山下 克司 氏（山下技術開発事務所 代表）インタビュー

テレワーク・ワーケーションが普及するなか、「ゼロトラスト」というキーワードが注目されています。コロナ禍以前から先端的な組織では取り組みが進んでいたゼロトラストですが、その有効性や導入に関わる課題などについて理解を深めるよい機会をいただきましたので、山下様にお話しを伺いました。

山下克司 氏 プロフィール

• 山下技術開発事務所 代表
• 東京大学　理工学研究科大学院 産学連携テクニカルアドバイザー
• DENSO（株）　WEB開発室 技術顧問
• NTTコミュニケーションズ（株）　イノベーションセンター 技術顧問
• （株）日本電気 デジタルプラットフォーム事業 技術顧問
• （株）BFT　技術顧問

2020年までIBM Distinguished Engineer（顕著な技術功績により任命されるエンジニアの最高職）として活動し、クラウド技術のCTO技術理事（最高技術責任者）などの要職を歴任。現在は独立し大手技術系企業や通信事業を中心に高度な情報技術の支援事業を行う。産業分野ではコネクテッドカーのアーキテクチャやFAにおける品質情報基盤とIT/OT統合など、コミュニケーション分野では5Gネットワークの多段MECのアプリケーションアーキテクチャなどさまざまな技術解決を企業に提供。アーキテクチャ構築、サービスプラットフォーム、自己主権型アイデンティティやゼロトラスト・アーキテクチャの研究にも取り組み、多くの技術セミナーに登壇。現在、多数の企業等の技術顧問を務める。

ゼロトラスト・アーキテクチャの概要

ゼロトラストとは簡単にいうとどのようなものでしょうか

ゼロトラストは、従来のファイアウォールやプロキシで守られている境界型の防御ではなく、企業が持っている情報資源をデータベースに登録しそれを正しく管理するということを基盤にしたシステム概念です。

情報へアクセスするその瞬間に相手は正しさについて、相手を信用しないで検査をしようという考え方がゼロトラストという考え方の基本になっています。

ゼロトラストが注目されている理由を教えてください

従来、ゼロトラストが注目されていた理由は境界型防御の要であるファイアウォールの運用が限界を迎えていたということに尽きると思います。サイバーセキュリティーの高度化が進む中、境界型の防御では対応できない攻撃やアンチウイルスソフトのパターンファイル更新等が適切に行われない環境に対しての攻撃に対応ができないということがありました。

こういう状況を背景に常に信用しないで検査をする、つまり常在戦場という考え方でインターネットにいる時と同じように社内でも検査をしていくというゼロトラストという考え方が広まってきました。

そこに、新型コロナウィルスによるパンデミックが起きてしまい、家から出られない・会社にいけないというような状況でインターネット上で働くという人たちが非常に多く増え、従来の境界型防御で運用されていたファイアウォールやVPNシステムがキャパシティ的にも運用的にも限界を迎えてしまいました。そこで、ゼロトラストと呼ばれるソリューションを導入する人が増えてきたのではと解釈しています。

ただし、リモートアクセスができればゼロトラストだという表現をする風潮があることは私は非常に危惧をしています。ゼロトラストにした結果、ある一つのメリットとしてリモートアクセス環境が安心安全なものになっていくということはあっても、そのためには社内システム全体がゼロトラストに対応していないといけない。ある一部分だけがリモートアクセスに対応したからといってゼロトラストになってる訳ではない、ということを強調しておきたいです。

ゼロトラストのメリットとデメリットは何でしょう

私自身はゼロトラストの導入についてメリット・デメリットという観点で考えたことがありません。

なぜかと言うと、「せざるを得ないことをするべくしてする」しかないからです。

前述の通り、ゼロトラストを導入しない境界型防御の対策では社内のシステムは非常に強い脅威にさらされるといったデメリットがあります。ゼロトラストを導入した場合、このデメリットが無くなるのですが、それはメリットではなくて安心安全を維持するためには実施する以外にはないことなのです。

しかしながら、皆が境界防御された社内は安心安全だと信じていれば、ユーザーの方々がゼロトラストについて明確に感じるメリットというものは無いかもしれません。ただ、ゼロトラストにより働き方が自由になるなどのことは表層的には起きますので、社内でしかできなかったことが自宅からあるいは出先のカフェからできるということはある一つのメリットだと感じられます。

一方、そのメリットと感じるものを実現するためには、ゼロトラストと言われてるいくつかのソリューションを入れなければいけないのでコストがかかります。これをデメリットと感じられる方がいらっしゃるかもしれません。

私としては、副次的な効果をメリットとは考えたくありません。　　　　　　　　　　　　　　　　　　　　　　　　　これらのことから、メリット・デメリットという表現は適さないのではないかと考えています。

