中小企業のゼロトラストの考え方

自社の「基盤とセキュリティ」の準備度は？10問・約3分で確かめる（無料・登録不要）

クラウドのサービスや在宅勤務が広がり、社員が社外から会社のシステムを使う場面は珍しくなくなりました。こうした中で、守りの考え方として紹介されることが増えたのが「ゼロトラスト」です。大企業向けの大がかりな仕組みと思われがちですが、考え方そのものは中小企業でも取り入れられます。この記事では、ゼロトラストの考え方と、中小企業での進め方を整理します。

ゼロトラストとは何ですか？

デジタル庁の「ゼロトラストアーキテクチャ適用方針」（2022年6月30日策定。デジタル社会推進標準ガイドラインの DS-210）では、ゼロトラストを、境界の内部が侵害されることも想定し、情報システムやサービスへの要求ごとに、適切で必要最小限の権限でアクセスを制御する考え方として説明しています。あわせて、特定の製品や実装を指すものではないとしています。

これまでの守りとはどう違いますか？

これまでの守りは、社内と社外の境目にファイアウォールなどを置き、社外からの通信を止めて、社内は信頼できるとみなす考え方でした。これを「境界型」と呼びます。

境界型には、いったん社内に入られると、内側では自由に動かれてしまうという弱点があります。また、クラウドのサービスを使うと、守るべきデータが社内の境界の外にも置かれます。デジタル庁の適用方針も、クラウドの利用が広がると、ネットワークの境界だけでは不十分になるという考え方を示しています。

一方で、適用方針は、ゼロトラストは境界型の守りやネットワークにもとづく対策を否定するものではなく、それらを追加のアクセスの制御として扱えるとしています。境界型の守りとゼロトラストは、置き換えではなく組み合わせて使えるということです。

公的な資料は、どのような方針を示していますか？

デジタル庁の適用方針は、基本的な方針として次の6つを挙げています。

1. アカウント、端末、サービス、データといった対象を把握し、特定できる状態にする
2. 使う人の身元の確認と、本人であることの確認を行う
3. 安全とみなさず、通信の経路を暗号化するなどしてネットワークを守る
4. 対象の状態や設定が安全かを、常に確かめる
5. アクセスのルールで判断し、その結果のとおりに制御する
6. 対象とアクセスを観測する

また、ゼロトラストは一度で終わるものではなく、目標を決めて繰り返し、成熟度を高めていくものとされています。その流れは、対象と業務の流れの把握、脅威とリスクにもとづく範囲の決定、導入、観測、評価と改善の5つで示されています。

中小企業は、何から始めればよいですか？

適用方針は政府の情報システムに向けた資料ですが、考え方は中小企業にも参考になります。限られた人数で進める場合は、次の3つから始めると取り組みやすくなります。

① IDを確かめる

業務で使うクラウドのサービスとアカウントを一覧にし、社外からのログインには多要素認証を求めます。パスワードに代わるパスキーに対応しているサービスでは、その利用も検討します。退職した人や使っていないアカウントを止めることも、この段階で行います。

② 端末の状態を確かめる

会社の情報を扱うパソコンやスマートフォンの一覧をつくり、OSやソフトウェアが更新されているかを確かめます。紛失したときに遠隔で使えなくする設定も、この段階で検討します。

③ アクセスを記録して見る

誰が、いつ、どのサービスにログインしたかの記録を残し、ふだんと違うログインに気づけるようにします。クラウドのサービスによっては、ログインの記録を見る機能があります。まずは、どこで記録が見られるかを確かめるところから始められます。

この3つを進めたうえで、扱う情報の重要さに応じて、アクセスのルールを細かくしていきます。アカウントの管理の具体的な手順はアカウントと権限の管理の基本、クラウドの設定はクラウドを安全に使うための基本で説明しています。