ゼロトラスト移行コンサルティング

成熟度診断

CISAゼロトラスト成熟度モデル（ZTMM）に基づいて開発した診断ツールで、6つのPillar、計45項目を評価します。成熟度は領域ごとに4段階で判定します。

Traditional（従来）
Developing（初期）
Enhancing（向上）
Optimal（最適化）

Zero Trust技術能力

1Identityアイデンティティ

IGA
MFA
RBAC
Secrets Management
Access Mgmt & Identity Federation
PAM
PBAC (Risk Engine)

2Device端末

Device Inventory
EDR
Device Sandboxing
Baseline Config & Patch
Device Encryption
Device Compliance
Device AuthN/AuthZ
Risk-score Based Compliance
MDM

3Applicationアプリケーション

API Security
Application Micro Segmentation
Vulnerability Mgmt
Patch & Config Mgmt
WAF
Service Mesh
Container Security
CSPM
CASB & On-prem security

4Network & Infrastructureネットワーク・インフラ

SD-WAN
NGFW
DDoS Protection
Forward Proxy
IDS/IPS
RBI
Network Segmentation
ZTNA
NAC

5Dataデータ

Data Discovery
DLP
Removable Media Encryption
IRM
Data Classification
Data Access Monitoring
Masking & Tokenization

6Telemetry & Analytics, Automation & Orchestrationテレメトリ・分析、自動化・オーケストレーション

SOAR
UEBA
SIEM
Threat Intelligence

典型的な企業の現状

Identity: ID・権限の統合管理体制がなく、IDCとクラウドで認証体系が二元化
Device: 端末のセキュリティ状態がアクセス判断に反映されず、新規資産の発見・インベントリの自動化が不十分
Application: 初回認証後の継続的な承認・再検証が不十分で、オープンソースの脆弱性・ライセンス管理も不十分
Network: 境界型セキュリティが中心で、ファイアウォールポリシーの変更・検証の自動化が不十分
Data: 重要情報のセキュリティ分類体系が脆弱

移行のアプローチ

大前提

IAM・SSO・PAMによる中央集中型の権限管理体制の確立

追加事項

Micro Segmentationなど、システム・ワークロード・プロセスの細分化を実現する特化ソリューションの導入・定着

韓国の金融機関における適用事例の分析

既存のIAM・SSO・PAMに基づく中央集中型の権限管理体制にMicro Segmentationを組み合わせ、ユーザー認証・権限統制を実際の運用システム・ワークロード・プロセス間の通信統制へ拡張した事例です。

01内部通信の可視性確保

サーバー・クラウドワークロード・ユーザー端末にエージェントを適用して実際の通信フローを収集し、サーバー間の接続、アプリケーション・プロセス単位の通信、未登録資産を識別

考慮事項

導入初期に遮断ポリシーを適用した際の業務停止の可能性を減らすため、通信フローの分析に十分な工数を投入
02業務に基づく論理的なグループ化

部署・業務・アプリケーション・OS・サーバーの役割・重要度などの属性をラベルとして定義し、複雑なIP・ネットワーク構造を業務上の意味を軸とした論理グループに分類

考慮事項

ラベル付与時は業務情報・資産管理情報と突き合わせて整合性を確認
03中央の権限情報と通信ポリシーの連携

既存のユーザー・ログインID・ロール・特権情報を活用し、ユーザーごとにアクセス可能なURL・IP・対象システムをACLとして構成、中央の権限管理をMicro Segmentationのポリシーにリアルタイムで反映

考慮事項

入社・異動・退職・職務変更がIAMの権限変更とACLに迅速に反映されるよう連携して管理
04ワークロード・プロセス単位の最小権限統制

サーバー・アプリケーション・ワークロード・プロセス間で必要な通信のみを許可し、管理者アクセスも指定端末・アクセス経路・対象サーバー・ポート・プロセス単位に細分化、外部侵入者と内部の不正アクセス・隣接システムへの横展開を遮断

