テレワークが普及した現在、社外で行う作業でのセキュリティ対策は大きな課題となっています。そこで注目されているのが「何も信頼しない」というゼロトラストの概念に基づいた、より強固なセキュリティモデルです。本記事ではGoogleのゼロトラスト「BeyondProd」について、特徴やメリットなどをくわしくご紹介します。
そもそもゼロトラストとは？概要を解説
ゼロトラストとは、「何も信頼しない」という概念のもと、内部・外部の区別なくすべてのアクセスに対し、その都度信用評価を行うセキュリティ対策のことを言います。
ゼロトラストの概念ができるまでは、社内と社外のアクセスにファイアーウォールなどを挟む「境界型セキュリティモデル」が主流でした。境界型では社内のネットワークは安全と見なし、外部からのアクセスに対してのみ認証などで信用評価を行います。しかしそれでは社内の端末がマルウェアやウィルスに侵されてしまった場合、不正アクセスやサイバー攻撃に対する対抗手段がなく、充分な対策ができないことが問題となっていました。
一方、ゼロトラストセキュリティモデルでは、どのアクセスも脅威と見なし信用評価を行うため、仮に社内の端末がマルウェアやウィルスに侵されていたとしても、被害を最小限に留められます。サイバー攻撃がより複雑で巧妙化した現代には、より適したセキュリティモデルと言えるでしょう。
Googleのゼロトラスト「BeyondProd」の概要
IT業界のセキュリティ対策が境界型からゼロトラストに舵を切る中、IT大手のGoogleも2019年に「BeyondProd」という、新しいセキュリティに対する指針を発表しました。
これはGoogleがすでに導入しているゼロトラストシステム、「BeyondCorp」をさらに拡張したものです。BeyondCorpとは、これまでネットワーク境界に置かれていたアクセス制御地点を、個々のユーザーやデバイスに転嫁することにより、ユーザーがどこからでもVPNを介さず、安全に作業ができるシステムです。
BeyondProdではゼロトラストの概念を、企業のネットワークだけでなく、マシンやワークロード、サービスの保護にも適用しました。このシステムではサービス間の相互信頼をなくしたり、オペレーティングシステムを共有するワークロードを分離したりすることにより、たとえ１つのサービスやワークロードがサイバー攻撃で侵害されても、他への影響を最小限に抑えられます。
多くの企業がシステムやサービスをオンプレミスからクラウドネイティブへ移行する現在、BeyondProdは時代に即したセキュリティモデルとして注目を浴びています。
Googleがゼロトラストを導入した理由
では、Googleがゼロトラストを導入したのは、どのような理由からでしょうか。以下でくわしく解説します。
テレワークへの移行
昨今、企業のデジタル化推進に加え、新型コロナウイルスの感染対策もあり、各社でテレワークへの移行が進んでいます。テレワークは場所を問わず仕事ができて便利な反面、企業が社員の行動を把握しづらくなるため、情報漏洩やフィッシング詐欺被害に遭うリスクも増加します。
また、テレワークでは社員が自宅など会社以外の場所から、重要なシステムやデータにアクセスする機会が増えますが、従来テレワークに利用されてきたVPN（Virtual Private Network）では、セキュリティ面に不安もあります。そのためVPNではなく、よりセキュリティ面で強固なアクセスプロキシーを用いるゼロトラストを導入することになったのです。
VPNに関する課題点
先述したように、従来、社外から社内のシステムやデータにアクセスするには、VPNを経由するのが一般的でした。VPNとは日本語で訳すと「仮想専用線」で、インターネット上に仮想のプライベートネットワークを設け、データなどをやり取りする方法です。
VPNはフリーWi-Fiなどに比べると、盗み見などのリスクは少ないのですが、セキュリティ面では課題も抱えていました。例えば社内ネットワークにアクセスする際、ユーザーは必ずVPNゲートウェイを経由しなければなりませんが、ゲートウェイは1ヶ所しかないうえ、社外に公開されているため、不正アクセスのリスクが高いと言われてきました。
また、通信が不安定でネットワークが切断されやすく、回線の混雑やセキュリティ対策でサーバーに大きな負荷がかかると通信速度も遅くなるなど、柔軟性の低さも難点でした。
そのため、VPNに代わりゼロトラストでGoogleが採用しているのがアクセスプロキシーです。外部からの不正アクセスやマルウェアを検知し、ブロックできるアクセスプロキシーを経由することで、従来のVPNよりセキュリティ機能は大幅に改善されます。
さらに、アクセスコントロールエンジンによってユーザーのアクセス権を細かく制限したり、デバイスやユーザーの状況を管理・把握できるデバイスインベントリーを活用したりすることで、情報漏洩などのリスクを最小限に留めます。
おすすめのゼロトラストツールとは
ゼロトラストは、テレワーク時代のネットワークセキュリティにおいて主流の概念になってゆくと考えられます。Microsoft Office製品ラインのサブスクリプションサービス「Microsoft 365」でも、ゼロトラストの概念に基づくソリューションを提供しています。ここからは、Microsoft 365を活用したゼロトラストセキュリティについて説明します。
Microsoft 365
ゼロトラストについて解説する前に、まずはMicrosoft 365について簡単にご紹介しましょう。
Microsoft 365とは、Microsoft社が提供する、Microsoft Office製品のサブスクリプションサービスです。プランは大きく分けると家庭向け、300名以下の中規模企業向け、300名以上の大企業向けの3種類に分かれており、Outlook、Word、Excel、PowerPoint、OneNoteといったオフィスアプリや、クラウド型のグループウェアを定額でまとめて利用できます。
クラウドベースなのでサポート終了による更新や入れ替えの必要もなく、常に最新のバージョンが使え、セキュリティ対策にかける費用も抑えられます。さらにサブスクリプション型なのでコストの最適化が図れ、OSやデバイスを選ばないため、スマートフォンなどのモバイル機器でも利用可能です。コストに見合ったパフォーマンスの高さと、機器や場所を選ばない手軽さは、まさにテレワーク時代にフィットしたサービスと言えるでしょう。
Microsoft 365の特徴やメリット
Microsoft 365でも、テレワーク時代のセキュリティ対策に対応するため、ゼロトラストの仕組みを提供しています。その柱となるのがIDを保護するIDaaS（IDentity as a Service）の「Azure Active Directory」です。
Azure Active Directoryには「条件付きアクセス」という機能があり、外部からのさまざまなアクセスに対して、ユーザー、デバイス、場所、およびセッションのリスクに基づき動的にアクセス制御を実施します。
安全性が確信できないアクセスに対しては、IDとパスワードのほか多要素認証の要求などを絡めることにより、悪質なサイバー攻撃や情報漏洩を高い確率で防げます。多要素認証はスマートフォンやタブレットのアプリを活用して行うほか、電話の音声やSMSも選択可能です。
Microsoft 365では、こうしたゼロトラストの概念に基づく何重もの認証により、テレワークによる場所を選ばないアクセスに対しても、充分なセキュリティ対策を実現しています。
まとめ
ゼロトラストは場所を選ばないこれからの働き方に即した、強固なセキュリティシステムです。GoogleやMicrosoftなど、IT大手はいち早くこの概念を取り入れ、Microsoft 365やその中核を担うAzure Active Directoryなど、それに対応した仕組みを提供しています。今後テレワークやクラウド化を進めたい企業は、ぜひ導入を検討してみてはいかがでしょうか。
