cybersecurity

1. ©NISSHO ELECTRONICS CORPORATION ALL RIGHTS RESERVED.
Innovation-Leading Company
テレワーク環境におけるセキュリティ課題と
Zero Trustの考え方に関して
作成日；2020年06月05日
日商エレクトロニクス株式会社
セキュリティ事業本部
坂口 武生,CISSP,CISA

2. Innovation-Leading Company
1©NISSHO ELECTRONICS CORPORATION ALL RIGHTS RESERVED.
テレワーク環境におけるセキュリティ課題と対策例
社内インフラへのリモートアクセスに対して以下のセキュリティリスクが存在
 社用PC以外の不特定多数の接続デバイスが存在し「なりすまし」が不安
→MFA/多要素認証
 セキュリティ要件を満たさない脆弱なデバイスが接続し「マルウェア感染」が不安
→態勢管理
 インバウンドのトラフィックが増加し「監視体制」が不安
→ログ分析強化（MSS/SoC）
 内部探索スキャン、C&C外部通信などの不審な通信が発生し「攻撃されているかも」が不安
→NDR
 社内アプリ・システムの利用制限がなく「インサイダー・内部不正」が不安
→認可の仕組みと抑止の強化（ログ・フォレンジック）
 急遽利用許可した「クラウドサービス」が不安
→CASB、SWG
 不審なメールを受信した「従業員の対応」が不安
→メール訓練

3. Innovation-Leading Company
2©NISSHO ELECTRONICS CORPORATION ALL RIGHTS RESERVED.
テレワーク環境におけるセキュリティ課題と対策例
識別・認証・認可の強化
VPNからの脱却、Zero Trustへ移行
マルチクラウド化、クラウド・バイ・デフォルト原則
ベースソリューションとしてMicrosoftのプライオリティ上昇

4. Innovation-Leading Company
3©NISSHO ELECTRONICS CORPORATION ALL RIGHTS RESERVED.
Zero Trustの考え方に関して
社内
社内の
延長線
DC Cloud
インターネット
ネットワークセキュリティ
エンティティセキュリティ
ExpressRouteなどの
仮想プライベート
クラウド接続
Cloud
データの保存先、処理される場所はどこに存在するか？アクセス方法は安全か？
データへのアクセス・処理・保存が安全な場所・境界内で行われたが、境界が曖昧になり境界防御が限界
Office
エンティティ社外
VPN
専用線
閉域網
エンティティ
インターネット Cloud
Office
エンティティ

5. Innovation-Leading Company
4©NISSHO ELECTRONICS CORPORATION ALL RIGHTS RESERVED.
Zero Trustの考え方に関して
 データの保存先、処理される場所が社内から社外に分散・データがクラウド含めた分散傾向にある
アクセス方法も多様化（ユーザーや端末、アプリ・API）
 アクセスルートがExpressRouteなどの仮想プライベートクラウド接続/閉域網ではなく
インターネット経由
 社内ネットワークセキュリティからエンティティセキュリティ/エンドポイントにシフト
 （極論セッション毎に最小権限を都度、適切且つ正しく付与するため）
識別・認証・認可の徹底が求まられるためPKI含めたID基盤の重要性が増す
所謂、境界防御では駄目、社内は安全ではない、全てを信頼できないとかは本論ではない
例えば社内でNAC・検疫の仕組みがないのであれば、Zero Trustだからといって接続する
デバイスのセキュリティレベルをチェックして是正させるプロセスは不要であり、
またクラウドだからといってオンプレと対比してDLPの実装も不要、、、
※一方で攻撃は多様化、高度化されているためレベルアップは必要

6. Innovation-Leading Company
5©NISSHO ELECTRONICS CORPORATION ALL RIGHTS RESERVED.
Zero Trust Components
1. Network security
2. Device security
3. People/Identity security
4. Workload/Application security
5. Data security
6. Security visibility and analytics
7. Security automation and orchestration
＋Manageability and usability
＋APIs

7. Innovation-Leading Company
6©NISSHO ELECTRONICS CORPORATION ALL RIGHTS RESERVED.
ご参考；
最低限のサイバーセキュリティ＆ロードマップの指標
サイバーセキュリティ経営ガイドライン
実践状況の可視化ツールβ版
NISTサイバーセキュリティフレームワークに基づいた
NSA’S Top Ten Cybersecurity Mitigation Strategies
英国のナショナルサイバーセキュリティセンター
NCSC 10 steps to cyber security
1. リスク管理体制
2. ソフトウェア管理
3. 最新のハードウェアセキュリティ機能を活用する
4. アカウント管理と特権管理
5. システムと構成管理および復旧を計画する
6. ネットワークセキュリティー
7. 脅威評価サービスを統合する
8. インシデント管理
9. リムーバブルメディアコントロール
10.ユーザー教育と意識向上

8. ご清聴いただきまして有難うございます。
cyber_security@nissho-ele.co.jpお問い合わせ