ゼロトラストは「全部やる」と失敗する？ ガートナーが示す成功への8ステップ

ゼロトラスト導入、最初の2ステップが成否を分ける

　フィッシングに代表されるサイバー攻撃の巧妙化やSaaS利用の広がりなどを背景に、企業ネットワークの内外の境界上で外部攻撃を防御する「境界型防御」では、もはや十分な防御を見込みにくくなっている。代わりに広がっているのが、あらゆるアクセスを信頼せず、毎回検証して必要最小限なアクセスのみを許可するセキュリティモデルの「ゼロトラスト」だ。

　「ただし、ゼロトラストの実現にはIDやデバイスの管理、ネットワーク制御、データ保護、継続監視など、多くの技術の正しい導入が必要です。実施までの道のりは決して平たんではない」と指摘するのは、ガートナーのシニア ディレクター、アナリストのラジプリート・カウル氏だ。

　その適切な導入は、言うまでもなくCISO（最高情報セキュリティ責任者）の責務の1つだ。そこでのあるべき展開法を、カウル氏は次の「8つのステップ」として提示する。

　最初のステップが「ゼロトラストを導入する理由の明確化」だ。ここで検討すべきなのは、ゼロトラストで何を最優先で保護するのか、そして法規制上の要件やネットワーク面で何が課題になるのか、という点だ。「いずれのプロジェクトにおいても、リーダーは現状把握から始めるべき。まずは自社固有の状況を正しく認識する必要があります」とカウル氏は話す。

　2つ目のステップになるのが「ビジネス目標とリスクの定義」である。前ステップの結果を事業目標に落とし込み、その達成に向けたセキュリティリスクを明確化する（図1）。


　リスクは外部攻撃だけでなく、内部の犯行なども含めて具体的に検討する。ここでの成果物が、その後の社内コミュニケーションで広く用いられることになるという。 【次ページ】ゼロトラストは「一気に完成」しない…数年計画をどう描く？