既存のネットワーク構造がゼロトラスト実現の障壁に
昨今はオフィス回帰がトレンドで、週3～5日の出社を義務化する企業が増加した。コロナ禍以前に戻ったような雰囲気もある。ただ、セキュリティーの観点では「元通りになったムード」が油断を生む可能性がある。コロナ禍を通じて不可逆な変化をしている要素が多くあり、サイバー攻撃の抜け穴になっているかもしれない。
例えば、オフィス回帰の流れがあるとはいえ、テレワークの活用は定着した。業務の内容や社員の事情など、必要に応じてテレワークを実施できるようにしている企業は多い。連動して、クラウドサービスの利用は以前とは比較にならないほど拡大した。複数のクラウドを併用するケースも珍しくない。こうした要素は、セキュリティーの観点ではサイバー攻撃の抜け穴になり得る。ネットワークを社内と外部に分けて境界を守る「境界防御」では、テレワーク端末やクラウド上のシステムを守り切れないからだ。
従来、セキュリティーの主流は境界防御だった。セキュリティーの見直しが進んでいない企業では、“いつの間にか空いた抜け穴”がそのままになっている可能性がある。問題を認識している企業は、境界防御からゼロトラストセキュリティーへの転換を図っている。だが、そうした企業も多くの場合、十分な対策には至っていない。実効性のあるゼロトラスト環境を構築できている企業は残念ながら多くないのだ。
例えば、中心に置いたデータセンターに各拠点がつながる「ハブ＆スポーク」型の企業ネットワークを維持したまま、ゼロトラストを実現することは容易ではない。ルーティング可能なネットワークを前提にしているため、いったん脅威に内部に侵入されてしまうと、簡単にラテラルムーブメント（横展開）を許してしまうからだ。これを防ぐには、事業拠点、エンドポイントデバイス、クラウド接続点など、ポイントすべてに高度な対策を施す必要がある。資金と人員を潤沢に抱える企業でない限り、これを実現し維持し続けることは難しいだろう。
もちろん、ネットワークをセグメント分けして通信を制限する方法もある。しかし、それでもセグメント内のラテラルムーブメントは防げない。また、セグメントを細かく分けすぎるとユーザーの利便性を損なってしまうだろう。
このような問題を回避し、真に実効性のあるゼロトラストセキュリティーを具現化するためには、ある「発想の転換」が必要だ。その詳細について次ページで紹介する。