ページの本文へ

Hitachi

セキュリティ

今必要とされるゼロトラスト・セキュリティ<後編>
スペシャル対談
日本マイクロソフト株式会社
河野 省二
株式会社 日立製作所
村山 厚

今必要とされる
ゼロトラスト・セキュリティ<後編>

前編から続く河野氏と村山の対談は、ゼロトラストによる資産管理から、一人ひとりの認証・制御をどうするかという話題に発展してきました。データやネットワークそのものが資産管理できると、デバイス単位、アプリケーション単位でも管理は可能だと、両氏は口をそろえます。ポイントはデータ管理の粒度にあるようです。

OTにもゼロトラストの波

― ゼロトラストは基本的にOAが中心だと思うのですが、そうは言ってもOTの世界でもインターネット化が進み、インシデントも起きています。ゼロトラストとOTの関係については、どのようにお考えですか?

河野 汎用OSの機能や、インストールしたアプリケーション、エージェントを使ってエンドポイントを管理し、それをゼロトラストに活用していくというイメージから、制御システムや組み込みシステム、IoTがある環境では実現が難しいのではないかとの指摘をいただくことがあります。その場合には、5GやSDN(Software Defined Networking)*1を活用して、ネットワークレベルでの個体管理を行ってはいかがでしょうかと提案しています。SDNなどを使えば、デバイスやシステムに接続されたネットワークにポリシーを設定してアクセス制御できますし、これまでのログ管理と合わせることで、やり取りされているデータの管理もできるようになるのではないかと思います。

村山 河野さんが仰っているSDNの発想は、そろそろVPN(Virtual Private Network)方式から、ちゃんとアプリケーションごとに制御できる方式に持っていくべきだという発想だと捉えればよろしいでしょうか。

河野 はい、マイクロソフトでもVPNは限定的な利用になっています。どうしてもIPアドレスなどを利用してアクセス制御をするような環境では、ネットワークを一元化したくなってしまうのですが、現在はそれも難しくなっているのではないかと思います。最近のクラウドサービスはCDN(Contents Delivery Network)*2を利用しているため、特定のサイト名やIPアドレスなどによって制御しようとしても、それ自体が変化してしまい、制御することが難しいからです。

日本マイクロソフト株式会社 河野 省二氏

株式会社 日立製作所 村山 厚

村山 そこがお聞きしたかったVPNとの差です。まだまだVPNから脱却するのは難しい現状があるかと思っています。先ほどの器の話に似ていて、何でもかんでもまとめて守ろうという考えからなかなか抜け出せない。しかし、河野さんの今日のお話はすべて共通していて、まとめて守るやり方ではなくて、細かく仕事をしようよという話だと思います。最初にちゃんと分けていれば、どうまとめるかはそのあとの話になる。要はできないからまとめて守りましょうではなくて、ちゃんと一つずつ守っていきましょうというのが河野さんのSDNの発想ですね。

河野 そうですね。村山さんの仰る「管理の粒度」が重要なポイントになっているのだと思います。私たちのソリューションを例にしていうと、以前はグループポリシー*3と言ってグループ単位でポリシーを策定して制御しました。現在は、Microsoft Intuneを使うことでMDM(Mobile Device Management)*4とかMAM(Mobile Application Management)*5でデバイス単位、アプリケーション単位、ユーザー単位でポリシーを設定できるようになりました。そして、このポリシーの適用をログイン時だけではなく、利用時にも適用できるようになったのも大きな変化です。

村山 そうなんです。グループ単位で守るなど、まとめて守るのは絶対に限界がくると思います。運用でいろいろなポリシーを適用しようとすると、綻びができますよね。

河野 グループ単位で管理しようとすると、グループの中のどれを指標にするのかが課題になってきます。例えば、営業部という単位で考えると、さまざまな役職の方や役割の方がいるので、さらに細かく設定したくなりますが、でも誰かに合わせないといけない。

