デジタルによる業務の生産性向上とセキュリティ強化の両立がゼロトラスト最大の目的――NRIセキュアテクノロジーズ 鳥越真理子氏：ITmedia エグゼクティブセミナーリポート（2/2 ページ）

コロナ禍により業務の「オンライン化」が待ったなしで進む中、オープンで、デジタルな業務様態において、どのように生産性の向上と情報セキュリティの確保を両立させるか。注目を集めるゼロトラストの概要や導入するメリットなどを紹介する。

[山下竜大，ITmedia]

　「次世代セキュリティ実現の留意事項としては、従来のアプローチではリスクを十分に制限できないという認識に立ち、境界セキュリティに依存せず、強化されたID／認可認証技術とエンドポイントセキュリティを重視することです。また、組織の情報資産にアクセスするデバイスには、組織のポリシーを強制できるようにし脆弱性のない状態に保ち、予防的対策だけでなく異常の検知と対応の仕組みを実装し、セキュリティを統合管理できるようにします」（鳥越氏）

ゼロトラストを導入することによるメリット

　ゼロトラストの導入によるメリットは、サイバー攻撃やクラウド活用で高まる内部不正のリスクに対して、次世代技術を活用した調和と自動化により効果的、効率的、実践的な対策が可能なこと。クラウドにデータアクセスポイントを集約することで、リソース最適化とコラボレーション促進にも近道となる。

　鳥越氏は、「気がついたら社内のマルチクラウド化が進んでいた、あるいは、状況の変化に求められ急速にテレワークにシフトしたなど、戦略なく従来モデルからデジタルモダナイゼーションを進めてしまった場合に直面する課題に対しても、ゼロトラストは解決策を提供することができます」と話す。

　従来モデルからデジタル化を進めた場合に直面する課題解決には、SDP／SD-WAN／SWGやエンドポイントデバイス管理（EMM/EDR）、IDaaS、CASB／SASE、ログ取得／分析／監視の仕組みなど、ZTXの要件を満たしたゼロトラスト関連ソリューションの導入が役に立つ。

　またピュアゼロトラストとハイブリッドゼロトラストと2つのモデルがあるものの、一般的には過去の資産から新しいものに一気に切り替えることへの難易度が高く、オンプレミスを残しつつ、クラウド中心のソリューションを活用にシフトするハイブリッド型のゼロトラストモデルを採用する場合が多い。

　「ハイブリッド型ゼロトラストモデルにもメリットはあります。段階的にゼロトラストモデルを進めることで既存の運用を継続できる点はシステムの運用者、利用者に受け入れ易く、コストの調整も可能です」（鳥越氏）

ゼロトラストへの移行は小さく始めて大きく育てる

　「一般的にゼロトラストモデルへの移行は、簡単ではないと認識されています。古いシステムや慣行などに縛られないGoogleですら、ゼロトラストの完全移行に10年近くかかっています。段階移行中は古い仕組みと新しい仕組みが併存することから、コストメリットは生じにくいため、コストについては辛抱強さが求められます」（鳥越氏）

　ゼロトラストへの移行では、将来的に期待できるコストメリットだけではなく、さまざまな波及効果を重視すべきだ。DXの実現や働き方改革を実現するための必要な対策でもあり、取り組むのであれば全面刷新が望ましい。しかし、「製品選定」「導入構成」「移行方式」「維持管理」「運用体制」「監視体制」など、検討すべき項目が多岐にわたる。

ゼロトラストシフトがもたらす波及効果

　「ゼロトラストモデルへの移行は、一括の全面刷新のようにできるものではなく、小さく始めて大きく育てる、部分的な対応から進めて順次拡大していくことも有効です。段階的な移行を行う場合、システムリソース増強、EOLなどに伴う基盤更改、セキュリティ強化の3つの軸で検討すべきです」（鳥越氏）

　ゼロトラストシフトがもたらす波及効果として、テレワーク基盤の刷新、ネットワーク基盤の軽量化などがある。また、IT戦略やグランドデザインとしては、ゼロトラストにシフトすることで、クラウドシフトにつながり、シェアードプラットフォームを利用することで全社的なコストを削減が可能になる。さらに、ビジネスコラボレーションプラットフォームまでつなげることで、より一層の効果的なIT活用が期待できる。

　一方、問題はこれまでセキュリティに投資してこなかったのにゼロトラストを推進する場合である。EDRを含め、エンドポイントセキュリティ製品の導入には追加のライセンス料が必要で、また、検証用のコストも発生する。ID管理についても、これまでActive Directory（AD）だけ使っていれば費用は発生しないが、ADへの攻撃を検証するためのサービスを利用開始する、あるいは、それを組み込んだ形で提供されるIDaaSを活用すると今は負担していないコストが発生する。

　コストなのか、投資なのかは、システム担当者が判断する性質のものではない。新しい技術を活用してゼロトラストを実現する費用対効果は高いが、それには、かなりの初期投資（費用、工数）が必要で、トップダウンの意思決定が不可欠になる。

　鳥越氏は、「ゼロトラストの目的は、安全・快適にITを活用することで社員の生活やビジネスをよりよいものにすることです。コロナ禍で痛感しているかもしれませんが、環境の変化に対応するためには柔軟性とスピード、つまりアジリティが重要です。そのためには、いつでも、どんな場所やデバイスからも、安全にサービスを利用、提供できるIT環境が不可欠です。そのためのセキュリティがゼロトラストです」と締めくくった。

成長のために働き方改革を実現する柔軟＆スピードある基盤を目指していく