第40回

ゼロトラストの基礎知識｜
失敗しない進め方と実践のポイント

「ゼロトラスト」という言葉を、社内の会議やセキュリティベンダーの提案資料で目にする機会が増えてきたのではないでしょうか。

一方で、言葉だけが先行し「結局何をすればよいのか」がつかみにくいという声も少なくありません。

この記事では、ゼロトラストの基本的な考え方を整理したうえで、企業が導入を進める際につまずきやすいポイントと、現実的な進め方を解説します。また、サテライトオフィスのゼロトラスト導入支援についてもご紹介していますのでぜひ最後までご覧ください。

この記事の要点

• ・ゼロトラストは製品名ではなく、社内外を問わずアクセスを都度確認するという考え方
• ・テレワークの定着・クラウド普及・攻撃の巧妙化により、境界型防御だけでは対応が難しくなっている
• ・ID・デバイス・ネットワーク・データ・可視化の5つの視点で整理すると取り組みやすい

ゼロトラストとは？基本の考え方

ゼロトラストの定義

ゼロトラストとは、社内か社外かを問わず、あらゆるアクセスを一度も信頼せずに、その都度確認するという考え方です。

「ゼロ」は、相手を最初から信頼しないという意味です。まず疑ってから確認する姿勢を表しています。

従来のセキュリティ対策は、社内ネットワークの内側を安全な場所とみなし、外側との境目にファイアウォールを置いて守るという考え方が中心でした。

この考え方は、社員が決まったオフィスで、決まった端末から、決まった社内システムにアクセスしていた時代には、うまく機能していました。

しかし、テレワークの定着やクラウドサービスの利用拡大によって、そもそも「社内」と「社外」を分けること自体が難しくなっています。

たとえば、自宅のインターネット回線からクラウド型の勤怠管理システムにアクセスする場面を思い浮かべてみてください。

このとき、通信は一度も社内ネットワークを通らないため、境界だけを守るやり方では対応できません。

ゼロトラストでは、社内にいるかどうかではなく、「誰が」「どの端末で」「何にアクセスしようとしているか」を毎回確認するという発想になります。

オフィスの入退室管理にたとえると、一度入館証を発行したら自由に出入りできる仕組みではなく、部屋に入るたびに毎回カードリーダーで確認する仕組みに近いといえます。

境界型防御との違い

従来の境界型防御とゼロトラストの違いを整理すると、次のようになります。

この表からも分かるように、ゼロトラストは境界型防御をすべて置き換えるものではありません。守る場所を「境界」から「アクセスする相手や端末」に移す考え方だと捉えると分かりやすくなります。

ゼロトラストが求められる理由

• ・テレワークやハイブリッドワークの定着
• ・クラウドサービスの普及
• ・サイバー攻撃の手口の巧妙化

テレワークやハイブリッドワークが定着し、社員は自宅やカフェ、出張先などさまざまな場所から業務システムにアクセスするようになりました。

同時に、メールやファイル共有、勤怠管理、営業支援といった業務の土台となるシステムの多くがクラウド上で動くようになり、データやアクセス経路が社内ネットワークの外に広がっています。

