昨今、コロナの影響もあり世界的に急激にリモートワークが導入されています。しかしながら、導入までに時間がないことからセキュリティに対する十分な検討がなされないまま導入されている例も多く、危機感を持っている方々も多いのではないでしょうか？ 本セッションでは、安全なリモートワークの実現する為になにをすればよいのか？についてゼロトラストの考え方をご説明させていただきたいと思います。

1. *本資料の内容 (添付文書、リンク先などを含む) は de:code 2020 における公開日時点のものであり、予告なく変更される場合があります。
#decode20 #
ゼロトラスト Deep Dive
間違いだらけのリモートワーク セキュリティ
S08
小町 紘之
日本マイクロソフト株式会社 テクニカル スペシャリスト
陸上自衛隊 予備１等陸曹

2. 本セッションについて
対象者
課題
ゴール
• IT 戦略に関わる方、アーキテクト、インフラエンジニア、技術責任者
意思決定者、情報システム部門の方
• 自社のリモートワーク環境に不安がある
• ゼロトラスト を導入した/したい がどこから始めたらいいのか？ よくわからない。
• 正しいゼロトラストの理解をしていただき、どんなリモートワーク環境を
整えるべきか？をご理解いただく。

3. セッションアジェンダ
• 間違いだらけのリモートワーク セキュリティ
• ゼロトラスト アーキテクチャ
• Microsoft で実現するゼロトラスト
• 目指すべきリモートワークセキュリティ

4. 間違いだらけのリモートワーク セキュリティ

5. リモートワーク対策パターン
http://www.soumu.go.jp/main_content/000545372.pdf

6. リモートワーク セキュリティあるある

7. ゼロトラスト アーキテクチャ

8. NIST：ゼロトラスト アーキテクチャ
ゼロトラストのアーキテクチャ
ゼロトラストの論理コンポーネント
ゼロトラストの展開シナリオ
ゼロトラストにおける脅威
ゼロトラストと既存の連邦政府のガイダンス
ゼロトラストへの移行と課題
Draft NIST Special Publication 800-207, 2nd Public Draft, February 13 2020 (Original : September 23 2019)
※ NIST : 米国国立標準技術研究所

9. NIST によるゼロトラストアーキテクチャ (ZTA) の定義
• データとサービスへの不正アクセスを排除して、アクセス制御を可能な限り細かくすること
• システムは、要求元が 「信頼できる」 こと、およびリクエストが有効であることを確認する
• ゼロトラストは認証と認可の2つの領域に適用され、暗黙の信頼性に依存してはならない
情報システムおよびサービスにおいて
正確なアクセス許可を行う際の不確実性を排除するために
設計された概念、アイデア、およびコンポーネントの関係 (アーキテクチャ) を提供するもの
つまり・・・
参考情報：NIST Zero Trust Architecture : “2. Zero Trust Architecture”
NIST：ゼロトラスト アーキテクチャ

10. データ
ID デバイス
アプリケーション
アクセス
制御
信頼性を評価
(トラストアンカー)
多要素拒否許可 制限
1. すべてのデータソースとサービスを
識別する
2. 暗黙的な信頼は排除する
3. 要求元の信頼は、アクセスが
許可される前に評価する
4. リソースへのアクセスは、ユーザー ID /
デバイスの評価と、リソース / データの
重要度によってポリシーで決定する
5. 組織が所有するシステムを監視して、
安全な状態のままであることを確認する
6. ユーザー認証は動的であり、アクセスが
許可される前に厳密に実施する
NIST：ゼロトラスト アーキテクチャの 6 原則
参考情報：NIST Zero Trust Architecture : “2. Zero Trust Architecture”

