「ゼロトラストが重要らしいけど、正直よく分からない」
「1人情シスでそんなことまで手が回らない…」
このように感じていませんか？
最近はセキュリティ対策としてゼロトラストが注目されていますが、多くの解説は大企業前提で、1人情シスには現実的でない内容も少なくありません。
一方で、
- ランサムウェアの増加
- テレワークの普及
- クラウド利用の拡大
といった背景から、企業規模に関係なくセキュリティ対策の見直しは避けて通れない状況です。
とはいえ、1人情シスの限られたリソースの中で「何から始めればいいのか分からない」というのが本音ではないでしょうか。
本記事では、以下を解説します。
結論として、1人情シスにおけるゼロトラストは 「全部やる」のではなく「できるところからやる」ことが重要です。ゼロトラスト対策を進めている大企業であっても、完璧にはできておらず、サイバー攻撃を受けてしまっている企業もあります。
難しく考える必要はありません。まずは現実的な一歩から始めていきましょう。
そもそもゼロトラストとは？1人情シス向けにわかりやすく解説
ゼロトラストとは、「何も信頼せず、すべてを検証する」セキュリティの考え方です。
従来のように「社内だから安全」とは考えず、社内・社外を問わず、すべてのアクセスを疑う前提で対策を行います。
少し極端に聞こえるかもしれませんが、これは現代のIT環境では非常に合理的な考え方です。
ゼロトラストの基本概念
従来のセキュリティは、いわゆる「境界型」と呼ばれるものでした。
上記を前提に、VPNやファイアウォールを使って「内と外」をしっかり分ける設計です。
しかしゼロトラストでは、この前提を捨てます。従来の境界型セキュリティでは守りきれなくなってきたためです。
例えば、以下のようなケースです。
このような状況では、「社内＝安全」という前提が崩れます。
また「社内に入れさえすれば、なんでもできる」状態では、入られた瞬間からたくさんのデータや通信の安全性が失われてしまうでしょう。
ゼロトラストではこういったことを防ぐために、「社内にいても信用しない」「社外からでも条件を満たせば許可する」という前提でセキュリティ対策をします。
つまり、アクセスのたびに以下の要素から、その都度信頼できるのかをチェックします。
もちろん、ゼロトラストによってチェックが厳しくなると、ユーザーの利便性が失われることになります。毎回パスワードを入力したり、指紋認証をしたりしていては不満も募るでしょう。
しかし、それでも社内システムやデータの安全性を守ることを最優先に設計することが、ゼロトラストの基本的な考え方です。
なぜ中小企業・1人情シスにもゼロトラストが必要なのか
「ゼロトラストは大企業の話」と思われがちですが、むしろ中小企業や1人情シスこそ重要です。
理由はシンプルで、守るリソースが足りないからです。
このような環境では、「侵入を完全に防ぐ」よりも、侵入される前提で被害を抑える設計の方が現実的です。
また、最近はランサムウェアなどの攻撃も高度化しており、企業規模に関係なく狙われます。
「うちは小さいから大丈夫」ではなく、「小さいからこそシンプルで強い仕組みが必要」です。
1人情シスにゼロトラストが難しいと言われる理由
ゼロトラストは1人情シスにとっては「正直ハードルが高い」と感じるのも無理はありません。
ここでは、なぜ難しいと言われるのか、現実的な理由を整理します。
人手が足りない（運用が回らない）
1人情シスにおいて最大の課題は、やはり圧倒的なリソース不足です。
これらの日常業務だけでも手一杯な中で、ゼロトラストを導入しようとすると以下も必要になります。
「やるべきなのは分かっているけど、手が回らない」これが多くの1人情シスの本音です。
コストが高そうに見える
ゼロトラストの導入、運用は「大企業向けでお金がかかる」というイメージがあります。これにより、導入をためらってしまう
実際に、以下のようにシステムやツールを導入していくとコストが必要です。
これらは1人情シスが必要性を理解していても「経営層の理解を得づらい」「費用対効果を説明しづらい」ことが導入ハードルになってしまうでしょう。
経営層からすれば「なぜ利便性が損なわれることに金をかけないといけないんだ」と思ってしまうこともあります（本来は、セキュリティ対策が薄いことによる損害や社会的損失の方が大きいのですがね。。。）
こういった壁にぶつかりやすく、結果としてゼロトラストのようなセキュリティ対策は後回しにされがちです。
何から手を付ければいいかわからない
ゼロトラストは「製品」ではなく考え方なので、導入するにしても、何から手をつければ良いかわからない状況に陥りがちです。
調べれば調べるほど、以下のようにやるべきことが増えてしまいます。
