出典：Olivier Le Moal（Alamy経由）
論説
15年前、私はフォレスター・リサーチのアナリストとしてゼロトラスト・セキュリティモデルを提唱しました。当時、サイバーセキュリティは依然として境界防御型の考え方に根ざしており、ネットワーク内部はすべて信頼できるという前提に基づいていました。しかし、現実の侵害事例は異なる現実を示していました。攻撃者は横移動し、暗黙の信頼を悪用し、従来の防御を容易に回避していたのです。
最初のレポートを発表した直後、Dark Readingが私にインタビューし、ゼロトラストに関する最初の記事の一つを書きました。その対話が、アナリストコミュニティを超えて、より広いセキュリティの議論へとモデルを広げるきっかけとなりました。
壊れたセキュリティモデルへの挑戦として始まったゼロトラストは、今や世界で最も広く採用されているサイバーセキュリティ戦略となりました。アナリストレポートから取締役会での議論、政府の指令に至るまで、ゼロトラストは組織のリスク、レジリエンス、コントロールに対する考え方を一変させました。
シンプルでありながら革新的なアイデア
私がゼロトラストを最初に提唱したとき、多くの人は依然として強固な境界線に頼ればセキュリティは守れると信じていました。ネットワーク内部は安全だという前提が、「壊れた信頼モデル」を生み出していたのです。内部ネットワークは「高信頼」、インターネットは「低信頼」とされ、パケットは内部から外部へ検査なしに移動していました。しかし、このアプローチは攻撃者の実際の手口を無視していました。
この欠陥モデルに対処するため、私は「決して信頼せず、常に検証する」という、シンプルでありながら革命的な戦略を提案しました。すべてのパケット、接続、システムをゼロトラストで扱うのです。セグメンテーション、アクセス制御、可視化が初期の実現手段でした。これら自体は新しいアイデアではありませんが、組み合わせることで、攻撃者がネットワークに侵入した後でも、機密システムやデータへのアクセスを防ぐ基盤を築きました。
OPM侵害事件が転機に
2015年の米国人事管理局（OPM）への侵害事件は、この壊れた信頼モデルの危険性を浮き彫りにしました。攻撃者は数か月間発見されることなく、盗まれた認証情報を使ってOPMのシステム内を横移動し、連邦政府のクリアランスを持つ2,100万人以上の機密情報や指紋のデジタルデータを盗み出しました。この事件は、境界防御だけでは執拗な敵を止められないことを世界に示しました。
議会は2016年に連邦機関にゼロトラスト・セキュリティモデルの採用を勧告する報告書を出しました。その後まもなく、ゼロトラストは取締役会や国家政策の議題となりました。2021年には、大統領令によって連邦政府全体での採用が義務付けられました。
技術は進化し、ゼロトラスト環境の構築能力も向上しましたが、その根本原則は変わっていません。すなわち、保護対象面を定義し、トランザクションフローを把握し、内側から外側へ設計し、ポリシーを策定し、システムを監視・維持するという5つのステップです。これらは、最も重要なもの、すなわち機密データ、アプリケーション、資産、サービス（総称してDAAS要素）を守ることに集中するからこそ機能します。ゼロトラスト導入成功の秘訣は、単一のDAAS要素を単一の保護対象面に閉じ込め、1つずつ環境を構築していくことにあります。
これまでに、多くのベンダーがゼロトラストを製品や機能として売り込もうとするのを見てきました。しかし、それは本質を見誤っています。技術は常に変化しますが、戦略は不変です。組織がこれを忘れて近道を追い求めると失敗します。戦略に忠実であれば、新技術が登場しても、システムは進化し続けます。
自動化とAI
私がゼロトラストについて語り始めた当初、サイバー攻撃はまだ人間の速度で展開されていました。今や脅威は機械の速度で動くため、防御側にも自動化が不可欠です。
可視化は常に課題でしたが、今ではより優れたツールがあります。セキュリティグラフ、可視化、学習モードにより、ネットワーク内部で何が起きているかを明確に把握できます。自動化は、ためらいや遅延なくポリシーを強制します。
封じ込めが重要になります。すなわち、被害が始まった瞬間にそれを制限する能力です。「爆発半径」をコントロールすることは、重大な状況で重要です。コントロールは自動で動作し、単に警告するだけでなく、機械の速度で強制されなければなりません。人間が追いつくのを待っていてはいけません。
機械を倒せるのは機械だけです。AIは攻撃者に新たな能力を与えますが、防御側にもゼロトラストを大規模に実現する力を与えます。可視化は戦場を理解する助けとなり、強制力はその上で勝利をもたらします。
ゼロトラストに関する誤解
ゼロトラストについて最も一般的な誤解の一つは、「購入できるもの」だと考えられていることです。ベンダーは「ゼロトラストソリューション」として製品をパッケージ化し続け、市場を混乱させ、リーダーたちの本質的な関心をそらしています。ゼロトラストは、インストールする箱や更新するライセンスではなく、考え方であり、運用方法なのです。
もう一つの誤解は、ゼロトラストにはゴールがあるというものです。ゼロトラストを「完了」することはできません。これは、適応・洗練・強化を続ける、終わりのない旅です。一度きりのプロジェクトと捉える組織は、しばしば停滞したり、その真価を発揮できなかったりします。
より大きな障害は文化的なものです。多くのチームは、境界防御や啓発活動といった古い習慣に固執し、ゼロトラストが求めるより深い変化に抵抗します。また、チェックリスト項目として取り組むことで、戦略的変革として捉えられずに失敗することもあります。
リーダーシップの支援も極めて重要です。経営層が明確なインセンティブや優先順位を示さない場合、プログラムが停滞するのを何度も見てきました。トップのコミットメントがなければ、ゼロトラストの取り組みは話し合いの段階を超えることはほとんどありません。
境界なき・人間を超えた世界で次に来るもの
未来には、AIによる攻撃、量子コンピューティング、数十億の超接続デバイスなど、手強い課題が待ち受けています。それぞれが新たな形で防御を試すことになるでしょう。しかし、ゼロトラストの原則はすべてに適用できます。
サイバー攻撃は常に差し迫っていることを認識し、即座に対応するシステムを設計しなければなりません。つまり、単に警告するだけでなく、実際に行動するコントロールを構築することです。封じ込めが重要になります。被害が始まった瞬間にそれを制限する能力です。今日の環境では、ポリシーの強制は人間の速度ではなく、機械の速度で行われなければなりません。境界は消え、ゼロトラストはレジリエンス、可視性、コントロールを優先する新たな現実に適応するための枠組みを提供します。
私はよくゼロトラストを軍事戦略に例えます。孫子、クラウゼヴィッツ、フリードリヒ大王は皆、戦術は変わってもアイデアは不変だと教えています。ある軍事戦略家が私にこう言いました。「多くの人は戦略的だと思っているが、実際は戦術的なことをしている。戦略と戦術を混同している。」サイバーセキュリティでも同じです。ファイアウォール、クラウドプラットフォーム、AIなどの技術は進化し続けますが、原則は変わりません。「信頼」は脆弱性なのです。
だからこそ、ゼロトラストは民間・公共部門の両方で広がり続けています。リーダーにとって、セキュリティを考え、実行可能なポリシーを定義し、すべてのシステムや接続を同じレベルで精査する明確な方法を提供します。
すでにこの道を歩み始めているなら、そのまま進み続けてください。まだなら、今こそ始める時です。なぜなら、「信頼」が脆弱性となる世界では、戦略こそが最強の防御だからです。