ゼロトラスト

進化するアクセス制御：アイデンティティ認識型プロキシとは

- ユーザとアプリケーションの安全な架け橋近年、働く場所を選ばない柔軟な働き方が広がり、社外から会社のシステムやデータにアクセスする機会が増えています。従来のセキュリティ対策は、社内ネットワークと外部ネットワークの境界線を守ることに重点が置かれていました。しかし、場所を問わずアクセスが可能な現代において、この境界線は曖昧になりつつあり、従来の方法は十分な効果を発揮できないケースが増えています。そこで注目されているのが、ユーザとアプリケーションの間に立つ「アイデンティティ認識型プロキシ（IAP）」という仕組みです。IAPは、ユーザが「どこからアクセスしているか」ではなく、「誰であるか」を厳密に確認することで、安全なアクセスを実現します。具体的には、ユーザがアプリケーションにアクセスするたびに、IAPはユーザ認証を行います。さらに、アクセス権限を持つ正当なユーザかどうか、アクセスしようとしている情報へのアクセス許可を持っているかなどを都度確認します。許可されていないアクセスは断固として遮断することで、不正アクセスや情報漏洩のリスクを大幅に減らすことができます。このように、IAPは変化する働き方に対応した、柔軟かつ強固なセキュリティ対策として、多くの企業で導入が進んでいます。

セキュリティ強化

特権アクセスワークステーション(PAW)でセキュリティ強化

- 重要なシステムを守るPAWとは企業のシステムにおいて、重要なデータへのアクセスやシステム設定の変更など、高い権限を必要とする操作を行うアカウントを「特権アカウント」と呼びます。これらのアカウントは、システム管理者やデータベース管理者など、限られたユーザーにのみ与えられます。特権アカウントは、システム全体を管理できる非常に強力な権限を持っているため、サイバー攻撃者にとって格好の標的となります。もし、特権アカウントが悪用されれば、機密データの漏洩やシステムの改ざんなど、企業にとって致命的な被害が発生する可能性があります。このような脅威からシステムを守る有効な手段の一つとして、「特権アクセスワークステーション(PAW Privileged Access Workstation)」があります。 PAWとは、特権アカウントの利用のみを目的とした、強固にセキュリティ対策が施された専用のワークステーションです。 PAWは、インターネットへの接続を制限したり、許可されていないソフトウェアのインストールを禁止したりするなど、一般的な業務用パソコンよりもはるかに厳格なセキュリティ設定がされています。また、アクセス制御やログ管理も強化されており、誰が、いつ、どのような操作を行ったかを詳細に記録することができます。重要なシステムへのアクセスをPAWからのみに限定することで、攻撃者が特権アカウントを悪用するリスクを大幅に減らすことができます。たとえ、攻撃者が業務用パソコンを乗っ取ったとしても、PAWにアクセスできなければ、重要なシステムへは到達できません。このように、PAWは企業の重要なシステムを守る上で非常に有効な手段と言えるでしょう。

セキュリティ強化

進化するセキュリティ対策：先進認証でアカウント保護

- 従来の認証方式の限界インターネットの普及とともに、様々なサービスがオンラインで利用できるようになり、私たちの生活はより便利になりました。これらのサービスを利用する際、ほとんどの場合で「ユーザーID」と「パスワード」による認証が求められます。これは、サービス提供者が利用者を識別し、正当なアクセスであることを確認するための仕組みとして、長くにわたり採用されてきました。しかし近年、従来のユーザーIDとパスワードによる認証方式だけでは、セキュリティを十分に確保することが難しくなってきています。その理由の一つに、フィッシング詐欺やパスワードリスト攻撃など、悪意のある第三者による攻撃の手口が巧妙化していることが挙げられます。また、セキュリティ意識の不足も深刻です。多くの利用者が、複数のサービスで同じパスワードを使い回してしまったり、誕生日や電話番号など、容易に推測できる安易なパスワードを設定してしまっているケースが後を絶ちません。このような状況では、たとえサービス提供側が強固なセキュリティ対策を講じていたとしても、利用者自身のセキュリティ意識が低ければ、不正アクセスを許してしまう可能性は高くなってしまいます。これらの背景から、従来のユーザーIDとパスワードだけに依存した認証方式には限界があり、より安全性の高い認証方式の導入が求められています。