これにより何をすれば良いかわからず、手をつけられないまま頓挫してしまったこともあるのではないでしょうか？
特に1人情シスの場合、相談相手も少ないため、最初の一歩で止まってしまうケースは少なくありません。
完璧を求めすぎてしまう
もう一つ見落とされがちなのが、ゼロトラストやセキュリティについて「理想を追いすぎる問題」です。
ゼロトラストの解説記事やベンダー資料を見ると、以下のようにかなり完成度の高い状態が前提として語られています。
上記をそのまま目指そうとすると、「うちではこんなことは無理だ…」と感じてしまい、結果的に何も手を付けられなくなります。
結論：1人情シスのゼロトラストは「全部やらない」が正解
ここまで読んで、「やっぱりゼロトラストは大変そうだな…」と感じた方も多いと思います。
ですが結論として、1人情シスはゼロトラストを全部やる必要はありません。むしろ、全部やろうとするほど失敗します。
その理由を説明します。
完璧なゼロトラストは大企業でも難しい
まず前提として理解しておきたいのが、ゼロトラストを完全に実現している企業はほとんどないことです。
名だたる大企業でも、全部署がゼロトラストで統制され、全従業員がゼロトラストを意識した働き方をしている、とは言えないでしょう。
大企業であっても、以下のような問題を抱えていることが大半です。
大企業で何十人もの情シスが運用している企業ですらこの実態なのです。
つまり、1人情シスが「完璧なゼロトラストを目指す」ということ自体が、そもそも現実的ではないと言えます。
1人情シスとして真面目に働くあなたには「やるからには完璧を」と思う気持ちがあるかもしれませんが、そもそも無理な話だと理解しておきましょう。
優先順位を決めて段階的に進める
重要なのは、「全部やること」ではなく効果が大きいところからやることです。
優先順位は企業によって異なりますが、以下の順で始めていくことをおすすめします。
上記のように、積み上げていくことが現実的です。1は外部侵入を防ぐ効果、2,3は内部の不正利用を疑う、あるいは疑いがあった際の調査に貢献する効果があります。
このやり方であれば、
- 運用負荷を抑えられる
- 経営層にも説明しやすい
- 途中で挫折しにくい
というメリットがあり、効果を実感しながら徐々にゼロトラストの導入を進められます。
「ゼロトラスト風」でも十分価値がある
ゼロトラストという言葉に引っ張られて、「すべてを厳密に制御しなければ意味がない」と思ってしまいがちですが、そんなことはありません。
上記で説明したように段階的な導入でも十分に意味があります。他にも「退職者のアカウントを無効化する」「不審なウィンドウが立ち上がったらすぐさま上司や情シスに連絡する」など、簡単なルールを決めておくだけでもセキュリティレベルは大きく向上します。
これは立派にゼロトラストの考え方を取り入れて、実践できている状態です。
上記のように簡単なことや効果が大きいことからで構いません。まずは手をつけてみましょう。
1人情シス向け｜ゼロトラスト導入の現実的ステップ
1人情シスでも無理なく進められるように、優先度の高い順で現実的なステップを解説します。
ステップ1,2,3,4を順に実施していく中で徐々にセキュリティ強化につながっていきます。
ステップ1 最低限のルール決め
最初にやるべきことは、ツール導入ではなく「ルールを決めること」です。
ここを飛ばすと、後から確実に破綻します。
最低限、以下は決めておきましょう。
ポイントは、完璧を目指さないことです。
まずは「シンプルでもいいから一貫したルールを作る」だけでOKです。
ルールがあるだけでも、社員が「どう行動すればよいか」が明確になります。迷いが減れば初動対応も早くなり、インシデント発生時でも被害を最小限に抑えることもできます。
ルールを決めるだけであればツール導入も不要です。まずはルール決めからゼロトラストを実践していきましょう。
ステップ2 ID管理を強化する
次に取り組むべきは、ID（アカウント）の管理強化です。
ゼロトラストにおいて、IDは最も重要な要素であり、「誰か」を正しく判断できないと、すべてが崩れます。
具体的には以下を実施します。
これらをできるようにし、システムで「誰が」が判別できるため、仮に悪事を働くアカウントがあった際に、アカウント利用者への事情確認ができるでしょう。
SSO（シングルサインオン）の導入もできると、多要素認証による利便性の低下を抑えることにもつながります。
特にMFAは、低コストで効果が高く、最優先で対応すべき対策です。社員のスマホでGoogle AuthenticatorやMicrosoft Authenticator（それぞれ無料）をインストールしてもらい、社員のアカウントと紐付けるだけで実現できるため、ぜひ導入しておきましょう。
