記事をシェアする:

昨今の場所を問わない働き方の変化に合わせて、ハイブリッドワークにおけるセキュアなアクセス方法としてゼロトラスト・セキュリティーが注目されています。組織の多くで検討が進むゼロトラスト・アプローチによるリモートアクセスセキュリティーの変革ですが、ゼロトラスト原則は、他のユースケースについても適用することができます。

本稿では、ハイブリッドクラウドの文脈におけるゼロトラスト・アプローチに焦点を当てた、クラウドセキュリティー対策強化について紹介します。

ハイブリッドクラウドにおけるゼロトラスト・ユースケース

リモートアクセスにおけるゼロトラストモデルでは、アクセス元がユーザーデバイス（PCやモバイル）で、アクセス先のリソースはデータやアプリケーションサービスであることが一般的です。

一方、ハイブリッドクラウドにおいては、データセンターとパブリッククラウド間の通信やワークロード間の通信のように、ユーザーアクセス以外のクロスプレミス/クロスクラウドの通信が発生します。分散化されたアプリケーション間のアクセスには、マクロ・ミクロレベルの視点では多種多様な通信が想定され、その各々に対してセキュリティー保護が求められます。例えば、パブリッククラウド上に配置されたアプリケーションが持つAPIを介して、重要データをオンプレミスのデータセンターのシステムと連携するようなケースでは、ユーザーがデータに対してリモートアクセスするのと同様に、「決して通信を信頼せず、検証する」というゼロトラストの原則を適用することが、組織の境界が希薄になったハイブリッドクラウド環境において重要になります。

図：ハイブリッドクラウドユースケースのイメージ

例として、ハイブリッドクラウド環境において、VPN等のセキュアなネットワーク経由でオンプレミスとクラウドサービス上のシステムとが相互接続している構成を考えてみましょう。クラウド内のネットワークについても、オンプレの組織内ネットワークと同等に信頼できると見做して、厳密なアクセス制御を実施せずに、有効期限が永い資格情報を用いてアクセスしているケースがないでしょうか。攻撃者による組織内ネットワークの横展開や資格情報の窃取による不正アクセスの発生等、近年発生したサイバーインシデントを見ても、このような「内部ネットワークを信頼」するアプローチは不十分であることは明らかであり、公開ネットワークを経由するケースでは尚の事、注意が必要です。

システム間通信の場合、ユーザーのリモートアクセスのように、ロケーションの動的変化や接続元デバイスの属性変動が激しい訳ではありませんが、サードパーティーとの接続のようにセキュリティーポスチャーが静的ではないケースや、一度許可したアクセス元と資格情報を継続して使用し続けるケース等、システム間通信に特有のコンテキストを考慮する必要がでてきます。加えて、マイクロサービスアーキテクチャーのような構成の場合、コンテナ間/サービス間通信におけるアクセス制御のように、よりミクロな単位でのエンティティーの認証や厳密なアクセス制御を必要とするケースもあります。

近年の高度化するサイバー脅威に対応するためには、組織内のあらゆる箇所を脅威源と想定し、多様なアクセスに対する検証とリソースの保護が求められます。即ち、人・デバイス・サービス・アプリケーションといったあらゆるエンティティからのデータやリソースへのアクセスについて、ゼロトラストの視点からセキュリティー対策を再考する価値があると言えるでしょう。

ゼロトラストガバナンスモデルの視点

ハイブリッドクラウド環境でのゼロトラスト・セキュリティーを検討するには、どこから始めれば良いでしょうか。一般に、ハイブリッド/マルチクラウド環境は非常に複雑であり、アーキテクチャーを把握し、アクセスパターンを特定することは多大な労力を伴います。

解決の一助として、ここではIBM Securityのゼロトラストガバナンスモデルを活用したアプローチについて紹介します。

ゼロトラストガバナンスモデルでは、セキュリティー対策レイヤ全体に対し、以下の4つのステップでゼロトラストを適用します。

1. コンテキストの定義（Define context）
2. 検証とエンフォース（Verify and enforce）
3. 検知と対応（Detect and Respond）
4. 継続的改善（Continuous improvement）

図：ゼロトラストガバナンスモデル

ゼロトラスト原則を適用するためには、ユーザー・データ・アプリケーションを特定し、システム機能要件だけではなく、ビジネス要件やコンプライアンス等も考慮したコンテキストを定義することが第一歩です。そして、アクセス元のデバイス、ネットワーク、ワークロードや、アクセス対象となるリソースやデータについて、高いセキュリティポスチャーを維持し、継続的な保護を実装することで、一貫した脅威保護とアクセスの検証と強制を行うことが可能になります。加えて、脅威を迅速に検知するための可視性の確保とコンテキスト把握を行うための仕組みを整備しなければなりません。このように、ゼロトラストを検討する場合には、全てのセキュリティーレイヤーに対して、包括的かつ有機的な紐付けを行う必要があります。