認証

進化するセキュリティ対策：ZTNAでゼロトラストを実現

- 従来のセキュリティ対策の課題従来のセキュリティ対策では、会社のネットワーク内と外の境界を明確に区分けし、社内のネットワークに接続している従業員や機器は安全であるという前提で設計されていました。これは、社内ネットワークという城壁の内側だけを守備を固めればよかった時代の話です。しかし、近年では在宅勤務の普及や情報共有サービスの利用拡大により、従業員が会社のパソコンやスマートフォンをあらゆる場所で使うようになり、従来のような単純な境界線では守れない時代になりました。まるで、城壁の外に多くの拠点ができて、そこにも出入り自由になったようなものです。従来の城壁の内側だけを守るやり方では、すべての拠点を守ることはできません。この変化に対応するため、社内ネットワークに侵入された場合でも重要な情報へのアクセスを制限したり、複雑なアクセス権限の設定を簡素化したりするなど、新しいセキュリティ対策が求められています。従来の城壁の内側を守るだけでなく、城壁の外にも目を向け、従業員一人ひとりの行動や機器の状態を把握した上で、必要な防御を施す必要があるのです。

ネットワーク

時代遅れ？境界防御の限界とゼロトラスト

- 境界防御とは企業や組織にとって、情報を守り、安全に運用していくことは非常に重要です。そこで、従来から多くの企業が採用してきたセキュリティ対策の一つに「境界防御」があります。境界防御とは、組織のネットワークを城壁で囲まれた城に例え、外部からの侵入を防ぐ対策です。城壁の外には悪意のある攻撃者がおり、城壁の内側には守るべき重要な情報資産があるとイメージしてください。この城壁の役割を担うのが、VPNやファイアウォールといった技術です。VPNは、インターネットなどの公共のネットワークを安全に利用するための仮想的な専用回線のようなものです。ファイアウォールは、外部からの不正なアクセスを遮断する、いわば城門の役割を果たします。従来、社内ネットワークと外部ネットワークは明確に区別されており、境界防御は有効な手段として機能してきました。しかし、近年ではテレワークの普及やクラウドサービスの利用など、働く場所や情報資産の保管場所が多様化しています。そのため、従来の境界防御だけでは十分なセキュリティ対策とは言えなくなってきています。境界防御は重要なセキュリティ対策ではありますが、過信は禁物です。変化する状況に合わせて、多層的なセキュリティ対策を組み合わせることが重要となってきています。

ネットワーク

ゼロトラスト時代のセキュリティ対策：NIST SP800-207で学ぶ

- 従来の境界防御の限界インターネットの普及は、私たちの生活を大きく変えました。企業活動においても、その影響力は計り知れません。しかし、それと同時に、ネットワークの複雑化という新たな課題も浮上してきました。従来のセキュリティ対策は、社内ネットワークと外部ネットワークを明確に区別し、その境界にファイアウォールなどの防御壁を築くことで、外部からの侵入を防ぐことを主眼としてきました。しかし、この方法は、社内からの攻撃や、一度侵入を許してしまうと内部で被害が拡大してしまうリスクに対応できません。例えば、悪意のある第三者が、従業員の不注意を突いたフィッシング詐欺などで認証情報を盗み出し、社内ネットワークに侵入するケースが挙げられます。また、近年では、標的型攻撃のように、特定の組織を狙い、時間をかけて入念な準備を行う巧妙な攻撃も増加しています。このような攻撃に対して、従来の境界防御だけでは、万全な対策を講くことは難しいと言わざるを得ません。さらに、クラウドサービスの利用やモバイルデバイスの普及など、企業ネットワークの範囲は、従来のように明確に線引きすることが難しくなってきています。このような状況下では、境界そのものを明確にすることが困難であり、従来型の防御策は、その効果を発揮することが難しくなっていると言えるでしょう。

