ゼロトラスト： 導入のための実践ガイド

ゼロトラストは、暗黙の信頼をなくすセキュリティモデルです。社内ネットワークの内側であっても、ユーザー、端末、システムを最初から信頼することはありません。すべてのアクセス要求を、アイデンティティ、端末、コンテキスト、振る舞いにもとづいて明示的に検証します。基本原則は「決して信頼せず、常に検証する」です（NIST SP 800-207）。

ゼロトラストアーキテクチャ（ZTA）は、NIST SP 800-207が定義する技術的な枠組みで、モデルを運用上の構成要素に分解します。Policy Engine（アクセスを許可するかを判断）、Policy Administrator（判断を実行）、Policy Enforcement Point（すべての要求に制御を適用）です。IDフェデレーション、多要素認証（MFA）、ネットワークのマイクロセグメンテーション、端末の信頼性評価、継続的なテレメトリを基盤とします。

ゼロトラストのフレームワークとは、アーキテクチャを実装するための原則、管理策、技術の組み合わせです。広く参照されているのは、NIST SP 800-207（アーキテクチャ）、CISA Zero Trust Maturity Model（アイデンティティ、デバイス、ネットワーク、アプリケーション、データの5つの柱）、Forrester ZTX、Gartner CARTAです。どれを選ぶかは、業界のガイドライン（金融分野であれば金融庁のガイドラインなど）と組織の成熟度によって異なります。

ゼロトラストの全領域を1社でカバーするベンダーはありません。導入は本質的にマルチベンダーです。柱ごとの主なベンダーは次のとおりです。アイデンティティ：Microsoft Entra ID、Okta、Ping Identity、CyberArk（PAM）。エンドポイント・デバイス：CrowdStrike、SentinelOne、Microsoft Defender。ネットワーク・ZTNA：Zscaler、Palo Alto Prisma Access、Cisco Duo。マイクロセグメンテーション：Illumio、Akamai Guardicore。データ・CASB：Netskope、Microsoft Purview。Fortgaleはベンダーに依存しない立場で、既存の構成要素を組み合わせ、必要な場合にのみ統合を行います。

ゼロトラストは単一の製品ではなく、アーキテクチャのモデルです。導入は段階的かつモジュール型で進められます。まずアイデンティティと多要素認証から始め、少しずつ範囲を広げます。Fortgaleは、現実的なロードマップで企業の規模を問わず支援します。

複雑さと出発点によって異なり、12〜36か月が目安です。導入は反復的に進みます。初期のフェーズ（資産の棚卸し、多要素認証、基本的なセグメンテーション）は最初の3〜6か月で効果を生み、後半のフェーズ（マイクロセグメンテーション、UEBA、自動化）で成熟度を高めます。

VPNは、一度認証されるとネットワーク全体へのアクセスを許可します。これこそゼロトラストがなくす暗黙の信頼です。ZTNAでは、許可された特定のアプリやリソースにだけ、毎回検証したうえでアクセスできます。VPNのアカウントが侵害されると、攻撃者はネットワーク全体を移動できます。ZTNAであれば、影響範囲は1つのリソースにとどまります。

ゼロトラストはクラウド時代のために生まれたモデルです。境界型のセキュリティと異なり、マルチクラウド、ハイブリッド、リモートワーク中心の環境に本来的に対応します。すべてのリソースを、アイデンティティ、端末、コンテキスト、振る舞いという同じ継続的な検証で保護します。

ベンダーに依存しないアプローチで支援します。セキュリティ態勢のアセスメント、ロードマップの策定、技術統合（IdP、EDR、CASB、SIEM、マイクロセグメンテーション）の支援、MDRとCTIによるアクセスの継続的な監視を行います。ライセンスは販売していません。お客様に最も適したアーキテクチャを設計します。