ゼロトラスト セキュリティは、あらゆるサイバー セキュリティのニーズに対応するすぐに使えるソリューションではなく、セキュリティ プロセスとワークフローの基盤となる哲学または考え方として理解する方が適切です。
従来、セキュリティへのアプローチは境界に重点を置いていました。サイバー犯罪者は、一度壁の中に入り込むと、通常、脆弱な中心を見つけ、それを悪用して企業内を移動し、次々とシステムを感染させます。ゼロトラスト・フレームワークでは、セキュリティシステムは、デバイスやユーザーが信頼できると証明されるまでは、信頼できないと想定します。そのため、ハッカーがセキュリティ障壁を一つ突破したとしても、それ以上の被害を引き起こすことはできません。
「ゼロトラストとは、ネットワーク境界の内外から暗黙の信頼の原則を排除する、包括的かつ柔軟な信頼モデルです」と、SyxsenseのCEO、アシュリー・レナード氏は述べています。「これには、侵害が発生したと想定し、デバイスやユーザーを決して信頼しないといった原則が含まれます。」
組織がゼロトラスト セキュリティを実装するための 5 つのヒントを紹介します。
ジャンプ先:
- エンドポイントと権限を把握する
- ポリシーベースの制御を採用する
- 多要素認証を採用する
- ベンダーの選択には時間をかける
- 長期戦を戦う
エンドポイントと権限を把握する
ゼロトラストの重要なポイントは、デバイスやユーザーがパスワードを入力しただけで、ネットワークやすべてのアプリケーションへのアクセスを自動的に許可されないようにすることです。パスワードや認証情報の盗難は蔓延しています。そのため、ネットワーク上のあらゆる場所で動作するすべてのエンドポイントをしっかりと管理することが理にかなっています。
すべての資産とワークフローの可視性が欠如していると、攻撃対象領域に弱点が残ります。これにより、攻撃者はネットワークを横方向に移動して貴重なリソースにアクセスする機会を得ます。すべてのデバイスとユーザーを正確に把握し、把握し、検証して初めて、包括的な権限リストを作成し、承認することができます。
セキュリティチームは、環境内で何が動作しているかを把握し、資産ごとに継続的に監視・検証できます。コンプライアンス違反を迅速に検知することで、迅速な隔離と修復が可能になり、侵害の機会を最小限に抑えることができます。
「ゼロトラストは侵入の爆発半径を縮小し、ハッカーの侵入能力を制限する」とギガOMの最高技術責任者ハワード・ホルトン氏は述べた。
参照:エンドポイント セキュリティの新たな課題。
ポリシーベースの制御を採用する
ゼロトラスト実装の成功は、検出、修復、そして信頼承認を担う、自動化されたポリシーベースの制御の存在にかかっています。自動化により、組織リソースへの最低限のアクセス権限を一括で割り当てることができます。例えば、全従業員に社内イントラネットへのアクセスを許可し、全営業担当者にCRMおよび営業システムへのアクセスを許可するといったことが可能です。ポリシー制御により、非準拠デバイスをネットワークアクセスから容易に削除することも可能です。
多要素認証を採用する
ゼロトラストは、進行中のMFAイニシアチブと非常に相性が良いです。MFAは、資格情報が継続的に検証され、アクセスがユーザーに必要なシステムのみに制限されていることを保証する方法の一つです。
「ゼロトラストは、アイデンティティとアクセス管理を強化することで、すべてのシステムのセキュリティを確保するのに役立ちます」と、ジョージア州財務長官事務所のIT運用マネージャー、エンジェル・テイラー氏は述べています。「しかし、MFAを導入する際には抵抗に遭うことを覚悟しておく必要があります」と彼女は付け加えました。
彼女のアドバイスは、ゼロトラストとMFAの導入と並行してセキュリティ意識向上トレーニングを実施し、ユーザーにセキュリティ強化の必要性を理解させることです。また、テイラー氏はITマネージャーがユーザーと時間をかけて話し合い、アクセス権限の変更が行われる理由を説明することを推奨しています。
ベンダーの選択には時間をかける
B2Bウェルスマネジメント会社MyVestの最高情報セキュリティ責任者（CISO）であるマフムード・ウルハク氏は、ゼロトラストを現在進行中の最大の戦略的取り組みと位置付けています。彼は、エンドツーエンドのゼロトラストソリューションを提供すると主張するベンダーを避けるよう組織に警告しています。ゼロトラストのビジョンを実現するには、自社の環境を真に理解し、協力する意思のある複数のベンダーが必要だと彼は考えています。
「ゼロトラストの実現を支援できる適切なサプライヤーを見つけるには時間をかけてください」とウルハク氏は述べた。
長期戦を戦う
ゼロトラスト・セキュリティの導入を決意した方は、上記の5つのヒントに留意し、長期的な取り組みに備える必要があります。ゼロトラストはすぐに実現するものではありません。企業内の一部の部門は、他の部門よりもはるかに早くゼロトラストを導入する可能性があります。また、ITが進化するにつれて、どのような新しいテクノロジーやシステムが導入されても、ゼロトラストを組み込む必要が出てくるでしょう。
次に読む:ゼロトラストセキュリティについて知っておくべき5つのこと