村山 合わせるのが面倒くさくなると、緩いポリシーにまとめるという感じになり、セキュリティレベルが下がってしまいます。逆に、VPNで細かくやろうとすると、定義ファイルがどんどん増え、パターンが何百種類もできて、結局管理やメンテナンスができなくなり運用が破綻してしまいます。

河野 そこでエンドポイントで対応しようと、MDMの導入などが進んだのだと思います。一方で、多くの企業では持ち出し専用PCの採用や共有PCなどもあり、MDMだけでは十分ではありません。BYOD(Bring Your Own Device)*6を禁止している企業の多くは、デバイス単位での管理に難しさを感じているからだと思います。

村山 結局そうなってくると、やはりアプリケーション単位や通信単位で制御すべきなのでしょうか。ただIoTのようにエッジ単位で制御可能なものもあると思います。人が使うパソコンや機械などは、どうしてもいろんな使い方が生まれてくるので、今みたいなアプリケーション単位での制御が必要になると思うのですが、IoT系はホワイトリスト化しやすい。単一の機能だけをセキュアに通信しましょう、みたいなものは機械単位、エッジ単位でまとめてあげるなど、使い分けが出てくるかもしれませんね。

河野 そうですね。デバイスが最終的な信頼になるIoTと、PCのように中のソフトやデータが信頼になるものでは、管理の粒度が異なることが説明できるといいですね。

村山 まさしく私はそれを言いたかったのです。ありがとうございます。IoTのように、エッジ単位で制御可能なものはあります。一方で、人間が使うパソコンやそれに類する機械は、どうしてもいろんな使い方が生まれるので、アプリケーション単位での制御が必要になります。

河野 少し前の事例になりますが、マイクロソフトとスターバックス様の取り組みなどは面白いかもしれません。

河野 エスプレッソマシンの管理を通じて、お客さま体験を創出することがメインの取り組みです。Azure SphereというIoT用のチップを使ってエスプレッソマシンを管理することで、1日16時間稼働しているマシンの状態を把握し、不具合がないかどうかを見ています。もちろんスターバックスさんの美味しいコーヒーを飲んでいただくためには、エスプレッソマシンが信頼できるものでなくてはなりません。その状態を把握するために、Azure IoTプラットフォームやAzure Security Centerなどでデバイスや状態を管理し、ゼロトラストのような形を実現しています。

村山 ある意味生産管理までいかないとしても、そんな感じなんですね。

河野 今は、そこまでゼロトラストの波もきている気がします。

村山 医療系や制御系、個人宅の電気メーターなど、ゼロトラストがどんどん使われ始めています。そこで、絶対的にセキュリティを保たなければならないエリアに対して、一つずつ制御がかけられるといいなぁと思います。IoTも使い方によって守り方が変わるはずなので、一つひとつのアプリケーション単位やエッジ単位の使い方によってセキュリティの方式を確立できるとよいと思いました。


SSL-VPNに見る、レガシーへの脅威

河野 VPNの話ですと、最近の話題として海外のハッカーがSSL-VPN(Secure Sockets Layer virtual private network)を利用して日本の製造業を狙っていると聞きました。日本企業のグループ会社である海外企業も狙われており、そこからサプライチェーン経由で日本にも入ってきているとも言われていました。いわゆる入口対策を行っているからということで、内部での細かな対応ができていなかったのが原因ではないかとのことですが、これもやはり管理の粒度の課題だと言えるのではないでしょうか。

村山 今まで攻撃されなかったから大丈夫ということに、不思議な安全意識があるのだと思います。あと、一度作ったものを作り変えることに関しては腰が重く、何かのきっかけがないと新しい世界に行きづらいんだと思います。その辺のギアチェンジをするために、ゼロトラストはポイントになると思います。

河野 システムの変更という話では、調達に関する課題もあります。一般的には、3年から5年に1回の調達が基本になっていて、その期間は特別な変更をするための予算が計上できておらず、トラブルなどがあったとしても、同じものを使い続けることが課題になっています。ある企業でクラウドストレージサービスを導入する際に、稟議(りんぎ)に2年かかったとの話を聞いたこともあります。ITの導入に2年もかかるのも、また一つの課題ですよね。「何年もかけて計画したので今さら変えられない」という気持ちも分かりますが、変化に応じてITも変化できるのも、事業継続では重要な観点だと思います。

