ゼロトラスト “セキュリティ”の為にみんなが今までやってきた事と、これからすべきこと 1. 「今までやってきた事」と「これからすべき事」 今までやってきた事/境界防御 これからすべき事/ゼロトラスト防御 2. 境界防御 vs ゼロトラスト “攻撃者をベースにした脅威モデル”から見た “境界防御” vs “ゼロトラスト” 3. ゼロ・トラストの技術とサービス ゼロ・トラストの技術 ゼロ・トラストのサービス

1. ゼロトラスト
“セキュリティ”の為にみんなが「今までやってきた事」と「これからすべき事」
1. 「今までやってきた事」と「これからすべき事」
2. 境界防御 vs ゼロトラスト
“攻撃者をベースにした脅威モデル”から見た “境界防御” vs “ゼロトラスト”
(1) ゼロ・トラストの技術
(2) ゼロ・トラストのサービ
ス
3. ゼロ・トラストの技術とサービス
船井総研ホールディングス
村上 雅章
masaaki-murakami@funaisoken.co.jp
(1) 今までやってきた事/境界防御
(2) これからすべき事/ゼロトラスト防御
2020/07/24 Masaaki Murakami

2. 城壁の中の
■システムも
■人も
東京 大阪
例えば、東京本社と大阪支社の事務所を
a. 城壁で囲い ＝ LAN
b. その間を外部と交わらず通れる橋を作り ＝ WAN
c. 入口で門番が変な人を入れない ＝ ファイヤー
ウォール
だから、事務所にいると
自由に使える信用できる
(1) 今までやってきたこと/境界防御
世の中の殆どの会社がこの方法を使っている
1. 「今までやってきた事」と「これからすべき事」
2020/07/24 Masaaki Murakami

3.  システムも
 使う人も 城壁の外
クラウド リモート・ワーク
折角“作って”“運営”している境界防御が役に立たない
リモートワーク、クラウド化で
2020/07/24 Masaaki Murakami

4. Nさん
クラウド X
(2) これからすべき事/ゼロトラスト防御
2020/07/24 Masaaki Murakami
「信用できる人」 と 「信用できる人」
の “取引は信用できる”
C. この二つの間の
処理は信用できる
【基本的な考え方】
クラウドを操作する
人
クラウド
A. 信用できる人 B. 信用できるクラウ
ド
リモートワーク、クラウドの下でも、セキュリティが保てる！

5. 2020/07/24 Masaaki Murakami
Nさん
クラウドを操作する
人
A. 信用できる人
クラウドX
クラウド
(a) 操作している人は本当のNさん？
(b) 操作しているPCが感染して、誰かが
なりすましていない？
(c) PCが盗難や紛失で他人が操作していない？
例；昨日までは顧客データをダウン
ロードしてよかったが、今日もいい
の？
A-2 Nさんは本人？
A-3 今日もNさんを信用していい？
B クラウドXは信用して良い？
クラウドは世の中に数万あるけど
このクラウドは信用して良いの？それはな
ぜ？
C 信用を裏切られた場合に備えてしてお
く事
は何？
B. 信用できるクラウ
ド
【ゼロトラストで行う事（概
要）】
A-1 Nさんは信用して良い？
C. この二つの間の
処理は信用できる
A. 「Nさんの信用」を担保す
る
B. 「クラウドXの信用」を担保す
る
C. 「信用を裏切られた場合」に備える
A. 「Nさんの信用」を担保する
B. 「クラウドXの信用」を担保する
C. 「信用を裏切られた場合」に備える

6. A-1 Nさんは信用して良い人？
Nさん
2020/07/24 Masaaki Murakami
信用して良い人のリスト
どの程度信用して良いかのスコ
ア
Mさ
ん
Oさん
・・・・
信用スコ
ア
45 38 50
クラウドX クラウドY クラウドZ
IdaaS
信用スコアによって、それぞれのクラウドへのアクセスの許可をする
“信用して良い人リスト”と“どの程度信用して良いかのスコア”をもとにアクセスを許
可
A. 「Nさんの信用」を担保す
る

7. A-2 Nさんは本人？
本人確認ができる二つ以上の手段で、本人確認できれば、本人で間違いない
Nさん
NさんのPC
今からクラウドXを使いま
す！
IdaaS
本人確認１； NさんのPCからのリクエストなのでAであろう。
本人確認２； Nさんのスマホに確認して間違いなければ、本人で
ある
Nさんのスマホ
あなたのPCからクラウドXを使いたい…
とリクエストがありましたが良いです
か？
2020/07/24 Masaaki Murakami
(a) 操作している人は本当のNさん？
本人確認をする

8. Nさん
NさんのPC
“クラウドX”
Nさんに
なりすまして接続する SWG
EPP/EDR
感染しているWebサイト
を閲覧して感染
メールから感染
Webサイトからの
感染を防ぐ
感染を防ぐ
感染を検知する
隔離する
駆除する
感染
2020/07/24 Masaaki Murakami
(b) 操作しているPCが感染して、誰かがなりすましていない？
NさんのPCやスマホが感染しないように防
御

9. Nさん
NさんのPC
“クラウドX”
Nさんに
なりすまして接続する
UEM
PCをロックする
盗難・紛失
2020/07/24 Masaaki Murakami
(c) PCが盗難や紛失で他の人が操作していない？
NさんのPC
“クラウドX”
×
盗難や紛失したPCやスマホを操作できない様にす
る