セキュリティ強化

ゼロトラスト: 新時代のセキュリティ対策

- 境界型セキュリティの限界従来のセキュリティ対策では、社内ネットワークと外部ネットワークの間に高い壁を作り、外部からの侵入を遮断する「境界型セキュリティ」が主流でした。これは、城を守る堅牢な城壁のようなイメージです。しかし、近年ではクラウドサービスの利用やリモートワークの普及が進み、従業員が社外から会社のデータにアクセスする機会が増加しています。そのため、従来のように社内と社外の境界を明確に区別することが困難になりつつあります。境界型セキュリティは、城壁の外からの侵入を防ぐことには効果的ですが、内部からの攻撃や、一度侵入を許してしまった場合の対策は十分ではありません。クラウドサービス利用時における不正アクセスや、悪意のあるメールによるウイルス感染など、境界線を越えて侵入してくる脅威が増加している現在、境界型セキュリティだけでは、組織の大切な情報を守り切ることが難しくなってきています。このため、近年では、アクセスする場所やデバイスに関わらず、ユーザーやデータそのを検証し、適切なアクセス権限を付与する「ゼロトラストセキュリティ」と呼ばれる新しい概念が注目されています。ゼロトラストセキュリティは、境界型セキュリティの限界を克服し、変化し続ける脅威から組織を守るための重要な考え方と言えるでしょう。

セキュリティ強化

ゼロトラストで変わる情報セキュリティ

- 信頼から検証へ従来の企業における情報セキュリティ対策は、社内ネットワークのような、いわば会社の敷地内は安全な場所とみなして、外部からのアクセスを制限することに重点を置いていました。しかし、近年ではクラウドサービスの利用やリモートワークの普及により、社内と社外の境界線が曖昧になってきています。このような状況下では、従来型の境界防御型のセキュリティ対策では、十分な効果を期待することが難しくなっています。そこで登場したのが『ゼロトラスト』という考え方です。ゼロトラストは、従来のように場所やデバイスによって接続の可否を決めるのではなく、あらゆるアクセスを信頼せず、常に検証を行うという概念です。具体的には、接続元が社内ネットワークであろうと、社外ネットワークであろうと、あるいは利用端末が会社支給のPCであろうと、個人のスマートフォンであろうと、アクセスする度に本人確認やアクセス権の確認を行い、正当なアクセスのみを許可します。ゼロトラストを実現するためには、従来型のセキュリティ対策に加えて、多要素認証やアクセス制御、ログ分析などの技術を組み合わせることが重要になります。ゼロトラストは、変化の激しい現代のビジネス環境において、情報セキュリティを確保するための重要な考え方と言えるでしょう。

セキュリティ強化

セキュアWebゲートウェイで高まるセキュリティ

- セキュアWebゲートウェイとはインターネットの利用が当たり前のようになった現代において、企業にとって、不正アクセスやウイルス感染といった脅威から大切な情報資産を守ることは非常に重要です。そのための対策として、社内ネットワークと外部ネットワークの間に設置され、通信の監視や制御を行う「セキュアWebゲートウェイ（SWG）」が注目されています。セキュアWebゲートウェイは、インターネットへの出入り口に立つ門番のような役割を担います。従業員がWebサイトを閲覧したり、メールを送受信したりする際、すべての通信データがこの門番を通過します。セキュアWebゲートウェイは、通過するデータをチェックし、ウイルスや不正アクセスなどの脅威を検知すると、その通信を遮断し、社内ネットワークへの侵入を防ぎます。従来、セキュアWebゲートウェイは、自社のサーバーにソフトウェアをインストールして運用する、いわゆるオンプレミス型が主流でした。しかし近年では、インターネット上でサービスとして提供されるクラウド型のセキュアWebゲートウェイも普及してきています。クラウド型は、初期費用を抑えられ、導入や運用の手間も少ないというメリットがあるため、中小企業を中心に導入が進んでいます。このように、セキュアWebゲートウェイは、企業の規模やニーズに合わせて、様々な形態で導入することができます。セキュリティ対策の基本となるシステムと言えるでしょう。

