#SummerCreationCamp

# 境界の向こうへ：ゼロトラスト・アーキテクチャがもはや「任意」ではいられない理由

---

2023年、データ侵害の平均コストは445万ドルに達しました。2024年には488万ドルへと上昇しました。軌跡は明白であり、根本原因も構造的です。つまり、組織は引き続き「境界ベース」の防御に投資している一方、攻撃者は「ネットワーク内のものは本質的に信頼できる」という前提そのものを悪用しているのです。

これは机上の懸念ではありません。今日直面すべき運用上の現実として、すべてのセキュリティリーダー、CISO、そしてインフラアーキテクトが向き合わなければなりません。境界は崩れ去りました。リモートワーク、クラウドへの移行、SaaSの拡大、そしてサードパーティ連携によって、従来の「城と堀」モデルは時代遅れになりました。それでも多くの組織は、ファイアウォールが信頼の最終判断者であるかのように運用しています。

結果は測定可能です。IBMの「Cost of a Data Breach Report」によれば、最も一般的な初期攻撃ベクターである「侵害された認証情報」に起因する侵害は、平均292日かかって検知され、75日かかって封じ込められます。検知されるまでの不正アクセスはほぼ1年です。境界は侵害を防げませんでした。そもそも侵害に気づくことさえできなかったのです。

本記事では、なぜゼロトラスト・アーキテクチャが現代の企業にとって基盤となるセキュリティ・パラダイムにならなければならないのか、どのようにその原則が実行可能なエンジニアリング判断へ落とし込まれるのか、実世界での導入が実装上の課題について何を明らかにするのか、そしてフレームワークの限界がどこで補完的な戦略を要求するのかを検討します。

---

## 問題：脆弱性としての「信頼」

レガシーなネットワーク・セキュリティにおける中核的な脆弱性は、欠けたパッチでも未設定のルールでもありません。問題は、信頼という前提そのものです。

境界ベースのモデルでは、認証は一度だけエッジで行われます。ユーザー、デバイス、または接続がファイアウォールやVPNゲートウェイを通過すると、内部リソースへの広範なアクセスが許可されます。この暗黙の信頼は、攻撃面を大きく広げます。侵害された認証情報が1つあるだけで、境界で悪用された脆弱性が1つあるだけで、攻撃者はネットワーク全体に横展開（ラテラルムーブメント）できます。

その裏付けは豊富です。

- ソーラーウィンズのサプライチェーン攻撃（2020年）では、単一の信頼されたソフトウェア更新により、約18,000の組織が侵害されました。攻撃者は被害組織内で数か月間横方向に移動し、メールシステム、ソースコードリポジトリ、機密性の高いインフラへアクセスしました。すでに正当な認証情報で境界を通過していたため、境界のアラートは発動しませんでした。

- MOVEit Transferの脆弱性（2023年）は、Clopランサムウェア集団によって悪用され、世界で2,500を超える組織への侵害につながりました。この攻撃は、ネットワーク境界の内側に存在する信頼されたファイル転送アプリケーションを悪用しました。さらに、ゼロデイのSQLインジェクションの欠陥により、横展開を必要とせずに直接データの持ち出し（エクスフィルトレーション）が可能になりました。

- MGMリゾーツの攻撃（2023年）は、ITヘルプデスクへのソーシャルエンジニアリングの電話から始まりました。攻撃者は正当な認証情報を入手し、社内システムにアクセスして、14の施設にわたり業務を妨害しました。ファイアウォールは破られていません。境界は無関係でした。

いずれのケースでも、攻撃者はデフォルトで境界モデルが与えていた「信頼」を悪用しました。ネットワークは、認証済みのユーザーや承認済みのソフトウェアは安全だと見なしていたのです。その前提こそが脆弱性でした。

---

## ゼロトラストが実際に意味するもの

ゼロトラストは製品でも、ベンダーのカテゴリでも、単一のテクノロジーでもありません。基本原則に定義された建築思想です。「決して信頼するな、常に検証せよ」。

この概念はもともと2010年にForrester ResearchのJohn Kindervagによって提唱され、その後、権威ある参照フレームワークを提供するNISTのSpecial Publication 800-207で正式に体系化されました。NISTの定義は次のとおりです：

> 「ゼロトラストとは、防御を静的なネットワーク境界から、ユーザー、資産、リソースに焦点を当てるよう移行させる、進化する一連のサイバーセキュリティ・パラダイムを指す用語である。ゼロトラスト・アーキテクチャは、ゼロトラストの原則を用いて、産業およびエンタープライズのインフラストラクチャと業務（ワークフロー）を計画する。」

NIST SP 800-207で定義されるゼロトラストの7つのテナント（指針）は以下のとおりです。

1. **すべてのデータソースおよび計算サービスはリソースとみなされる。** ネットワーク、エンドポイント、API、データストア、SaaSプラットフォームは同様に、ポリシーの強制対象となる。

2. **ネットワークの場所に関わらず、すべての通信は保護される。** 暗号化、認証、完全性（インテグリティ）の検証は、内部トラフィックにも外部接続と同じように適用される。本質的に安全な「内側」は存在しない。

3. **各リソースへのアクセスは、セッションごとに付与される。** 信頼は永続しない。各アクセス要求は個別に評価され、許可（認可）は、必要最小限の期間とスコープに限定される。

4. **アイデンティティの状態や環境コンテキストを含む動的なポリシーによって、リソースへのアクセスが決定される。** ポリシーは、ユーザーの本人確認の強度、デバイスの健全性とコンプライアンス状況、要求されたリソースの機密性、行動パターン、脅威インテリジェンスのシグナル、環境リスク要因を、リアルタイムで評価する。

5. **エンタープライズは、所有および関連するすべての資産の完全性とセキュリティ状態を監視し測定する。** デバイスのコンプライアンス、パッチ状況、設定のドリフト、行動上の異常が継続的に評価され、これらの評価結果がアクセス判断へ直接反映される。