何も信用しないという考え方のゼロトラストが、クラウド中心のデータ活用によって必要になりました。内部で利用するデータが外部に保管されていること、外部から外部へのデータの開示が当たり前になりつつあることなどがその理由です。基本的な考え方は、内部と外部の区分けなしでセキュリティを構築することになります。この考え方はアメリカで正式に公開された政府標準としてのSP800-207という提言によるものです。

ゼロトラストを知る上で重要な基本原則は7つあります。一つはデータソースもコンピュータによるサービスもリソースとみなすことです。そして内外に関係なくすべての通信が保護される必要があります。リソースへのアクセスは、セッション単位で扶養する必要があり、動的なポリシーによって決定されます。

これは変化する状況も含んで常に変わる属性に対応する必要性を含んでいます。管理する対象の組織で利用するデバイスはすべて監視対象であり、セキュリティが保たれていることを測定します。ゼロトラストにおけるリソースへの認証と許可は動的である必要があり、アクセス前に厳密に行わなければいけません。このような環境を構築して満足するのではなく、資源やインフラストラクチャー、通信状態などすべての情報を収集して改善し続けることが重要です。

これらの基本原則を理解した上で、セキュリティについて環境整備を行う必要があります。外部で行っていた対策を内部にも適用することから始めてみると、わかりやすいかもしれません。