ゼロトラストアーキテクチャ

ゼロトラスト・アーキテクチャ（ZTA ）は、 ITシステムの設計・実装戦略です。その原則は、ユーザーやデバイスが企業LANなどの特権ネットワークに接続されていても、また以前に検証済みであっても、デフォルトで信頼すべきではないというものです。この原則は、境界のないセキュリティ、あるいは以前は境界解除とも呼ばれていました。

ZTAは、ID検証の確立、アクセスを許可する前のデバイスのコンプライアンス検証、そして明示的に承認されたリソースへの最小権限アクセスの確保によって実装されます。現代の企業ネットワークの多くは、相互接続された多数のゾーン、クラウドサービスとインフラストラクチャ、リモート環境やモバイル環境への接続、そしてIoTデバイスなどの非従来型ITへの接続で構成されています。

概念的な「企業境界」内またはVPN接続を介してユーザーとデバイスを信頼する従来のアプローチは、企業ネットワークの複雑な環境では一般的に不十分です。ゼロトラスト・アプローチは、場所に関係なくユーザーとデバイスのIDと整合性をチェックする相互認証を推奨し、ユーザー認証と組み合わせて、ユーザーとデバイスのIDとデバイスの状態の信頼性に基づいてアプリケーションとサービスへのアクセスを提供します。 [ 1 ]ゼロトラスト・アーキテクチャは、サプライチェーンなどの特定の分野での使用が提案されています。[ 2 ] [ 3 ]

ゼロトラストの原則は、データアクセスとデータ管理の両方に適用できます。これにより、データへのアクセス要求はすべて動的に認証され、リソースへの最小権限アクセスが確保されるゼロトラスト・データセキュリティが実現します。アクセスを許可するかどうかを判断するために、属性ベース・アクセス制御（ABAC）を用いて、データの属性、ユーザー、環境の種類に基づいてポリシーを適用できます。このゼロトラスト・データセキュリティのアプローチは、データへのアクセスを保護します。[ 4 ]

定義

ゼロ トラストという用語が 1994 年に初めて使用されて以来、さまざまな定義が提案されてきました。

初期の定義

1994年4月、スティーブン・ポール・マーシュはスターリング大学でコンピュータセキュリティに関する博士論文の中で「ゼロトラスト」という用語を提唱しました。マーシュの研究は、信頼を数学的に記述できる有限のものとして研究し、信頼の概念は道徳、倫理、合法性、正義、判断といった人間的要素を超越するものであると主張しました。[ 5 ]

ネットワークのSmartieモデルまたはM&Mモデル（境界除去の前身となるモデル）の問題点は、1994年5月のNetwork Worldの記事でサン・マイクロシステムズのエンジニアによって説明されており、その記事ではファイアウォールの境界防御を、キャドバリーエッグのように柔らかい中心を硬い殻で覆うものとして説明している。[ 6 ]

2001年にOSSTMM（オープンソース・セキュリティ・テスト方法論マニュアル）の初版がリリースされ、信頼に重点が置かれました。2007年頃にリリースされたバージョン3には、信頼に関する章が1つ設けられ、「信頼は脆弱性である」と述べ、信頼レベルに基づいてOSSTMM 10のコントロールを適用する方法について解説しています。

NISTの定義

2018年、米国国立標準技術研究所（NIST）と国立サイバーセキュリティセンターオブエクセレンス（NCCoE）は、NIST SP 800-207 – ゼロトラストアーキテクチャを公開しました。[ 7 ] [ 8 ]この公開文書では、ゼロトラストを、ネットワークが侵害されたと見なされた場合に、情報システムとサービスに対して、要求ごとに正確なアクセス決定を実施する際の不確実性を減らすように設計された概念とアイデアの集合体と定義しています。ゼロトラストアーキテクチャ（ZTA）は、ゼロトラストの概念を活用し、コンポーネントの関係、ワークフロー計画、およびアクセスポリシーを網羅する企業のサイバーセキュリティ計画です。したがって、ゼロトラストエンタープライズとは、ゼロトラストアーキテクチャプランの産物として企業に導入されたネットワークインフラストラクチャ（物理および仮想）と運用ポリシーです。