村山 新しいものに入れ替えようとするときに、予算が通らないというジレンマがあるように思います。だから、10年使ってきて問題がなかったから大丈夫という考え方になってしまうのです。投資への理解をどう得るのかも、ゼロトラストのポイントになりますね。

河野 非競争分野みたいなところは、業務や関わるITに変わらない部分が多いので、変わらずに長く使うこともできると思います。それでも法律対応などの予算は取っておく必要はあります。自分たちは変化していないから大丈夫だと思っていても、世の中が変わったときに自分たちも変わらなければならないこともあるでしょう。

村山 それに、攻撃者もどんどん進化しています。最終的には自分たちが攻撃されていることすら気がついていないのは最悪の状態だと思います。ISO 27001で言われている情報セキュリティマネジメントとしてのPDCAとは別に、脅威への対処のPDCAと言いますか、世の中の動向や攻撃手法をちゃんと取り入れた上で、今の自社に何が足りないのだろうと議論する場も必要です。それに対して適切な投資をしてもらうための提言が、企業としては必要になってきていると思います。


次の標的は分からない。移行期間と仮想化空間の取りこぼしに懸念

― 今後、攻撃者が狙ってくるところはありますか?特にゼロトラスト化しないと対処できない例などはありますか。

河野 残念ながら、何が狙われるかは「分からない」という言い方しかできません。新しい攻撃が検出されたときに、初めて攻撃された側が分析と対応を始めている現状では、攻撃者が有利な状況が続きます。攻撃を避けるためには、「攻撃する価値がない」と思わせるか、攻撃しても「手間やお金がかかるばかりで無駄」だと思わせることですが、抑止効果はあまりないのが現状です。

村山 一つの例として、攻撃者が最初に狙ってくるのは、手間がかからず侵入できるところだと思うんです。徹底的に狙われれば話は別ですが、基本的に面倒くさい、大変そうだと思った瞬間に、弱いところを狙う方が簡単かなと思うでしょう。そこで一番まずいと感じているのは、ゼロトラストにシフトするとき、必ず新しいインフラへの移行期間が出てきます。その移行期間中あるいは移行が終わったあとに、ゼロトラスト化できていないインフラが残ります。そこをどういう形で監視するか、通信ポリシーを絞り込んでいくかなど、何らかの対処をしなければならない。ここが最大の懸念です。


河野 ゼロトラスト環境への移行のポイントとなるのは、ガバナンス構築だと考えています。簡単にいえば、全体のモニタリングができる仕組みを構築することから始めるということです。先ほど制御システムやIoTなどはゼロトラストでは管理しにくいのではないかとのお話も出ていましたが、分離されたネットワークや仮想化された環境も、実は管理が難しいと考えられています。シンプルな環境を構築し、資産を増やさないことがモニタリングのしやすさでは重要なポイントになってきます。

村山 レガシーな仕組みを現存させるための救いの手を出してしまうと、みんな「そっちでいいだろう」という話になります。ちょっと乱暴な言い方かもしれないですが、そこはどこかで経営の大英断が必要かもしれません。言葉だけでゼロトラストというとかっこいい世界だけど、そこに行きつくまでは実は結構泥臭いですよね。今までやってきたこと、つまりレガシーが残っているので、それをどのような形でゼロトラストにシフトするのかもポイントです。地道な努力、ゼロトラストに向けての下準備が必要だと思います。

河野 まずは環境の把握からだと思います。レガシーな環境が残っている場合、それらをうまくまとめることができるかも重要なポイントです。あとどのくらいの期間、その環境を利用するのかを判断し、計画の中でどのように置き換えていくかを整理していくことで、意外とシンプルな計画を立てることができるのではないでしょうか。

