「三層の対策」の今後～ゼロトラストアーキテクチャ検討～（その1）
ゼロトラスト時代の幕開け
NECが官公庁向けDXソリューションとして、ゼロトラストアーキテクチャの具体的な検討を開始しました。これまでの「三層の対策」から、さらに一歩進んだセキュリティモデルの導入が求められています。
ゼロトラスト（Zero Trust）は「信頼せず、常に検証する」という原則で動作するセキュリティアーキテクチャです。従来のファイアウォールで守られた内部ネットワークは「安全」と見なされていましたが、クラウドの普及、リモートワークの増加、IoTデバイスの拡大により、ネットワークの境界は曖昧になっています。ゼロトラストの概念はNIST（米国標準技術研究所）が発行したNIST SP 800-207「Zero Trust Architecture」で体系化されており、世界各国の政府・企業のセキュリティ戦略の基盤となっています。
特にリモートワークの普及により、社外から企業内部ネットワークにアクセスするケースが増えました。従来のVPN中心のセキュリティモデルでは、アクセスした瞬間にネットワーク全体が「信頼済み」となる脆弱性がありました。ゼロトラストでは、アクセスするユーザーだけでなく、デバイスの状態、アクセスの時間、場所などの複数の要素を組み合わせて、都度セキュリティを検証します。
また、SaaSの普及もゼロトラスト推進の要因となっています。社内のシステムだけでなく、Gmail、Slack、Salesforceなどのクラウドサービスヘのアクセスも、セキュリティの守るべき範囲に含まれるようになりました。
三層の対策からの進化
日本の官公庁では従来、「三層の対策」というアプローチが取られてきました。しかし、サイバー攻撃の手口が高度化・多様化する中で、このモデルだけでは十分な防御が難しいケースも出てきました。
「三層の対策」とは、ファイアウォールによる境界防御、IPS（侵入防止システム）、アンチウイルスという三段構成のセキュリティモデルです。しかし、標的型攻撃や内部犯行による情報漏洩は防ぎきれないことが明らかになっています。
NECの技術評論では、ゼロトラストアーキテクチャ導入に向けた具体的な検討の必要性が指摘されています。常に全てのアクセスを検証し、ネットワーク内の横方向移動（ラテラルムーブメント）を制限するアプローチが、今後の官公庁セキュリティの標準になると予想されます。
実際のところ、先進国の政府機関ではすでにゼロトラストの採用が進んでいます。米国国防総省では「Zero Trust Architecture (ZTA)」を採用しており、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）もZero Trust Maturity Modelを公開して各機関の導入を支援しています。日本もこれに追随する形で官公庁への導入を進めている段階にあります。
導入における課題
ゼロトラストの全面導入には、いくつかのハードルがあります。第一に、既存のインフラストラクチャとの統合が必要です。多くの官公庁システムは、レガシーシステムを抱えながらも稼働しており、全面的な刷新には巨額の投資が必要です。
第二に、組織内の人材の育成が重要です。ゼロトラストアーキテクチャは、従来の境界型防御とは異なる運用知識を要求します。セキュリティ担当者向けの専門教育プログラムの整備が不可欠です。
第三に、ベンダー選定とガバナンス体制の構築があります。複数のセキュリティ製品を一元的に管理、運用する体制整備が課題となります。
第四に、ログ管理と分析体制の構築があげられます。ゼロトラストでは全てのアクセスを監視・記録するため、膨大なログデータを収集・分析する仕組みが必要です。SIEM（セキュリティ情報イベント管理）ツールの導入や、AIを活用した異常検知システムの構築が求められます。
今後の展望
官公庁を皮切りに、民間企業へのゼロトラスト普及が期待されます。特に、金融機関、医療、交通といった重要インフラ事業者では、早期導入の動きが加速するでしょう。
日本のセキュリティ産業は、国際的にも高い評価を受けています。官民挙げたゼロトラスト普及への取り組みは、「セキュリティ・イノベート」のような国際ブランドの形成にも貢献する可能性があります。
今後のサイバーセキュリティ人材の育成も重要な課題です。日本のセキュリティ人材不足は慢性化しており、教育段階からの強化が急務となっています。企業と大学の産学連携により、次世代のセキュリティ専門家を育成していく必要があります。
まとめ
NECによる官公庁向けゼロトラストアーキテクチャの検討開始は、日本のサイバーセキュリティ政策における重要なマイルストーンです。今後の展開に注目が集まります。