ZT のすべての原則を実装する方法はいくつかあります。完全な ZTA ソリューションには、次の 3 つすべての要素が含まれます。

  • 強化された ID ガバナンスとポリシーベースのアクセス制御を使用します。
  • マイクロセグメンテーションの使用
  • オーバーレイネットワークまたはソフトウェア定義境界の使用

ZT-キプリング法

2025年9月、欧州電気通信標準化機構（ETSI）の技術委員会CYBER（ETSI TC CYBER）は、ZT-Kipling方法論の詳細を規定した技術仕様（TS）104 102を公開しました。[ 9 ] ZT-Kipling方法論では、ゼロトラスト（ZT）を次のように定義しています。

ZT は、デジタル世界における暗黙の信頼がない (つまりゼロ トラスト) ことを前提としたセキュリティ戦略 (またはアプローチ) であり、すべてのユーザー、すべてのデバイス、すべてのレイヤー (OSI 階層化モデル勧告 ITU-T X.200 など)、すべてのアプリケーションを、すべての場所でリアルタイム (実行時) に一貫して (または継続的であれば継続的) 検証しながら、侵害を検出して防止するように設計されています。また、継続的インテグレーションと継続的デリバリー (CI/CD) パイプライン セキュリティを適用することで、攻撃のすべての段階ですべての攻撃ベクトルに対する予防的なセキュリティを実現し、信頼が明示的になります。

ZT-キプリング方法論は、ゼロトラストアーキテクチャ（ZTA）[ 8 ]の基本原則をさらに発展させ、5つの必須の反復ステップを定義します。この方法論では、ZTを継続的かつ反復的なプロセスとして扱います。[ 8 ] [ 9 ]。この方法論の体系的な性質の中核は、キプリング基準（何を、なぜ、いつ、どこで、誰が、どのように）を統合していることにあります。[ 9 ]この6つの質問は、5つの反復ステップそれぞれに対して体系的に適用され、回答されます。[ 9 ]

  • ステップ 1 - 保護対象サーフェスを定義します。
  • ステップ 2 - トランザクション フローをマップします。
  • ステップ3 - ゼロトラストアーキテクチャ（ZTA）を構築する[ 8 ] ;
  • ステップ4 - ゼロトラストポリシーを作成する。
  • ステップ 5 - 監視と保守。

このプロセス全体は、保護対象表面の寿命を通じて繰り返されますが、これは方法論のステップ1で明確に定義する必要があります。TS 104 102は、ZT-Kipling方法論をゼロトラストのための体系的かつ循環的なガバナンスフレームワークとして確立しています。[ 9 ]

その他の定義

2010年に、ゼロトラストモデルという用語は、フォレスターリサーチのアナリスト、ジョン・キンダーヴァグによって、企業内のより厳格なサイバーセキュリティプログラムとアクセス制御を示すために使用されました。[ 10 ] [ 11 ] [ 12 ]

歴史

2003 年、ジェリコ フォーラムでは組織の IT システムの境界を定義することの課題が強調され、当時「脱境界化」と呼ばれていた傾向について議論されました。

2009 年に中国で発生した APT 攻撃Operation Auroraへの対応として、Google はBeyondCorpと呼ばれるゼロ トラスト アーキテクチャの実装を開始しました。

2010年代を通じて、モバイルやクラウドサービスの導入増加もあって、ゼロトラストアーキテクチャがより普及しました。[ 7 ] [ 8 ]

2019年に英国国立サイバーセキュリティセンター（NCSC）は、ネットワークアーキテクトに対し、特にクラウドサービスの大幅な利用が計画されている場合、新しいIT展開にゼロトラストアプローチを検討することを推奨しました。[ 13 ] NCSCは、ゼロトラストアーキテクチャの背後にある主要な原則を特定する際に、 代替的ではあるが一貫したアプローチを採用しています。

  • ユーザーIDの単一の強力なソース
  • ユーザー認証
  • 機械認証
  • ポリシーのコンプライアンスやデバイスの健全性などの追加コンテキスト
  • アプリケーションにアクセスするための承認ポリシー
  • アプリケーション内のアクセス制御ポリシー

