NECが官公庁向けにゼロトラストアーキテクチャの検討を進めている。従来、官公庁では「三層の対策」と呼ばれるネットワーク分離によるセキュリティ対策が主流だったが、テレワークの普及とクラウドサービスの利用拡大により、境界防御型のアプローチでは限界が見え始めている。この動きは官公庁だけでなく、民間企業のセキュリティ戦略にも大きな示唆を与える転換点となる。
分析・見解
年金機構事件を機に生まれた三層分離、10年で限界に
三層に分ける対策は、2015年に起きた日本年金機構の情報漏洩事件をきっかけに総務省が進めた仕組みだ。マイナンバーを扱う業務用のネットワーク、自治体間をつなぐLGWAN接続系、インターネットに接続するネットワークの3つを物理的に切り離すことで、情報を守ってきた。
しかし、この10年で仕事の環境は大きく変わった。クラウドサービスは欠かせない基盤になり、コロナ禍を経てテレワークが当たり前になった。職員が庁舎の外から安全にシステムを使う必要性は高まっている。
利便性と安全性のはざまで職員が抜け道を選ぶリスク
ネットワークを分けるやり方では、使いやすさと安全性がどうしても両立しにくい。ファイルを層と層の間で移す手続きは煩雑で、仕事の効率を大きく下げてしまう。結果として、職員が正式な手順を飛ばして非公式なやり方に頼ってしまう危険も生まれている。
「信頼せず常に確認する」原則とNEC参入で導入障壁低下
ゼロトラストへの移行は、「信頼するな、常に検証せよ」という原則のもと、使う人や端末を常に確認し、必要最小限の権限だけを与える考え方だ。NECのような大手ベンダーが官公庁向けの解決策に力を入れることで、導入の型が確立され、取り入れるハードルが下がる効果が期待できる。
段階的移行の設計が官公庁でのゼロトラスト成否を分ける
ただし、移行には慎重な計画が必要だ。既存システムとどう共存させるか、職員に求める確認の手間をどこまで許容するか、古いシステムへのアクセスをどう守るかなど、技術的な課題は多い。特に官公庁では一度に全システムを刷新するのは現実的でないため、段階を踏んだ移行の戦略が成否を分ける。
ビジネスへの影響
官公庁の安全基準はやがて金融・医療業界の指針になる
官公庁のゼロトラスト移行は、民間企業にとって重要な先行指標になる。官公庁向けに固まった安全対策の基準は、しばしば民間の業界標準にも影響を与える。金融機関や医療機関など高度な安全対策が求められる業界では、官公庁の動きを参考にガイドラインの整備が進むだろう。
官公庁向け製品は中小企業も使える価格帯へ広がる見込み
ベンダー各社が官公庁向けに開発したゼロトラスト製品は、やがて中小企業でも導入しやすい価格とパッケージで提供される可能性が高い。実際、クラウドサービスの多くは官公庁の要件を満たすために強化した安全機能を、後から民間向けにも展開してきた。
境界防御に頼る企業はまず段階的な取り組みから着手を
実務担当者は、この機会に自社のネットワークの仕組みを見直すべきだ。境界だけで守るやり方に頼っている場合、テレワークやクラウド活用が広がるほどリスクも拡大する。ゼロトラストは一朝一夕には実現できないが、利用者の身元管理の強化や端末の確認導入など、段階的に取り組める要素から始めることで、将来の移行をスムーズに進められる。