるIoTネットワーク・モバイルネットワークでは、セキュリティ対策が追い付いていないケースが散見されます。IoTデバイスやモバイルデバイスは数が多いことから標的にされやすく、企業に甚大な被害をもたらすリスクを孕んでいます。
AzureでDXセキュリティを統合
このようにDXとセキュリティは両立しがたい側面があります。この点を解決する方法として、Azureでは、複合化されたセキュリティソリューション群を提供しています。
一元化された複数のセキュリティ対策
Azureが提供するセキュリティは、物理的なITインフラからアプリケーションまで多岐にわたります。
Microsoft Defender for Cloud
Microsoft Defender for Cloud は、マルチクラウドとハイブリッド環境全体を保護するセキュリティソリューションです。Azureをはじめとしたクラウドプラットフォームのセキュリティを継続的に評価し、必要に応じて調整やカスタマイズを行います。また、仮想マシン、コンテナ環境、データベース、ストレージ、アプリケーションを包括的に保護できる点も強みです。
Azure Active Directory
シングルサインオンや多要素認証、条件付きアクセスによってセキュリティを高められるソリューションです。
Azure DDoS Protection
企業に甚大な被害をもたらすDDoS攻撃から自社システムを守るためのソリューションです。事前検知機能やネットワークトラフィック除去機能、DDoS攻撃の可視化機能などが含まれています。
Azure Information Protection
電子メール、ドキュメントなどの社内データを優先度（機密度）に応じて分類し、保護する機能です。優先度の分類方法は、完全自動・ユーザー主導などから選択できます。従業員・顧客の個人情報漏洩対策におすすめです。
Key Vault
暗号化キー作成とインポートを迅速に行うためのツールです。厳格なセキュリティ要件（FIPS 140-2）に準拠したHSM（ハードウェアセキュリティモジュール=暗号化キーを保管するデバイス）を完備しています。また、クラウドに暗号化キーを格納することでアプリケーションのパフォーマンス低下を防ぐことも可能です。
まとめ
ここでは、DX時代のセキュリティ対策について解説してきました。DX時代のセキュリティはゼロトラストを基本概念とするため、データが出入りする全てのポイントに対し、万遍なくかつ複合的に対策する必要があります。また、これらを連携させながらセキュリティ強度を高めなくてはなりません。したがって、Azureが提供するようなセキュリティサービス群の活用がおすすめです。
