2023/08/04の勉強会で発表されたものです。

1. ゼロトラストについて
学んだこと
2023年8月4日 おじさん

2. 目次
• 情報セキュリティとは
• ゼロトラストとは
• これまでとの違い
• ゼロトラストが必要な理由
• ゼロトラストの7原則
• まとめ

3. 情報セキュリティとは
情報セキュリティ：
情報資産を守ること
情報資産：
• 企業や組織が持っている情報全てのこと、リソース
• ソフトウェア、個人情報、電子メール、契約書、個人情報等
• 重要な情報は情報機器に保存
• ネットワークを介してやりとり

4. ゼロトラストとは
• セキュリティの考え方の一つ
• 信頼しないを前提
• 全てのアクセスの安全性を検証する
• 従来の方法では不十分なセキュリティを強化

5. これまでとの違い
• 従来の方法 = 境界型セキュリティ
境界型セキュリティ：
• 社外ネットワークからのアクセスは脅威
• 社内ネットワークからのアクセスは安全
• 境界部分で安全性を検証する

6. 境界型のイメージ
インター
ネット
リソース
社外ネットワーク 社内ネットワーク
セキュリティ
チェック
端末
ユーザ
端末
ユーザ
システム
これまでとの違い

7. インター
ネット
リソース
セキュリティ
チェック
端末
ユーザ
端末
ユーザ
システム
社内ネットワーク
社外ネットワーク
境界型のイメージ
侵入できない
これまでとの違い

8. インター
ネット
セキュリティ
チェック
アクセス
端末
ユーザ
リソース
リソース
リソース
端末
ユーザ
システム
社内ネットワーク
社外ネットワーク
侵入されたら
これまでとの違い

9. インター
ネット
セキュリティ
チェック
攻撃
端末
ユーザ
リソース
リソース
リソース
端末
ユーザ
システム
社内ネットワーク
社外ネットワーク
侵入されたら
これまでとの違い

10. インター
ネット
端末
ユーザ
端末
ユーザ
リソース
リソース
リソース
システム
ゼロトラストのイメージ
これまでとの違い

11. アクセスは認証と認可で制御
認証：誰なのか
認可：どんな操作をするの
サーバ
アクセス
ごとに確認
1. アクセス要求
2. 安全性を確認
・ユーザ認証
・デバイス認証
・何をしようとしてるか
3. アクセス許可
ログ、操作監視
端末
ユーザ
リソース
リソース
リソース
ゼロトラストでのアクセス
これまでとの違い

12. これまでとの違い
• 社内、社外の境界を排除
• 全てのアクセスを認証と認可で制御
• 安全性の確認後も最小の権限だけを与える

13. ゼロトラストが必要な理由
• クラウドサービスの利用が増加
• テレワークの普及
• VPNの被害
• 内部からの情報漏えい

14. ゼロトラストの7原則
• ゼロトラストを実現するための基本原則
• 米国国立標準技術研究所(NIST)が出したガイドラインに記載

15. ゼロトラストの7原則
• 1：データソースとコンピュータサービスは、全てリソースと見なす
• 2：ネットワークの場所に関係なく、すべての通信が保護される
• 3：個々の組織リソースへのアクセスは、セッション単位に付与される
• 4：リソースへのアクセスは、クライアントID、アプリケーション／サービス、および要求元の状態
を含む動的ポリシーによって決定され、他の動作属性および環境属性が含まれる場合がある
• 5：組織が所有するすべてデバイスは、セキュリティが保たれるよう監視および測定する
• 6：すべてのリソースの認証と許可は動的であり、アクセスが許可される前に厳密に実施される
• 7：企業は、資源、ネットワークインフラストラクチャ、および通信の現在の状態について可能な限
り多くの情報を収集し、それを使用してセキュリティを改善する

16. ゼロトラストの7原則
• 1：データソースとコンピュータサービスは、全てリソースと見なす
リソース
リソース
リソース
端末
アプリ
クラウド
サーバ
性能や規模問わず、全部保護

17. ゼロトラストの7原則
• 2：ネットワークの場所に関係なく、すべての通信が保護される
社内ネットワーク
データ
そのまま ユーザ
端末
ユーザ 傍受
どこの通信でも暗号化
ツｯソ
セネホホ ユーザ
???
端末
ユーザ 傍受
保護なし 保護あり

18. • 3：個々の組織リソースへのアクセスは、セッション単位に付与される
ゼロトラストの7原則
端末
リソース
リソース
リソース
リソース
認証・認可済み
未認証・未認可
必要最低限の権限を付与

19. • 4：リソースへのアクセスは、クライアントID、アプリケーション／サー
ビス、および要求元の状態を含む動的ポリシーによって決定され、他の動
作属性および環境属性が含まれる場合がある
ゼロトラストの7原則
別の日
アクセス場所
普段
199X …
使用頻度
使われてなかった
デバイスからアクセス
使用頻度
普段使ってない
リソースにアクセス
普段と違う場所
からアクセス
利用者の状況や行動も安全性に関わる
リソース

20. • 5：組織が所有するすべてデバイスは、セキュリティが保たれるよう監視
および測定する
199X … サーバ 2023 … サーバ
常に最新状態にしておく
定期的に
アップデート
ゼロトラストの7原則

21. • 6：すべてのリソースの認証と許可は動的であり、アクセスが許可される
前に厳密に実施される
端末
リソース
リソース
安全性確認
アクセス
1回目
端末
リソース
リソース
もう一回確認
もう一回アクセス
2回目
アクセスのたびに安全性を確認
ゼロトラストの7原則

22. ゼロトラストの7原則
• 7：企業は、資源、ネットワークインフラストラクチャ、および通信の現
在の状態について可能な限り多くの情報を収集し、それを使用してセキュ
リティを改善する
いつ
誰が
どこで
クラウド
セキュリティ改善
情報を分析、セキュリティ改善に活かす

23. まとめ
• ゼロトラストは新しいセキュリティの考え方
• 境界を排除
• 常にアクセスの安全性を確認する
• テレワークの普及等で必要性が高まる
• 実現するには7つの原則に沿って導入が必要