2025年9月、欧州電気通信標準化機構（ETSI）技術委員会CYBER（ETSI TC CYBER）は、ゼロトラストセキュリティ体制を実現するために使用されるZT-Kipling方法論を詳述した技術仕様（TS）104 102を公開しました[ 9 ]。

参照

参考文献

  1. ^ 「Mutual TLS: サービスメッシュにおけるマイクロサービスのセキュリティ保護」 The New Stack、2021年2月1日。2021年3月13日時点のオリジナルよりアーカイブ。 2021年2月20日閲覧。
  2. ^ Collier, Zachary A.; Sarkis, Joseph (2021-06-03). 「ゼロトラスト・サプライチェーン：信頼の欠如におけるサプライチェーンリスク管理」 . International Journal of Production Research . 59 (11): 3430– 3445. doi : 10.1080/00207543.2021.1884311 . ISSN 0020-7543 . S2CID 233965375 .  
  3. ^ do Amaral, Thiago Melo Stuckert; Gondim, João José Costa (2021年11月). 「サイバーサプライチェーンセキュリティへのゼロトラストの統合」. 2021 Workshop on Communication Networks and Power Systems (WCNPS) . pp.  1– 6. doi : 10.1109/WCNPS53648.2021.9626299 . ISBN 978-1-6654-1078-6. S2CID  244864841 .
  4. ^ Yao, Qigui; Wang, Qi; Zhang, Xiaojian; Fei, Jiaxuan (2021-01-04). 「ゼロトラストアーキテクチャに基づく動的アクセス制御および認可システム」 . 2020 International Conference on Control, Robotics and Intelligent System . CCRIS '20. ニューヨーク、ニューヨーク州、米国: Association for Computing Machinery. pp.  123– 127. doi : 10.1145/3437802.3437824 . ISBN 978-1-4503-8805-4. S2CID  230507437 .
  5. ^ Marsh, Stephen (1994),信頼を計算概念として形式化する, p. 56 , 2022年7月22日閲覧
  6. ^ 「インターネットハッカーに注意：企業LANの保護」 Network World . IDG Network World Inc. 1994年5月23日. ISSN 0887-7661 – Google Booksより。 
  7. ^ a b国立サイバーセキュリティセンターオブエクセレンス. 「ゼロトラストアーキテクチャの実装」 . NIST . 2022年7月22日閲覧。
  8. ^ a b c d e Rose, Scott; Borchert, Oliver; Mitchell, Stu; Connelly, Sean. 「ゼロトラストアーキテクチャ」（PDF） . nvlpubs.nist.gov . NIST. 2021年4月21日時点のオリジナルよりアーカイブ（PDF） . 2020年10月17日閲覧。
  9. ^ a b c d e f「ETSI TS 104 102; サイバーセキュリティ（CYBER）; 暗号化トラフィック統合（ETI）; ZT-Kipling方法論」（PDF）。2025年9月30日。
  10. ^ Loten, Angus (2019年5月1日). 「Akamai、セキュリティへの『ゼロトラスト』アプローチに賭ける」 .ウォール・ストリート・ジャーナル. 2022年2月18日時点のオリジナルよりアーカイブ。 2022年2月17日閲覧。
  11. ^ Higgins, Kelly Jackson. 「Forresterがセキュリティに『ゼロトラスト』モデルを推進」 Dark Reading . Informa . 2021年8月26日時点のオリジナルよりアーカイブ。2022年2月17日閲覧。
  12. ^ Kindervag, John (2010-11-05). 「ネットワークのDNAにセキュリティを組み込む：ゼロトラスト・ネットワーク・アーキテクチャ」(PDF) . Forrester Research . 2022年7月22日閲覧。
  13. ^ 「ネットワークアーキテクチャ」www.ncsc.gov.uk . 2021年1月21日時点のオリジナルよりアーカイブ。2020年8月25日閲覧。
「 https://en.wikipedia.org/w/index.php?title=Zero_trust_architecture&oldid=1335433076」より取得