ハイブリッドクラウドの例では、ワークロード間でのシステム連携において、アクセス主体のシステム/アプリケーションを保護し、通信の真正性を検証し、最小権限で対象にアクセスできるように実装します。IAMを例にとると、オンプレミスとクラウドサービスネイティブのIAMを統合/連携し、ポリシー定義に基づく動的な制御を強制する、といった仕組みが必要になります。同様に、データ、アプリケーション、エンドポイント、ネットワークの各セキュリティーレイヤーに、オンプレミスとクラウド全体をカバーする対策検討を行います。セキュリティ機能のサイロ化・分散化が前提となるハイブリッドクラウド環境では、「どこで束ねて、どのように相互連携させるのか」がアーキテクチャ上の課題であり、組織に応じた対策が求められるポイントと考えられます。

図：ハイブリッドクラウドにおけるセキュリティー機能マッピングイメージ

また、クラウドセキュリティーにおいては、通信が行われるデータプレーンだけではなく、コントロールプレーンについてもセキュリティーを確保しなければなりません。データプレーンと同じかそれ以上に、コントロールプレーンの保護を行う必要があり、ここでもゼロトラストの検討が有効です。クラウドサービスでは様々なセキュリティー機能がネイティブで提供されているため、これらを有効活用することが対策の近道です。ネイティブコントロールとサードパーティーのセキュリティーツールを組み合わせて、コスト対効果の高い対策をスタック全体に渡って合理化し、適用することが、効果的な対策強化に繋がります。

図：ゼロトラストにおけるネイティブコントロールセキュリティーの活用

クラウドサービスプロバイダーが提供するネイティブのセキュリティー機能を有効活用することに加え、不足箇所の補完としてサードパーティー製品のセキュリティーツールを組み込むことを検討することをお勧めします。ネイティブ機能だけでセキュリティーを確保することは難しいのと同じく、後付けのサードパーティー製品だけ導入しても十分ではありません。両者を相補的に用いるともに、特に、IAM、アセット管理、SIEM/SOARのような、「クラウド横断・組織横断」でのコンテキスト把握、インサイト収集、自動化に寄与するコントロールを実装し、統合・連携を目指すことが、ゼロトラスト・アーキテクチャーでは益々重要になってくると考えられます。

ゼロトラスト＆クラウドジャーニーに向けた戦略

ゼロトラストを謳うセキュリティー・ソリューションが巷に溢れている現状では、ユーザーは多くの選択肢の中から自組織に有効な方策を選ぶことに苦慮しているのが実状です。そこで重要になってくるのは、個別の対策実装から着手せずに、何のセキュリティー課題を解決し、どのようにしてビジネスに寄与することができるのか、というハイレベルな視点からスタートすることです。ゼロトラスト実現のための施策の優先度を定めるとともに、ゼロトラスト・セキュリティー機能を段階的に拡張し、相互連結させていくための組織特性に応じた青写真が必須となります。

図：ゼロトラスト・クラウドセキュリティーロードマップ（例）

当然ですが、全てのセキュリティードメインにゼロトラストを適用する必要はありません。リスクドリブンで適用領域を定め、段階的に成熟度を高めることが推奨されるアプローチです。ゼロトラストはクラウド・ジャーニーと同じく、中長期的な戦略とアプローチを必要とするため、まずはクラウドセキュリティーとゼロトラスト戦略の検討から始めて全体的な方針を整理することをお勧めします。無論、多くの組織においてクラウドの共通的な課題解決に寄与する最新ソリューション事例を参考にすることは検討の第一歩として有用ですが、やはり自組織のリスクと課題に着目したゼロトラスト戦略とアーキテクチャーを定義することが、最終的な目標達成に繋がると考えられます。

アーキテクチャーのモダナイゼーションと整合するセキュリティーを組み込む、クラウドネイティブ技術をセキュリティー領域に活用して高度な自動化に取り組む等、クラウドジャーニーのセキュリティー検討の一環として、ゼロトラスト・セキュリティーに取り組むことは、非常に良いタイミングです。また、既にリモートアクセスでゼロトラストに取り組んでいる組織においては、適用領域の更なる拡張について検討していくことで、投資対効果の高いセキュリティー対策を実現することができるでしょう。

最後に

IBM Securityでは、ハイブリッドクラウド保護のためのゼロトラスト・セキュリティーをはじめ、様々なユースケースを想定したお客様のゼロトラスト・セキュリティー促進を支援しています。

戦略検討やリスク評価等のアドバイザリーサービスから、ハイブリッドクラウドの保護/検知/対応ソリューションの提供まで、お客様のゼロトラスト・ジャーニーに纏わるクラウドセキュリティーサービスをご提供します。

 

【著者情報】