さらに、フィッシングメールなどで社員のIDやパスワードを盗み取り、本人になりすまして侵入する手口も増えています。

こうした変化が重なった結果、社内ネットワークという「安全な内側」の前提そのものが崩れ、境界を守るだけでは十分な防御にならなくなっています。

どちらのデータも、正規のIDやアクセス経路を悪用される脅威が上位を占め続けていることを示しています。

こうした攻撃の多くは、一度社内に侵入されると、そこから自由に動き回れてしまう仕組みを悪用しています。

だからこそ、ゼロトラストの考え方が対策として求められています。

IIJの調査結果からは、必要性の認識はすでに広がっているものの、実際の対応は部分的にとどまっている企業が多いことも読み取れます。

同じ調査では、進めるうえでの課題として「専門知識を持つ人が足りない」「コストがかかる」という声が多く挙がっていました。

限られた人数や予算の中で、何から手をつけるか悩んでいる情報システム部門が多いようです。

完璧を目指して立ち止まるよりも、優先度の高いところから少しずつ進めるほうが、結果的にうまくいきやすいといえます。

情報漏洩が一度起きると、対応にかかる費用だけでなく、取引先や顧客からの信頼を取り戻すまでに長い時間がかかります。

その意味でも、ゼロトラストへの取り組みは、IT部門だけの作業ではなく、会社全体の経営課題として捉える必要があります。

ゼロトラストの5つの視点

この5つの視点は、それぞれ単独で導入するのではなく、組み合わせて初めて効果が出る点を覚えておきましょう。

なかでも取り組みの起点になりやすいのが、ID・認証の整備です。

誰が何にアクセスできるかという土台があいまいなままでは、他の対策を積み重ねても効果が半分になってしまいます。

多要素認証は、パスワードに加えてスマートフォンアプリでの確認や指紋・顔認証などを組み合わせる仕組みです。

パスワードが漏れた場合でも、不正なログインを防ぎやすくなります。

また、必要な人に必要な分だけ権限を渡す「最小権限の原則」も大切な考え方です。

退職した人や異動した人のアカウントに、古い権限が残ったままになっているケースは、決して珍しくありません。

こうした権限の見直しは地味な作業ですが、ゼロトラストの土台を固めるうえで欠かせない工程です。

• ・デバイス：私物のスマートフォンや、更新プログラム（アップデート）が入っていない古いパソコンからのアクセスをどう扱うかがポイント
• ・ネットワーク：VPNに代わりZTNAを使うと、万が一アカウントが乗っ取られても被害を一部にとどめやすい
• ・データ：部署をまたぐ共有フォルダの過剰な権限設定を見直すだけでもリスクは大きく下がる
• ・可視化・分析：ログを日常的にチェックする体制まで作っておくことが、効果のあるゼロトラストにつながる

対策を導入して終わりにせず、日々の運用まで含めて設計しておくことが大切です。

関連記事：Google Workspaceシングルサインオン（SSO）の設定ステップと運用のコツを解説

ゼロトラスト導入の4つの落とし穴

まずはこの表で全体像をつかみ、自社に当てはまる項目から詳しく見ていくとよいでしょう。

落とし穴1：経営層の理解が得られない

情報システム部門としては必要性を強く感じていても、経営層にはコストの話としてしか伝わらず、予算の優先順位が上がらないというケースが多く見られます。

ゼロトラストを「コスト」ではなく「事業を止めないための備え」として説明すると効果的です。

情報漏洩やシステムの停止が、取引先との契約や会社の信用にどう影響するかという視点で話すと、経営層の反応が変わることがあります。

落とし穴2：全社一斉導入で現場が疲弊する

ゼロトラストで見直す範囲は、ID、端末、ネットワーク、データ、クラウドサービスなど多岐にわたります。

すべてを同時に見直そうとすると、現場の負担が一気に増え、混乱を招きかねません。

実務としては、まず自社が持っているID・端末・システムの現状を洗い出し、リスクの大きいところから着手するほうが現実的です。

落とし穴3：製品がばらばらで運用が複雑になる

複数のセキュリティ製品を個別に導入した結果、それぞれの製品が別々の画面やログを持ち、運用が複雑になってしまうケースもよくあります。

異常が起きたときに状況を把握するまでに時間がかかり、かえって対応が遅れる原因になります。

すでに使っているGoogle WorkspaceやMicrosoft 365といった基盤とどこまで連携できるかを軸に製品を選ぶと、運用の負担を抑えやすくなります。

落とし穴4：対応できる人材が足りない

先ほど紹介したIIJの調査でも、専門人材の不足が大きな課題として挙げられていました。

情報システム部門が少人数、または兼任という会社では、この壁を特に高く感じます。

この場合は、すべてを自社だけで抱え込まず、設計や製品選びの部分だけでも外部の力を借りるという判断が有効です。

実際、オフィスでもリモート環境でも使われているChromeブラウザを起点に、比較的取り組みやすい形でゼロトラストを実現できる製品も登場しています。

既存のID基盤と組み合わせて少しずつ導入できる仕組みであれば、大きなシステムの入れ替えをせずに一歩を踏み出しやすくなります。

ゼロトラスト導入の5ステップ

• ・ステップ1：使っているID・端末・クラウドサービスの現状を洗い出す
• ・ステップ2：重要な情報や業務システムから優先順位をつける
• ・ステップ3：多要素認証やシングルサインオンなど、ID基盤を強化する
• ・ステップ4：端末やブラウザ単位でのアクセス制御を導入し、社内外を問わず同じ基準で確認する仕組みを整える
• ・ステップ5：ログを一元的に見て、定期的に運用状況を見直す

