ゼロトラストセキュリティ導入記～今なすべきセキュリティ対策のコツ～

2020年4月、政府が発令した緊急事態宣言で、企業は「7割の社員のテレワーク」を推奨されていた。元々アライドテレシスでは200名分のVPN1接続環境を整えていたが、一週間以内に100名、1カ月以内に300名と順々に追加での環境整備が求められた。結果、わずか1ヶ月という短期間で、全社員の7割以上(600名)のテレワーク環境の整備に成功した。

しかし急速なテレワーク環境の整備は、様々な課題を誘発。その課題を解決するために導入を推進したのが本連載のテーマであるゼロトラストセキュリティ2である。

第1回、第2回の連載ではテレワーク環境を整備した際の課題や、ゼロトラストセキュリティが目指すものを具体的に紹介した。

用語解説

• 1

  VPN（ブイピーエヌ）：Virtual Private Networkの略。インターネットのように誰もが利用できる公共のネットワークを利用して、プライベートなネットワークを作ること。VPN環境の実現にはパケットのトンネリングや暗号化の技術が必要になる。

• 2

  ゼロトラストセキュリティ：「信頼しない（ゼロトラスト）」ことを前提とするセキュリティ対策の考え方。モバイル端末の活用拡大、テレワークなどの働き方の変化により、これまでの「社内ネットワークの端末は安全」という境界型ではなく、全ての通信を信頼しない前提でさまざまなセキュリティ対策を行うことが必要となっている。

第3回、4回、5回ではアライドテレシスが導入した（検証している）ゼロトラストセキュリティの具体例の中から、アクセス管理に焦点を当てて紹介した。

テレワークの推進でWAN3の帯域がひっ迫したその実情を第1回、第2回で紹介しているが、その解決方法として見出したのが、SD-WAN4（インターネットブレイクアウト5）である。
アクセス管理に関する3つの記事では、現にインターネットブレイクアウトを実施した際のメリットだけでなく、実施に向けた調査・検証の事前準備、その結果アライドテレシスがDevOps6で開発した新サービスも紹介している。

用語解説

• 3

  WAN（ワン）：Wide Area Networkの略。広域情報通信網。いくつかの遠隔地のLAN（ラン、Local Area Network）を接続するネットワーク。一般の公衆回線やISDN、専用回線などを介して構築される。

• 4

  SD-WAN（エスディー・ワン）：Software-Defined Wide Area Networkの略。ソフトウェア制御により広域ネットワークを運用管理する技術。従来のように現場に赴いて機器の設定や調整を行うのではなく、中央のソフトウェアで広域なWANネットワークの構築や設定、制御を行うこと。

• 5

  インターネットブレイクアウト：特定のアプリケーションを抽出して、データセンターを経由せずに拠点から直接インターネットへ接続し、センター側回線のトラフィックを削減する機能もしくはその方法のこと。

• 6

  DevOps（デブオプス）：開発(Development)と運用(Operation)を組み合わせた言葉。開発チームと運用チームが協同し、製品などのビジネスの価値を生み出す仕組みやそれを行う組織をいう。開発スピード、信頼性、生産性、品質の向上が本仕組みのメリットとしてあげられる。

インターネットブレイクアウトの導入で、WANの遅延による業務停滞を解消したアライドテレシスが、ゼロトラストセキュリティ実現のために次に対策が必要と考えたのが「エンドポイントセキュリティ」だ。
テレワークの推進により働き方が変化し、これまでとは違い企業や組織のネットワーク境界外での業務が増えてきた。そのためアライドテレシスでは社員が使用するパソコンなど、業務端末周りのセキュリティの見直しと強化が必要だと考えた。

第６回～第８回では、エンドポイントセキュリティを導入する前に実施した脆弱性診断、その後の具体的な取り組み、そしてその知見を元にアライドテレシスが新たに追加した新サービスを紹介している。

第9回ではゼロトラストセキュリティを実現するために真っ先に取り組むべき課題である「ユーザー認証」について紹介している。今では多種多様な業務システムがクラウドサービスで提供されているが、複数のサービスを利用すると運用管理性や利便性だけでなく、セキュリティ面でも課題が生じてしまう。
アライドテレシスがその課題でフォーカスしたIDaaS7導入について紹介。ただ単にユーザー認証の運用管理性と利便性を向上するだけでなく、セキュリティも担保する認証方法は何か、実際の検証方法など詳しく解説している。

用語解説

• 7

  IDaaS（アイダース）：Identity as a Serviceの略。クラウド上の各種サービスで利用されるID情報などの統合管理と認証基盤を提供し、シングルサインオンを可能とするクラウドサービスのひとつ。

全10回にわたりゼロトラストセキュリティを導入するための課題や、実際に取り組んできたことについて紹介してきた。最終回である第10回ではゼロトラストを実現するための最後のカギであるログ監視について紹介した。
ゼロトラストセキュリティ実現のためのログ監視においては、すべての通信を常に監視・分析することを目指す必要がある。リアルタイムで状況を分析・可視化することが求められるため、管理者にとっては大きな負担となる。そのため、およそ800名の従業員を抱えるアライドテレシスにとって、このログ監視は非常に困難な課題だった。
そこで、ログ監視を実現する上で求められる要件や課題を元に、アライドテレシスが検討を進めた解決方法や実際に提供可能なサービスなどを紹介している。
アライドテレシスは、今後もゼロトラストセキュリティ取り組みを進めていく予定だ。