ステップ3 デバイスの可視化・制御
重要なのが、端末の管理、いわゆるエンドポイント管理です。
ゼロトラストでは、「誰か」だけでなく「どの端末か」も重要な判断材料になります。
まずは以下から始めましょう。
ここまでで「誰が、どの端末で」までを絞り込めます。この後の「誰が何をできる」の制御や、インシデント発生時の原因調査コストが下がることにもつながります。
余裕があれば、MDMの導入や管理端末以外からのアクセス制限まで進めると、より安全性が高まります。
ステップ4 アクセス制御の強化
最後に、アクセス制御の精度を高めるため「誰が何をできる」を設定していきます。
ここでのポイントは、 「必要な人に、必要な分だけ」アクセスを許可することです。
具体的には以下を行います。
例として一般ユーザーに「ルールの削除権限」を渡していると、知らず知らずのうちにルールを削除してしまい、制御が効かなくなってしまいます。そういったことがないよう権限は必要最低限だけ与えるようにしましょう。
可能であれば、IP制限や条件付きアクセス（場所・端末・リスク）を儲けられるとさらに効果的です。
1,2,3,4を実施することで、各ユーザーに対する責任を正しく設定し、安全かつ正しい環境での業務ができるようになります。
ゼロトラスト導入でよくある失敗パターン
上記のステップを見て「さっそく1から始めてみよう！」となっているあなたに、失敗パターンもお伝えしておきます。
ゼロトラストは考え方としてはシンプルですが、実際に導入しようとすると多くの企業がつまずきます。
特に1人情シスの場合、リソースが限られている分、やり方を間違えると一気に破綻するリスクがあります。
失敗パターンを事前に知っておくことで、それを回避し、効果的な導入を実践してください。
ツールを入れて満足してしまう
最も多いのがこのパターンです。上記ステップはステップ1がルール決めのため、このパターンに陥ることはないはずですが、ステップ2以降のために確認しておいてください。
「SSOを導入した」「MDMを入れた」とツールを導入しただけで「セキュリティ強化できた」と安心してしまうケースは多くあります。
しかし実際には、導入しただけでは以下の状態です。
上記では当然効果は限定的です。導入後に使いこなし、適切に設定をしてこそ意味があります。
ステップ1でルールを決めておくことで、ステップ2以降のツール導入後、適切な設定についても決めやすくなるでしょう。
現場に負担をかけすぎる
セキュリティを強化しようとするあまり、現場の利便性を無視してしまうケースもよくあります。
例えば、以下のような状況です。
こうなると、現場からは「使いにくい」「邪魔」と反発が出て、勝手に設定の変更や無効化が行われることになる可能性があります。
こうした事態を防ぐために、極力利便性を損なわない使い方にする（SSOの導入）、事前に説明をして理解を得るなど対策が必要です。
セキュリティはルール、ツール、人が連動してこそ成功することです。人が無視をしてしまえば、台無しになってしまうので現場の理解を得ることを考えましょう。
一気にやろうとして破綻する
理想を追いすぎて、最初からすべてを整えようとするパターンです。
先述していますが、ゼロトラストは大企業でも完璧に実践することは難しく、一気に進めようとすると確実にキャパオーバーになります。
特に1人情シスが一気にやろうとすると以下の結果に陥りがちです。
ゼロトラスト導入時の成功の鍵は小さく始めて積み上げることです。
まとめ｜1人情シスでもゼロトラストは十分実現できる
ゼロトラストは「難しそう」「大企業向け」というイメージを持たれがちですが、本質はシンプルで何も信頼せず、その都度確認する考え方です。
そして1人情シスにとって重要なのは、ゼロトラストを完璧に実現することではありません。
上記を1から進めていくだけでも、社内のセキュリティレベルは向上します。
また、ゼロトラストは「防ぎきる」ためのものではなく、被害を最小化するための考え方でもあります。
限られたリソースの中で働く1人情シスにとって、段階的に進められることから、従来よりも相性が良いセキュリティ対策とも考えら得るでしょう。
ここまで見てきたように1人情シスは
- 人手不足
- 業務過多
- コスト制約
といった問題がある中で、すべてを自分ひとりで抱え続けるのは簡単ではありません。
もし今、「セキュリティまで手が回らない」「そもそも業務量が限界に近い」と感じているのであれば、一度立ち止まって全体を見直すことも重要です。
その点については、こちらの記事で詳しく解説しています。
ゼロトラストに取り組むことは大切ですが、それ以上に大切なのは無理なく続けられる状態を作ることです。
できるところから一歩ずつ。それが、1人情シスにとっての最適なセキュリティ戦略です。