情報セキュリティ対策製品やツールの需要は相変わらず高い。日本国内の企業を狙ったサイバー攻撃やセキュリティ侵害の数が増える中で、どの企業も侵害を受けた経験や、ひやりとした経験の一つや二つはあるはずだ。企業の情報システム部門は、そうした被害に遭わないためにどのような製品で対策を打つべきか検討していることと思う。本稿では、情報セキュリティ対策製品を提供するベンダー側で長らくビジネスに携わってきた筆者の経験をもとに、セキュリティ業界特有のホラーストーリー仕立てのセールストークを排し、真にとるべき情報セキュリティ対策とは何か、今どきのテーマを取り上げたうえでその本質に迫っていく。
-
- Page 1
SASEを導入すれば対策は十分？
- 「境界型防御はもう時代遅れです。ゼロトラストをベースにした強固なアクセス制御型に早く移行しましょう」
- 「我が社のIDaaSを導入すれば、ゼロトラストのセキュリティモデルは完璧です」
- 「我が社のSASEを導入すれば、ゼロトラストのセキュリティモデルは完璧です」
どれも合っているようで合っていない。今回は、改めてゼロトラストの原点にさかのぼり、「ゼロトラストとは何か」について本質を理解したうえで企業、自治体などが自ら製品・サービスの検討ができるようになることを目指していきたい。
ゼロトラストの原点を振り返る
ゼロトラストの原点は、1994年にStephen Paul Marsh氏（以下、Marsh氏）が発表した学術論文『Formalising Trust as a Computational Concept（コンピュータによる信頼の定式化）』（1994）にある。
ここからは少し学術的な話になるが、ゼロトラストの本質を理解するためには避けては通れない部分なので、少々お付き合いいただきたい。
この論文が発表された1990年代は、メインフレーム中心からPCやクライアント/サーバー型システムへのダウンサイジングが急速に進行した転換期で、LAN、分散型システム、インターネット活用などが大きなトレンドになっていた。この時代のセキュリティモデルは境界防御型である。そんな中で発表されたMarsh氏のコンピュータによる信頼の定式化は、「信頼」を数理モデルで定義し、コンピュータシステム上で扱える概念に変換した。「信頼」を連続値で定めて、部分的かつ文脈依存的なものとして扱ったのである。
信頼度の定義（連続値）
信頼度 T は、区間 [0, 1] または [0, 100] の間の実数として表現される。ここで、最も単純な形式として [0, 1] を用いて解説する。
T(A,B,t) ∈ [0,1]
■T(A, B, t)：時刻 t において、エージェント A がエージェント B に対して抱く信頼度。
■T=0：完全な不信（Zero Trustの基点）
●T=1：完全な信頼
●0 < T < 1：部分的信頼
この連続値の考え方により、「信頼」が二元論ではないことが形式的に示されたことになる。
信頼度のコンテキスト依存性（動的な加算）
Marshモデルでは、信頼度 T は単なる時間 t だけでなく、特定の文脈 C にも依存する。これは、ある文脈（ex. メール閲覧）で信頼できるエージェントが、別の文脈（ex. 機密データのダウンロード）でも同じように信頼されるわけではないことを示している。信頼度を動的に決定するための基本形式は、エージェント B が過去に示した振る舞い（Performance）と、その重要度（Significance）に依存するということだ。
まず、文脈 C における A の B に対する初期信頼度を T
次に、この T
●T
■∑
：t までの過去 n 回の重要な相互作用（Interaction）の総和
■Performance
：i 回目の相互作用における B の実績（例: 成功≈+1、失敗≈-1）
■Significance：その相互作用の重要度（重み）
ゼロトラストの思想的基点（Zero Initial Trust）
Marsh氏の思想的な基点は、システムは原則として他者をゼロ（不信）から扱うべきという考え方にある。これを数式に落とし込むと、デフォルトの初期信頼度がゼロであるという条件の数式になる。
T
この時、エージェント A は、エージェント B が文脈 C で何らかのアクションを行う際に、必ず過去の実績や現在の認証情報などの証拠に基づいて ΔT がゼロより大きくなることを検証する必要がある。
真のゼロトラストとは、この T
少々難解になったが、ここまでをまとめるとポイントは以下のようになる。
- 「信頼」は固定されたものではなく、常に変化するグラデーションだということ
- その信頼度は誰が、いつ、どこで、何をするかという文脈（Context）によって刻々と変化するということ
- システムはデフォルト、ゼロ（不信）からスタートするということ
- コンピュータ環境では、「裏切り（Betrayal）」や「動機（Motivation）」といった人間的な要素はモデル化できない（未考慮とする）ことを前提に構築されているということ
この記事は参考になりましたか？
- 何かがおかしいセキュリティ連載記事一覧
-
- 最近よく聞く「ゼロトラスト」の謳い文句は鵜吞みにして大丈夫？原点に立ち返り、本質と目的を見...
- そのセキュリティ製品は自社にとって本当に必要か？真に対策すべきリスクを分析・把握する手順を...
- クラウドセキュリティ界隈の疑問──「クラウドの“設定ミス”」という表現は適切か？ 問題の本...
- この記事の著者
-
伊藤 吉也（イトウ ヨシナリ）
2022年より、米国本社の日本支社であるフォーティネットジャパン合同会社にて全国の自治体、教育委員会向けビジネスの総括を担当。専門領域は、IPAの詳細リスク分析＋EDC法による対策策定。ISC2認定 CISSP、総務省 地域情報化アドバイザー、文部科学省 学校DX戦略アドバイザー、デジタル庁 デジタ...
※プロフィールは、執筆時点、または直近の記事の寄稿時点での内容です
この記事は参考になりましたか？
この記事をシェア
