米軍がゼロトラストを再定義する方法

4分で読む

出典: ArtemisDiana via Alamy Stock Photo

解説

最近、米軍はゼロトラストへのアプローチを更新しました。特に競争の激しい環境や接続が困難な環境で、データ、ネットワーク、運用を保護する努力を倍増させています。しかし、これらの組織はどこに向かっているのでしょうか？また、彼らのアプローチが他の場所でのゼロトラストの実装にどのように影響を与えるのでしょうか？

海軍省にとって、改訂されたDONゼロトラスト戦略とロードマップは、ステルス、欺瞞、ルールの無視を利用する敵に対するサイバーセキュリティを位置付けています。2030年までにゼロトラストを完全に採用するという更新された目標の下で、敵が優れた可視性を持ち、欺瞞を用い、従来のルールを無視する可能性があるという前提で運用しています。これは、SolarWindsや偽造ハードウェアなどの実際の事件を引用し、防衛および技術エコシステム全体で持続的な内部脅威ベクトルを示しています。

これに対抗するために、海軍は敵の横方向の動きを制限するためにマイクロセグメンテーションを実施し、AIと機械学習を活用してリアルタイムの脅威検出を行い、各ポリシー決定ポイント（PDP）およびポリシー施行ポイント（PEP）で徹底的なアクセス制御を強化しています。ユーザーおよびエンティティ行動分析（UEBA）を「ゼロトラストの要」として特定し、ネットワーク内での不正な動きを防ぐ役割を強調しています。

データセキュリティはそのアプローチのもう一つの基盤であり、エンドツーエンドの暗号化、データタグ付け、完全な可視性の達成に強く焦点を当て、脅威が見逃されないようにしています。海軍はまた、接続が不安定な環境、いわゆる拒否、劣化、断続的、制限された（DDIL）シナリオでの運用に備えています。例えば、信号アクセスがない潜水艦でも安全に運用しなければならないという課題に、海軍は直接取り組んでいます。

海軍は、ゼロトラストアーキテクチャのためのNIST 800-207やセキュリティコントロールのためのNIST 800-53などの厳格な基準を遵守し、企業ICAMサービスやサイバーセキュリティサービスプロバイダー（CSSP）と協力して最高のソリューションを統合しています。さらに、海軍は防衛調達大学（DAU）でのゼロトラスト実践者ワークショップを通じて人材育成に投資し、チームがこの戦略を実行するための十分な準備を整えています。これらの努力は、7つの柱と2027年までに高度なゼロトラスト姿勢を達成することを目標とした国防総省のゼロトラスト戦略と一致しています。

陸軍の統合ネットワーク計画2.0

同時に、陸軍の統合ネットワーク計画（AUNP）2.0は、同様に高リスクで低接続の環境で安全でデータ中心の運用を可能にすることに焦点を当てています。インフラを統合し、8つの基本的なゼロトラスト原則を組み込み、安全なOffice 365の使用、ハイブリッドクラウドの統合、ミッションパートナーデータ共有などの能力を優先しています。

陸軍は、競争の激しい環境でのマルチドメイン作戦（MDO）を可能にし、兵士がDDILシナリオ、例えば接続がない前方作戦基地や信号が不安定な環境でもデータに安全にアクセスし共有できるようにすることを目指しています。これを達成するために、陸軍はネットワークをARCYBERの下で統合し、中央サービス提供を行い、共通の運用環境（COE）、共通サービスインフラストラクチャ（CSI）、共通輸送層（CTL）を開発して、企業から戦術的エッジまでの安全なデータフローを促進しています。

ゼロトラストは陸軍の戦略の基盤を形成しており、「決して信頼せず、常に検証する」、「侵害を前提とする」、「最小特権」などの8つの原則に導かれています。重要な優先事項は、あらゆる階層でデータを保護し、不正アクセスを防ぎ、データの整合性を守るために暗号化を近代化することです。これには、ゼロトラストを達成するための91の異なる活動に対処し、特にMicrosoft Office 365アプリケーションのセキュリティを強化することが含まれます。

陸軍はまた、データオーケストレーションに取り組んでおり、データフローを同期させて、最も必要な場所にタイムリーで正確な情報を提供しています。この取り組みは、ハイブリッドクラウド戦略と一致しており、統合データ参照アーキテクチャの広範な目標をサポートしています。これは、Joint All-Domain Command and Control（JADC2）を支援するために、ドメイン間でデータの相互運用性とガバナンスを標準化するために設計された新しいフレームワークです。

相互運用性はもう一つの重要な焦点であり、陸軍は同盟国との安全なデータ共有を促進するために、持続的なミッションパートナー環境（MPE）を確立し、セキュリティを強化するためにインパクトレベル2（IL2）からIL5/IL6にスケールアップしています。また、AIと機械学習を活用して予測的な準備とネットワークマッピングを行い、脆弱性を特定しています。現在、フェーズII（2024-2026）では、ゼロトラストの原則を用いてネットワークを運用化しており、フェーズIII（2027年以降）では、量子耐性暗号化やミッションに焦点を当てたAI/ML機能などの新技術の統合を探求する予定です。

軍から民間へ

より一般的に言えば、AUNP 2.0は、公共および民間の両方のセクターにわたる包括的なゼロトラストアーキテクチャへの広範なシフトを反映しています。特に、軍以外の組織は、これらの計画を、レガシーシステムを近代化してレジリエンスを高め、積極的な脅威の軽減を図る必要性が高まっていることの明確な指標として見るべきです。

例えば、医療業界では、病院や医療提供者がゼロトラスト戦略を利用して患者記録を保護し、分散された場所での機密患者データへのアイデンティティベースのアクセスを管理することができます。同様の原則は、重要インフラ、ユーティリティ、金融サービスなど、多くの重要な例を含むさまざまなセクターに適用されます。特に、AUNP 2.0で設定された運用技術（OT）ネットワークを保護するためのアプローチは、混乱を防ぐために使用できます。

最終的に、陸軍の更新された戦略は、普遍的なサイバーセキュリティの真実を強調しています。信頼はもはやネットワーク境界からだけでなく、業界やドメインに関係なく、あらゆるインタラクションでデータとアイデンティティを継続的に検証し保護することから生まれます。