11. ゼロトラストのアクセス制御のステップ
識別
認証
認可
アクセス元のユーザーを識別
アクセス元の身元を検証
アクセス元の属性に応じてアクセス範囲を決定

12. 信頼レベル：高
信頼レベル：中
信頼レベル：低
不審な移動、場所
身元を詐称
漏洩した資格情報
OS 正常性チェック
セキュリティポリシー準拠状況
デバイス侵害リスク
アクセス元の信頼レベル (リアルタイムで評価)
アクセス元の信頼性を評価（動的な判断）
信頼
ユーザー
デバイス
・
・
・
・
・
・
持続的標的型攻撃 (APT) によってデバイスが
損害を受けている
異常なレジストリ変更、疑わしいファイルの実行、
攻撃段階に特有の動作が検出されている
資格情報の漏洩が検出されており、攻撃者が
本人になりすましてアクセスができる状態である
本人である可能性が低いイベントが検出されている
(匿名化やありえない移動によるサインイン行為等)
脅威は検出されていない

13. 信頼レベル：高
信頼レベル：中
信頼レベル：低
不審な移動、場所
身元を詐称
漏洩した資格情報
OS 正常性チェック
セキュリティポリシー準拠状況
デバイス侵害リスク
アクセス元の信頼レベル (リアルタイムで評価) リソースの重要度
アクセス元の信頼性を評価（動的な対処）
信頼
アクセス制御
ユーザー
デバイス
・
・
・
・
・
・

14. Zero Trust への優先順位

15. Microsoft で実現するゼロトラスト

16. Microsoft Zero Trust solution
デバイス
社用端末 or BYOD
Health & compliance
デバイス リスク
デバイス ＆ OS 情報
暗号化 ステータス
Microsoft
Azure AD
Microsoft
Defender ATP
Microsoft
Intune
Azure Sentinel
Microsoft
Information
Protection
Microsoft
Cloud App
Security
Microsoft
Azure ATP
ID
グループ/役割
場所
権限
セッション リスク
ユーザー リスク
Security &
Compliance
ポリシーエンジン

17. 動的な ID 保護: リスクがあるアクセスをブロック
Azure AD Identity Protection
ID が侵害されている、日頃とふるまいが違うなど、不審なアクティビティを検知し、
「リスク」に応じてポリシー適用
******
MFA を
要求
アクセス許可
アクセス
拒否
パスワード変更
の強制
読み取り
専用
制御
ユーザー
デバイス
場所
アプリ
コンディション
機械
学習
ポリシー
リアルタイム
評価エンジン
リスク
3
10TB
有効な
ポリシー

18. Azure AD 条件付きアクセス
承認されたデバイス
承認された OS
承認された場所
Azure Active Directory 条件付きアクセス
Intune Microsoft Intelligent
Security Graph
3rd Party SaaS アプリ
Azure
多要素認証
ブロック
許可
マイクロソフト クラウド
オンプレミスアプリ
ダウンロード制限等
危険なデバイス
危険な ID
Windows
Defender

19. 目指すべきリモートワークセキュリティ

20. リモートワーク セキュリティあるある に対して
VPN は接続時の認証のみ。暗黙の了解の元にある。
情報漏えい対策としてはOK。でも、先にアクセス制御。
NWはあくまでコンポーネントの一つ。
どちらも認証方法。変化する信頼性を見る事ができない。
違います！

21. Zero Trust

22. 条件付きアクセスアプリ制御
承認アプリ
8 兆シグナル/日

23. 要注意点
= No

24. Microsoft Learn おすすめコンテンツ
Microsoft では セキュアなリモートワークのための相談窓口を設けております。
リモートワークを安全にはじめたい。 Office 365 や Microsoft 365 にご興味のあるお客様の相
談をお受けします。
https://www.microsoft.com/ja-jp/biz/security/m365-remote-work.aspx
また、Microsoft 365 で簡単に実現するセキュア リモートワーク環境の動画や手順書も同時に
公開しておりますので、併せてごらんください。

25. © 2018 Microsoft Corporation. All rights reserved.
本情報の内容（添付文書、リンク先などを含む）は、作成日時点でのものであり、予告なく変更される場合があります。
© 2020 Microsoft Corporation. All rights reserved.
本情報の内容 (添付文書、リンク先などを含む) は、公開日時点のものであり、予告なく変更される場合があります。
本コンテンツの著作権、および本コンテンツ中に出てくる商標権、団体名、ロゴ、製品、サービスなどはそれぞれ、各権利保有者に帰属します。