考慮事項

重要業務・管理者アクセスは承認・例外・有効期限などを定めた統制されたポリシーで管理
05段階的なポリシー適用と運用の高度化

ラベル・ポリシーテンプレート・自動ポリシー推奨で運用の複雑さを緩和し、今後のAIによるポリシー管理と検知・対応の自動化へ拡張する基盤を整備

考慮事項

ポリシー違反・横展開・不正アクセスのイベントをSIEMで収集し、繰り返しの対応はSOARのプレイブックと連携

適用効果

内部通信・未登録資産の可視化
IAM・PAM権限を実際の通信ポリシーとして執行
ワークロード・プロセス単位の最小権限を実現
侵害時の横展開・影響範囲を最小化
オンプレミス・クラウド統合ZTAの基盤を確保

成功要因と示唆

01既存の統制手段の活用と連携

成功要因

既存のIAM・SSO・PAMの情報を共通のポリシー基準として活用し、ワークロードのアクセス制御へ拡張

示唆

Micro Segmentation導入時は、既存のIdentity情報・Risk情報を共有する統合ポリシー構造として設計するZero Trust設計を目指す
02内部の可視性を優先

成功要因

実際の通信とアプリケーションの依存関係を優先して把握し、ポリシー適用前のシミュレーションで業務への影響と例外通信を確認

示唆

全社一括適用は避け、侵害の影響度が高い業務から保護区域を定義して段階的に拡張
03意味のある業務に基づくポリシー管理

成功要因

IP・ポート中心の静的なACLを、業務・アプリケーション・ロール・プロセス中心へ転換

示唆

業務・セキュリティ・インフラの各組織が共同でラベリング・許可通信ポリシーを確定し、例外の有効期限・再承認ポリシーに合意
04ポリシーの決定と執行の連携

成功要因

IAM・PAMは誰がどの権限を持つかを決定し、ソリューションはその権限がどのワークロード・プロセスまで適用されるかを結び付ける

示唆

通信ポリシー違反を検知・対応体制と連携（ポリシー違反イベントはSIEMで統合し、高リスクのシナリオはSOARで自動的に隔離・遮断・調査）
05ソリューション導入の最優先目標を侵害拡大の抑止に設定

成功要因

完全な予防よりも侵害後の隣接システムへの拡大の統制に集中し、脅威下でも重要業務の保護区域を維持

示唆

導入効果の測定は、ポリシーの策定件数ではなくリスク低減の基準（例：不要な通信経路の除去率）で設定

目標アーキテクチャ：ZTNAアクセス制御の構成

境界中心の内部ネットワークセキュリティから脱却し、ユーザー・端末・アクセス状況を継続的に検証してシステム間のアクセスを最小化する体制へ移行します。

End-Point

ユーザー
管理者
デバイス

PDP ポリシー決定

ポリシー管理・評価
アクセス要求のポリシー分析
ユーザーのID検証
デバイスのID検証
監査・記録管理
リアルタイム監視

アイデンティティベースのリスク評価

PEP ポリシー執行

MFA
SSO
EDR
DBアクセス制御
統合アクセス制御
Cloudアクセス制御
…

Resource

運用網
開発網
クラウド（AWS）

アーキテクチャ運用の大前提

場所とネットワークを信頼せず、すべてのアクセスを継続的に検証
アクセス許可後もリスクの変化を検知し、権限を継続的に再評価

構成要素ごとの役割

1
End-Point: ユーザー・管理者・端末など、すべてのアクセス主体を識別
2
PDP: ID・端末・アクセス状況のリスク度に基づいて許可の可否を決定
3
PEP: ポリシーで決定された最小アクセス権限に基づいてアクセスを許可
4
Resource: IDCサーバーファーム・開発網・クラウド網などの重要資源を統合的に保護

境界を信頼しません。アクセスのたびに検証し直します。