10. Nさん
“クラウドX”
8月 9月
NさんはクラウドXのシステム管理
者
担当変更がありNさんは別のクラウドの
システム管理者になり一般ユーザに変
更
Nさん
“クラウドX”
システム管理
者
一般ユーザ
IdaaS
全てのユーザ情報＆データを
ダウンロードできる
ユーザ情報＆データの
参照もできない
時系列で変わる権限を
一元管理＆常時チェッ
ク
2020/07/24 Masaaki Murakami
A-3 今日もNさんを信用していい？
例；昨日までは顧客データをダウンロードしてよかったが、今日もい
いの？
例；昨日はOKだったが、今日はNG

11. “クラウドX”
Nさん
“クラウドY”
CASB
接続しようとしているクラウのセキュリティ評価をもとにした接
続制限
CASB事業者が蓄積した
世界のクラウドXの信用情
報
〇接続可 ×接続不可
2020/07/24 Masaaki Murakami
クラウドXは信用して良
い？クラウドは世の中に数万あるけど“このクラウドは信用して良いの？”“それはな
ぜ？”
第三者機関（CASB事業者）が信用評価し、調査情報を顧客に公
開
b. 「クラウドXの信用」を担保す
る

12. “クラウドX”
Nさん
“クラウドY”
CASB
2020/07/24 Masaaki Murakami
もし悪用されてしまった
ら？
全てのクラウドのアクセスの記録を残し、可視化し、管理者等がチェック
し不正のエビデンスとして使える様にする
可視化
Nさんのクラウドの利用履
歴
c. 「信用を裏切られた場合」に備え
る
クラウドのアクセスの記録を残し、可
視化

13. 境界防御 ゼロトラストvs
2020/07/24 Masaaki Murakami
標的をあらかじめ定めず、よく知られている脆弱性
をツールなどを使って悪用する能力の低い攻撃者
特定の標的に対して特別な攻撃を用意する攻撃者。
スピアフィッシングや産業スパイがこのカテゴリに
分類される
ログイン情報をもつシステムの一般ユーザ。通常は
請負業者や権限をもたない従業員がこのカテゴリに
分類される
強い権限を持っているシステムの管理者
外国政府または自国政府の支援を受け、標的を攻撃
するための潤沢な資金と位置特定能力をもつとされ
る攻撃者
危険度
❶スクリプトキディ
❷標的型攻撃者
❸インサイダー脅威
❹信頼されたインサイダ
❺国家レベルのアクタ
低
高
【攻撃者をベースにした脅威モデル】
2. 境界防御 vs ゼロトラスト
“攻撃者をベースにした脅威モデル”から見た “境界防御” vs “ゼロトラスト”
ベーシックな対
策
高度な対策
易
難
【検知難易
度】
【対策レベ
ル】

14.  ユーザ/アプリケーション 「認
証」
 デバイス 「認証」
 「信用スコア」
“エージェント”として結合さ
れる
リクエストを許可するために
エージェントに対してポリシーが適用さ
れる
ポリシーにスコア・コンポーネントを追加すれば
アクセス制御を様々な条件に適合させる事ができ
る
“ゼロトラスト”は ......
(1) ゼロ・トラストの技術
Q1 何を「認証」する？ >>>>>> “デバイス”と“ユーザ/アプリケーション”
「認証」 と 「認可」 によってセキュリティを担保
する技術
Q2 何をもとに「認可」する？ >>>>>> 信用スコア
Q3 どうやって「認証」「認
可」する
ゼロトラストの３つの必
需品
2020/07/24 Masaaki Murakami
3. ゼロ・トラストの技術とサービ
ス
>>>>
>>

15. ❶スクリプト・キディ
❷標的型攻撃者
❸インサイダー脅威
❹信頼されたインサイダ
❺国家レベルのアクタ
低
高
【攻撃者をベースにした脅威モデル】
【ゼロ・トラストの
技術】
Q4 どんなサービ
ス？
2020/07/24 Masaaki Murakami
(2) ゼロ・トラストのサー
ビス
信用（信用スコア）
ユーザ認証/アプリケーション認証
デバイス認証

16. 信用（信用スコア）
❶スクリプト・キディ
❷標的型攻撃者
❸インサイダー脅威
❹信頼されたインサイダー
❺国家レベルのアクター
低
高
EPP/EDRSWG
IdaaS
2020/07/24 Masaaki Murakami
CASB UEM
アクセス
マネージメント
ユーザ認証/アプリケーション認証
デバイス認証
ネットワーク
セキュリティ
エンドポイント
セキュリティ
ゼロトラストの司令塔

17. エンドポイント・セキュリティ
ネットワーク・セキュリティ
UEM （ユーイーエム）
SWG （エスダブリュージー）
■“クラウド”へのアクセスをブロックする
クラウド利用の可視化/制御
データセキュリティ >>> データの持出しをチェック/ブロック
コンプライアンス >>> セキュリティ・ポリシーの準拠を監査
脅威防御 >>> 脅威を検出/分析/防御
*1； MAM >>> モバイル・アプリケーション
管理
*2； MCM >>> モバイル・コンテンツ管理
アクセス・マネージメント
IdaaS （アイダーズ）
■集中ユーザ認証
■SSO（シングル・サイン・オン）
■セッション管理＆認証の実施
2020/07/24 Masaaki Murakami
CASB （キャスビー）
■“Web”へのアクセスを制御する＆“Web” からの攻撃を防ぐ
■統合エンドポイント管理
MDM + MAM*1 + MCM*2 + クライアント管理
EPP （イーピーピー）/EDR （イーディーアール）
■エンドポイント保護プラットフォーム
ゼロトラストの司令塔