データごとの資産管理がゼロトラストの根っこ

村山 器で守るという発想をしていると必ず限界がくるので、データごとに、これは誰に見せてよい、アクセスしてよいという観念は必要になってきますね。またそのデータが独り歩きした場合でも、セキュアな環境をどう保っていくかがデータセキュリティの基礎、すなわちゼロトラストの根っこになると思います。

河野 多くの企業や組織においてセキュリティはコストであることは間違いないのですが、コストであるが故にセキュリティはどこまでやればよいのかは大きな課題です。セキュリティを適切に行っていることを説明するのは難しいと考えている責任者も少なくないと思います。ゼロトラストが徹底された環境では、適切なセキュリティ対策を実施していたことが説明しやすくなるのではないかと思います。説明責任が求められる現在だからこそ、データ単位での管理が行われる必要があるのだと思います。

村山 日立が2003年から2004年にVDI(Virtual Desktop Infrastructure)化したのは、そもそもデータを持つからなくす、だからデータなんか持たなければよいとの発想からでした。もう18年も前になります。その当時、まだ通信環境も確立していなかった時代だっただけに、相当斬新な発想だったと思います。0か1かと考えたときに、データの仕分けが追いついていなかったから、その発想が一番早いですよね。だから0か1かでやるしかなかった。それが今、データの資産管理ができるようになり、0か1かではなくなったので、データを持たないことに加えて、その他の選択肢があるのかなと思います。データを持ち歩いて、万一データをなくしたとしても、何をなくしたかすぐに分かるようになっていたり、なくしたデータにはどんなセキュリティがかかっていたか言えるようになったりすることが大事なのかなと思います。

― 最後に、マイクロソフトとしてゼロトラストの向かうべき方向性をお聞かせください。

河野 マイクロソフトは引き続き、デジタルトランスフォーメーションを推進しています。冒頭にもお話ししたとおりですが、マイクロソフトは業務のデジタル化によって、社内のさまざまなことを把握できるようになりました。経営層はこれを利用して適切に判断し、健全な経営を実現できるようになっています。まずはID管理と資産管理、構成管理によるトラストの構築、そしてこれをサプライチェーンへ広げていくためのID連携によって、すべての環境を適切に把握できるようになりました。
セキュリティ分野ではさらなる安全な環境の維持、コンプライアンス環境では順法だけではなく、内部不正対策やハラスメント対策、そして働きやすい環境をリモートでも構築できるようになっています。これらの環境は、Microsoft 365 E5で構築されており、私たちのMicrosoft 365 E5での体験をぜひ皆さまにも共有していただきたいと考えています。セキュリティのためだけのゼロトラストではなく、デジタルトランスフォーメーションを支える基盤としてのゼロトラストをめざしていただきたいと思います。

デジタルトランスフォーメーションによるガバナンスとポートフォリオ イメージ図

*1
SDN:ソフトウェアによって構築される仮想的なネットワーク
*2
CDN:Web上のコンテンツを効率的に配送するために構築されるネットワーク
*3
グループポリシー:ユーザーやコンピューターに対する設定を一括で管理する手法
*4
MDM:企業などで使用されるモバイルデバイスの設定を一括で管理する手法
*5
MAM:企業などで使用されるモバイルデバイスにインストールするアプリケーションを企業側で管理する手法
*6
BYOD:個人が所有するデバイスを業務に使用すること

Microsoftは、米国Microsoft Corporationの米国およびその他の国における登録商標または商標です。
その他記載の会社名、製品名などは、それぞれの会社の商標もしくは登録商標です。

サイバーリーズン・ジャパン主催オンラインセミナーのお申し込みはこちら

村山は下記セミナーで講演します。画像をクリックして、ぜひお申し込みください。
【Day 2】2021年12月1日(水) 15:00〜16:30
日立におけるサイバーレジリエンス強化への取り組み
〜DX、働き方改革、複合化する脅威で変わるサイバーセキュリティへの対応〜

サイバーリーズン・ジャパン主催:トップランナーと考えるこれからのサイバーセキュリティ(2021年12月1日講演予定)