ゼロトラスト・アーキテクチャの導入

ゼロトラストに取り組むために最初にやることは何ですか

最初にやるべきは、ユーザー情報管理に対してどのような方針で臨んでいくかということを定めることだと思います。

ユーザ管理のデータベースであるアイデンティティアクセスマネジメント（通称：IAM）というシステムをどのような方針で、つまり「何を」・「どのように守るために」このシステムを作るのかということの方針をしっかりと作って、その構築に道筋をつけるということが最も大事です。

境界防御の構成のままゼロトラストの導入を進めていくことは可能でしょうか

境界型防御として行われている脅威対策のうちの相当部分が現時点でも有効だと感じています。

即座に全部移行して境界をなくしてしまうのがゼロトラストのアプローチではありません。その境界防御の中にいながら端末管理や構成管理・ユーザ管理などを行うなどの準備を整えていくということはすごく大事なことです。導入が進むと必要なくなるものがいくつか出てきます。

例えば、プロキシという存在は要らないかもしれない、VPNっていう存在は要らないかもしれない、そういった必要ではないものが出てきたときに、ちゃんとそのエンジンを止めるということができるようにしなければいけません。

最終的にIDSとかIPSとかWAFみたいなものは決してなくならないと思いますし、CDN系のDDoS対策みたいなものも決してなくならないのではないでしょうか。

ゼロトラストの導入を進めることになったときに自社が持っているシステム・ネットワークというのをちゃんと認識をして、資産を守るためにやらなければいけないことはある程度変化しながら、ペリメータープロテクション（境界型防御）として残るところは出てくると思います。ですから、一気にゼロトラストになったからファイアウォールの運用がなくなるってことはないですね。

ゼロトラストの導入が完成した姿とはどのようなものでしょうか

セキュリティに関係するものについてはゴールというものはありません。

セキュリティというのは常に新しいものに対応しなければいけないので、どうしても追っかけっこになります。最終的なゴールと言える状態というのは無いと思います。

安心でいられるためには、追っかけっこをしている時にこちらが優位な状態で常にその先手を打てている状態になりたいわけです。その先手を打つにしても社員全員で先手を打ってるっていう状態になってるっていうのが望ましく、社員の意識がゼロトラスト的な状態になれば、まず一安心できるのかなと思います。

確実なゼロトラスト・アーキテクチャの導入のために

経営者が意識しておかなければいけないことはありますか

会社全体の取り組みであり、経営層からの支援は欠かせません。

まずセキュリティそのものが経営課題であるということは、政府・経済産業省ほかからも強く謳われています。経営陣はこれを理解していることが前提です。その課題を情報システム部門に丸投げではなく、経営者の方こそセキュリティの意識を持たないといけません。今事故が起きていないのは、情報システム部門は大変な苦労されてそつなくこなされているからと言うのを理解しないといけません。

メリットとかデメリットという観点ではなく、サイバーセキュリティに関して危険を認識していただき、そのリスクを経営としてどう対応するか考えていただく必要があります。例えば、分野外と感じていてもサイバーセキュリティに関するセミナー参加するとか、経営者の集まりなどでその啓蒙活動が行われるようにするべきだと感じます。

ゼロトラストの理解を深めるために良い書籍などがありますか？

ゼロトラストに関する資料や書籍はあまり多くはないのですが、

　１.ゼロトラストネットワーク

　２.NIST SP800-207

　３.BeyondCorp

を紹介しておきます。

書籍リンク等

１.
「ゼロトラストネットワーク」（出版：オライリージャパン）

２.
「Special Publication(SP)800-207」（出版：米国国立標準技術研究所）
日本語訳がPwCコンサルティング合同会社より公開されています。 公開サイト

３.
BeyondCorpに関連する論文 Google Scholarなどで入手可能

導入に失敗しないためにどうしたらよいですか

諦めないことです。導入は大変な長丁場です。

非常に大きなプロジェクトになって会社全体に影響します。サーバの中にまで手が入ることも多いです。

セミナーでは負荷分散装置についての変更事例を示しましたが比較的導入が容易な方であり、実際は認証認可のところを変更することが多くあります。認証認可を変更するということはアプリケーション側にRBAC（ロールベースアクセス制御）を導入するということに繋がってますので長期的な取り組みになると思います。

構築から時間が経ったシステムも対応するために改変が必要になりますので、困難は長期的に続くこともあります。
諦めずに挑戦し続けることが必要であり、それが失敗しないための条件となります。

お問合せ先

しまねソフト研究開発センター（担当：徳田）

TEL：0852-61-2225　Mail：itoc@s-itoc.jp