ネットワーク

進化するセキュリティ対策：CARTAのススメ

- 境界型セキュリティの限界-# 境界型セキュリティの限界従来の情報保護の考え方は、城壁を築くように外部からの侵入を遮断する「境界型セキュリティ」が主流でした。社内ネットワークと外部との間に強固な防御壁を構築することで、情報漏えいや不正アクセスを防いできました。しかし、近年におけるクラウドサービスの普及やモバイルワークの増加は、従来の境界線を曖昧にする要因となっています。従業員が社外から業務システムにアクセスしたり、私物の端末を業務に使用したりする機会が増え、従来の境界型セキュリティだけでは対応が難しくなっています。これまでの境界型セキュリティは、社内ネットワークに接続してくる端末やユーザーを信頼し、外部からのアクセスのみを制限していました。しかし、標的型攻撃のように、一度侵入を許してしまうと内部からの攻撃を許してしまう可能性があります。境界型セキュリティは、あくまでも入り口を固める対策であり、侵入を完全に防ぐことはできません。そこで、境界型セキュリティの限界を克服するために注目されているのが、「ゼロトラスト」という考え方です。ゼロトラストとは、全てのアクセスを信頼せず検証するという概念です。ユーザーや端末、アクセス元のアプリケーションなどに関係なく、常に認証と認可を厳格に行うことで、たとえ侵入を許したとしても被害を最小限に抑えることができます。境界型セキュリティは依然として重要なセキュリティ対策の一つですが、その限界を理解し、ゼロトラストなどの新たな概念を取り入れていくことが重要です。

セキュリティ強化

セキュリティ対策の切り札：マイクロセグメンテーションとは

- 現代のセキュリティ対策における課題現代社会において、情報システムは日々進化を遂げ、大規模かつ複雑な構造を持つようになっています。企業のネットワークも、その規模は拡大の一途を辿り、もはや従来型の、境界線を守るだけの防御策では、その安全性を完全に保証することが難しくなってきています。従来の境界型防御は、例えるならば、城壁の外に敵が侵入するのを防ぐことに主眼を置いていました。しかし、現代の情報社会においては、侵入経路は多岐にわたり、高度な技術を持った攻撃者が、まるで城壁をすり抜けるように、ネットワーク内部へ侵入してしまう可能性も否定できません。もし、万が一、侵入を許してしまった場合、被害は瞬く間に組織全体に広がり、企業活動に深刻な影響を与える可能性も孕んでいます。顧客情報の流出や、システムの麻痺など、その被害は計り知れません。このような脅威から組織を守るためには、従来の城壁のような、境界を守るだけの防御に加え、城壁の内側にも複数の防御ラインを設ける、多層的な防御策が重要となります。侵入を完全に防ぐことは不可能であるという前提に立ち、たとえ一部が突破されてしまったとしても、被害を最小限に食い止めるための備えが必要不可欠なのです。

ネットワーク

マイクロセグメンテーション：ネットワークセキュリティの強化策

- はじめにと題して現代社会において、情報セキュリティは、企業が事業を継続していく上で、もはや欠かせない要素の一つとなっています。日々、高度化・巧妙化するサイバー攻撃の脅威から、顧客情報や企業秘密といった重要な情報資産を保護するためには、従来の、境界線を築いて守るという発想の防御策に加えて、ネットワークの内部から発生する攻撃にも備えることができる、多層的なセキュリティ対策が必要不可欠です。このような背景から、近年注目を集めているセキュリティ対策の一つに、「マイクロセグメンテーション」という概念があります。これは、ネットワークを細かく分割し、それぞれに異なるセキュリティポリシーを適用することで、仮に一部のセグメントが攻撃を受けたとしても、被害をそのセグメント内に封じ込め、他のセグメントへの影響を最小限に抑えることを目的とした対策です。

ネットワーク

これからのセキュリティ対策の鍵！IDaaSとは？

- IDaaSの概要IDaaSは、「Identity as a Service」の略称で、ID認証やアクセス管理といった機能をクラウド上で一括して提供するサービスです。近年、企業のシステム環境が複雑化する中で、重要なセキュリティ対策の一つとして注目されています。従来のID管理システムは、自社でサーバーやソフトウェアを用意し、構築・運用する必要がありました。しかし、IDaaSはクラウドサービスとして提供されるため、自社で設備を持つ必要がなく、導入や運用にかかる負担を軽減できるというメリットがあります。また、IDaaSはクラウドサービスとの親和性が高いことも特徴です。多くの企業が様々なクラウドサービスを利用する中で、IDaaSを利用することで、異なるサービスへのアクセスを一元管理できるようになり、セキュリティレベルの向上と利便性の向上が見込めます。さらに、IDaaSでは、多要素認証やシングルサインオンといった高度なセキュリティ機能も利用できます。従来のID管理システムでは導入が難しかった機能も、IDaaSであれば容易に導入できるケースが多く、強固なセキュリティ対策を効率的に実現できる点も大きな魅力です。