一足飛びにすべてをやろうとせず、優先度の高いところから着実に積み上げていく姿勢が、結果的に定着への近道になります。

• ・ステップ1では、部署ごとに契約して情報システム部門の目が届いていないサービス（いわゆるシャドーIT）の洗い出しも一緒に行っておく
• ・ステップ2では、顧客情報や財務情報など影響が大きいシステムから優先度をつける
• ・ステップ4は、専用ソフトを全端末に配布しなくても、普段使うChromeブラウザの機能を広げる形で実現できる製品もある
• ・アクセス制御が厳しくなると現場の仕事のやり方に影響が出ることもあるため、事前に理由や目的を共有しておく

こうした選択肢も含め、自社に合った進め方を専門家と一緒に検討するのも一つの方法です。

なお、ゼロトラストの実現には、半年から1年、場合によってはそれ以上の期間がかかることも珍しくありません。

短期間で完成させることを目指すのではなく、少しずつ改善していくものだと捉えておくことが、無理のない運用につながります。

サテライトオフィスのGoogleゼロトラスト導入ソリューション

Google Workspaceによるアカウント管理と、Chrome Enterprise Premiumによる端末・ブラウザのセキュリティ管理を組み合わせることで、社内外を問わずアクセスを確認するゼロトラストの土台を整えやすくなります。

Google Cloudプレミアパートナーとして、既存のGoogle Workspace環境を生かしたライセンス構成の提案から、導入後のサポートまで一貫して相談できます。

サテライトオフィスのGoogleゼロトラスト導入ソリューション（Chrome Enterprise Premium）の詳細はこちら

関連記事：Chrome Enterprise Premiumで高度なセキュリティを実現｜機能・価格

ゼロトラストのよくある質問

中小規模の企業でもゼロトラストは必要ですか

クラウドサービスやテレワークを使っている時点で、会社の規模を問わず境界型防御の前提はすでに崩れているため、関係のない話とは言い切れません。

ただし、大企業と同じ範囲を一度に整える必要はなく、多要素認証の導入など、影響範囲が広く着手しやすい部分から始めるという考え方が現実的です。

導入にはどのくらいの費用がかかりますか

対象とする範囲や、今使っているシステムによって幅が大きく、一概にいくらとお伝えすることは難しいのが実情です。

すでに契約しているGoogle WorkspaceやMicrosoft 365の機能で対応できる部分と、新たな投資が必要な部分を分けて見積もることで、無理のない予算計画を立てやすくなります。

結局、何から始めればよいのですか

この記事で紹介した5つの視点のうち、まずはID・認証の整備から着手する企業が多い傾向にあります。

多要素認証やシングルサインオン（SSO）は、今使っているクラウドサービスの設定変更だけで対応できる場合も多く、比較的取り組みやすい領域です。

自社の現状把握に不安がある場合は、無理に一人で抱え込まず、外部の専門家に現状診断だけでも相談してみるという方法もあります。

ゼロトラスト導入で社内外のアクセス確認を強化しよう

• ・ゼロトラストは製品名ではなく、社内外を問わずアクセスを確認し続けるという考え方です
• ・テレワークの定着やクラウド利用の拡大により、境界型の防御だけでは対応が難しくなっています
• ・ID・デバイス・ネットワーク・データ・可視化という5つの視点で整理すると取り組みやすくなります

まずは自社の現状を洗い出し、無理のない範囲から少しずつ進めていくことが、着実な一歩につながります。

とはいえ、どこから手をつければよいか、自社にはどのような構成が合っているか、社内だけで判断するのは簡単ではありません。

サテライトオフィスでは、Google Cloudプレミアパートナーとしての知見を生かし、既存のGoogle Workspace環境を軸にしたゼロトラストの導入支援を行っています。

ID管理とデバイス管理を組み合わせた構成の提案から、導入後の運用サポートまで一貫して相談できる点も特長です。

サテライトオフィスのChrome Enterprise Premium（Googleゼロトラスト）導入支援の詳細はこちら

自社にとって現実的な進め方を知りたい方は、一度相談してみてはいかがでしょうか。

※プライバシーポリシはこちら