中小企業のゼロトラスト入門｜無理なく始める対策の第一歩

ゼロトラストとは？「信頼しない・常に検証」を前提とするセキュリティの考え方

ゼロトラストとは、「社内からのアクセスだから安全」といった暗黙の信頼を置かず、利用者や端末の状態、アクセス権限を、アクセス時だけでなく利用中・接続中も含めて継続的に確認・検証するセキュリティの考え方です。クラウドサービスやテレワーク利用の広がりといったネットワーク環境の変化を背景に、必要性が高まっています。

また、この考え方は、特定の製品やサービスを指すものではなく、認証、アクセス制御、端末保護、ログの確認、ネットワーク対策など複数の対策を組み合わせる形で実現していくものとなっています。「これを導入すれば完了」というひとつの仕組みがあるわけではなく、自社の業務やリスクに応じて、どの対策をどう組み合わせるかを検討していくことになります。

境界型セキュリティとゼロトラストの違い

境界型セキュリティは、ファイアウォールやVPNなどを使い、社内ネットワークと外部（インターネット）との境界、つまり出入り口を守る考え方です。本社や拠点に通信を集めて管理する環境では、現在も重要な役割を担います。一方で、境界の内側は基本的に信頼する考え方のため、いったん内部に入られると、その後の被害を防ぎにくい面があります。

これに対してゼロトラストは、ネットワークの内側・外側を区別せず、全てのアクセスを都度検証します。両者の違いは「何を信頼の前提とするか」です。

近年はクラウドや在宅勤務の広がりによって、守りたいデータや業務システムが社内にあるとは限らなくなり、利用する人や端末も境界の内側に揃わなくなってきました。こうした状況の変化を受け、ファイアウォールやVPNによる境界対策に、ゼロトラストの継続的な確認や権限管理などを組み合わせていくことが求められています。

中小企業が取り組みたいゼロトラストの4つの基本対策

ゼロトラストは特定の製品ではなく考え方であるため、一度に全ての環境を整えられなくても、段階的に取り組むことで一定の効果を見込めます。ここでは、中小企業でも着手しやすく、ゼロトラストの考え方に沿った4つの基本対策を紹介します。

1. 多要素認証（MFA）の設定

多要素認証（MFA）とは、IDとパスワードに加えて、スマートフォンアプリでの承認やワンタイムコードなど、複数の要素を組み合わせて本人確認を行う仕組みです。仮にパスワードが漏えいしても、それだけでは不正なログインが成立しにくくなります。

まずは影響の大きい管理者アカウントや、メールやクラウドサービス、VPNなど外部から利用できるアカウントから優先的に設定するとよいでしょう。

2. アクセス権限の最小化

業務上必要な範囲にだけアクセスできるよう、権限を設定する取り組みです。対象はデータに限らず、業務システムやその管理機能、共有フォルダ、クラウドサービスのアカウントなども含めて、「誰が・どこまで使えるか」を見直します。

例えば、退職者のアカウントが残っていないか、全員が管理者権限を持つ状態になっていないか、といった点は確認しやすいポイントです。権限が整理されていれば、万が一アカウントが不正に使われた場合にも、影響の範囲を抑えやすくなります。部署や役割に合わせて権限を設定し、異動や退職、担当変更の際に見直せる手順を決めておくと、不要な権限が残ることを防ぎやすくなるでしょう。共用アカウントは利用者を特定しにくいため、必要性を確認し、可能な範囲で個人ごとのアカウントへ切り替えるのも有効です。

3. 端末（エンドポイント）の保護

パソコンやスマートフォンなど、業務で使う全ての端末にセキュリティソフトを導入し、OSやソフトウェアを最新の状態に保つ取り組みです。社外に持ち出す端末が増えるほど、端末自体を守る対策の重要性は増します。

更新プログラムの適用漏れは攻撃の入り口になりやすいため、更新のタイミングや担当をあらかじめ決めておくと、抜け漏れを防ぎやすくなります。紛失や退職時に備え、画面ロックの設定、データの保管場所、端末の返却や利用停止の手順も整理しておきましょう。

4. ネットワーク機器の見直し

社内とインターネットの出入り口にあたるルータやVPN機器などのネットワーク機器も、見直しの対象です。メーカーのサポートが終了した古い機器や、更新プログラムが適用されていない機器は外部から狙われる隙になりやすいため、状態を確認し、計画的な更新を検討しましょう。外部から接続できる設定、管理画面の認証、不要な通信の制限、ログの保管方法も確認項目です。

ネットワーク機器の見直しは、それだけでゼロトラストが実現するものではなく、認証やアクセス制御といった各対策を安定して機能させるための土台を整える役割を持ちます。多要素認証、権限管理、端末保護などの対策は、このネットワーク環境の見直しを補いながら、利用者・端末・通信のそれぞれの面を守る要素として、あわせて取り組んでいくものです。

ここまでの4つの対策は、いずれも基本的なセキュリティ対策であり、その一部はランサムウェア対策と共通するとともに、ゼロトラストを進めるための基礎となります。

◎「古いルータを使い続けるセキュリティリスク」の詳しい解説をみる

中小企業のゼロトラスト対策の第一歩に「オフィスeo光」

オプテージが提供する「オフィスeo光」は、大容量・低価格を特長とする法人向け光回線です。ゆとりのある通信環境は、クラウドの活用や拠点間通信、在宅勤務への対応に加えて、今後のセキュリティ見直しを進めやすくすることにもつながる可能性があります。

また、オプテージでは各デバイスを保護する「クライアントセキュリティサービス（ESET）」や、ネットワークの出入り口で脅威をブロックする「SDネットワークサービス」といったセキュリティサービスも提供しています。回線とセキュリティを同じ窓口で相談できるため、専任の担当者がいない企業でも、ネットワークの見直しとあわせて、ゼロトラストの考え方に沿った対策を進めやすくなるでしょう。