認証

SDP：進化するネットワークセキュリティ

- 境界防御の限界従来のネットワークセキュリティは、城と城壁の関係のように、外部からの侵入を堅牢な防御壁で防ぐことに重点を置いてきました。しかし、近年におけるクラウドサービスの普及やリモートワークの増加は、これまで明確だった組織と外部との境界線を曖昧なものにしてしまいました。社内ネットワークに接続されていない端末や、場所にとらわれずに働く人が増える一方で、従来型の境界防御では、ひとたび侵入を許してしまうと、その後の侵入者の発見や行動の制限が困難になるという課題が浮き彫りになってきました。これは、城壁の外で戦うことを前提とした防衛戦略では、城壁の内側に入り込まれてしまうと効果が薄れてしまうのと似ています。現代のサイバー攻撃は、巧妙化・複雑化しており、従来の境界防御だけでは、あらゆる攻撃を防ぎきることは困難になりつつあります。そこで重要になるのが、境界防御だけに頼らない、多層的なセキュリティ対策です。侵入されることを前提とした上で、仮に侵入を許してしまった場合でも被害を最小限に抑える仕組みづくりが重要となります。

ネットワーク

これからのセキュリティの要！SASEとは？

- SASEの概要近年、働く場所や使う端末が多様化し、従来のオフィス中心のネットワーク構成では、セキュリティ対策が難しくなってきています。以前は、会社のネットワーク内部は安全な場所と考え、外部からの侵入を防ぐことに重点を置いていました。しかし、クラウドサービスの利用や自宅など会社以外の場所での仕事が増えたことで、この考え方が通用しなくなってきました。そこで登場したのがSASE（サッシー）です。これは、「Secure Access Service Edge」の略で、2019年8月にガートナーという調査会社によって提唱された、新しいセキュリティの考え方です。SASEは、利用者がどこでどんな端末を使っていても、安全に会社のデータやシステムにアクセスできるようにすることを目指しています。従来のセキュリティ対策では、会社のネットワークの出入り口にセキュリティ対策機器を設置して、外部からの侵入を防いでいました。しかし、SASEでは、利用者一人ひとりのアクセス状況に応じて、必要なセキュリティ対策を必要な時にだけ適用するという方法をとります。例えば、利用者が危険性の高いウェブサイトにアクセスしようとした場合には、アクセスをブロックしたり、警告を表示したりします。また、利用者が重要なデータにアクセスしようとした場合には、本人確認を強化したり、アクセスログを記録したりします。このように、SASEは、従来のセキュリティ対策ではカバーしきれなかった、様々な場所や端末からのアクセスに対して、柔軟かつ効果的なセキュリティ対策を提供することができます。

クラウド

進化するID管理：IDaaSでセキュリティと利便性を両立

- IDaaSとはIDaaSは「Identity as a Service」の短縮形で、利用者の本人確認やアクセス権の管理をインターネットを通じて提供するサービスです。従来の組織内だけに構築されたシステムでの本人確認やアクセス管理とは異なり、近年普及が進むインターネット上の様々なサービスやソフトウェアの利用に適した仕組みです。組織ではこれまで、従業員一人ひとりに社内システムを利用するためのアカウントを発行し、システムへのアクセス権を設定するのが一般的でした。しかし、近年多くの組織で業務効率化やコスト削減のためにインターネット経由で利用できるサービスやソフトウェアを導入するケースが増えています。それに伴い、従来の組織内システムとは別に、それぞれのサービスやソフトウェアごとにアカウントを発行し、アクセス権を設定する必要があり、管理の負担増加が課題となっています。IDaaSを利用すれば、組織は従業員のアカウントを一元管理し、利用するサービスやソフトウェアへのアクセスを一括で制御できます。このため、管理者の負担を軽減できるだけでなく、従業員にとっても、サービスやソフトウェアを利用するたびにIDやパスワードを入力する手間が省けます。近年、多くの組織でインターネット経由で利用できる様々なサービスが利用されるようになり、IDaaSはますます注目を集めています。IDaaSは、セキュリティの強化と利便性の向上を両立できる、これからの時代に不可欠なサービスと言えるでしょう。

クラウド