ネットワーク セキュリティを保護するための最初のステップは、接続されているすべてのユーザーとデバイス、およびそれらにアクセスしようとしているユーザーを理解することです。これは、企業が対応する適用ポリシーと制御ツールを作成できる、ゼロ トラストを含むネットワーク セキュリティ フレームワークの前提でもあります。
しかし、デバイスがユーザーになったらどうなるでしょうか?
1. ゼロトラストにおける「ユーザー」の概念
ゼロトラストでは、ユーザーからセキュリティを開始する必要がありますが、興味深いことに、ここでのユーザーは従来の意味での単なるユーザーではありません。近年のモノのインターネット (IoT)、オペレーショナル テクノロジー (OT)、スマート コネクテッド デバイスの台頭により、ネットワークや企業にサイバーセキュリティの大きな脅威がもたらされているため、セキュリティ アーキテクトはアイデンティティの概念を再検討する必要があります。基本的に、ネットワークに接続されたすべてのオブジェクトには ID があり、ゼロトラスト フレームワーク内に含まれている必要があるため、ここでのユーザーにはデバイス、仮想インフラストラクチャ、クラウド資産も含める必要があります。
具体的な手順は次のとおりです。
-
IoT デバイスは、人間による情報の収集、アクセス、共有を必要とせず、機能の自動化やビジネス効率の向上を支援する必要もありません。IoT は現代の企業において急速に成長しているタイプのデバイスとなり、IDC は 2025 年までに 416 億台の IoT デバイスが接続され、79.4 ZB のデータが生成されると予測しています。
-
産業や製造業ではすでに一般的となっているマシンツーマシン (M2M) 通信は、現在ではヘルスケア、ビジネス、保険の分野で広く使用されています。
-
現在、企業が多数使用している OT ネットワーク システムも保護する必要があります。Gartner の予測によると、2021 年までに CIO または CISO が OT セキュリティ管理の 70% に直接責任を負うことになり、これは現在のレベルから 35% 増加します。
-
スマート デバイスによって行われるセキュリティに関する決定には欠陥がある可能性があります。一部の一般的な DDoS 攻撃では、Mirai などのボットネットが弱い認証情報で管理されていない IoT デバイスを制御し、数百万台のデバイスが重要なサービスを中断する可能性があります。
2. 固定観念を拒否する: すべてのデバイスは固有の個体です
機器の正体を真に把握するには、IPアドレス、メーカー、機種を特定するだけでなく、機器の事業環境や潜在的なリスクを十分に理解する必要があり、そこには正確な状況認識が必要となります。重要な役割を果たします。
IoT デバイスの一般的なクラスであるネットワーク化されたカメラから始めましょう。同じカメラであっても、ビデオ監視かビデオ会議かによって、まったく異なる機能を実行します。金融サービス業界では、カメラは主に取引中に顧客を監視するために使用されたり、ATM に組み込まれて小切手預金をスキャンしたりするために使用されます。これらのカメラからの各ビデオ入力は、さまざまなデータセンター アプリケーションやクラウド サービスと通信パスを共有する必要があります。したがって、デバイス ID とコンテキストは、ゼロトラスト セキュリティにおいて非常に重要な概念です。
3. IoT および OT のゼロトラスト導入に関する推奨事項
エンタープライズ ネットワークのゼロ トラスト フレームワークを確立するには、可用性に過度に影響を与えることなくビジネス リスクを軽減するために、ネットワーク上のすべての IoT および OT システムを詳細に可視化し、コンテキスト ベースのセグメンテーションの決定を行うことも必要です。企業は、ネットワークにゼロトラストを実装する際に、次の点を考慮する必要があります。
1) ゼロトラストの実装を、デバイスを含むユーザーを超えて拡張します。
2) IoT および OT デバイスにはエージェントレスのデバイス視覚化と継続的なネットワーク監視を使用します。エージェントベースのセキュリティ方法は IoT および OT デバイスには適していません。
3) 企業ネットワークにアクセスするすべてのデバイスの ID (デバイスのビジネス環境、トラフィック、リソースの依存関係など) を理解します。
4) セグメンテーションを使用してゼロトラスト原則を実装し、リスク管理のユースケースを満たします。
-
ユーザーとデバイスのアクセスを制御および継続的に監視して、重要なビジネス アプリケーションを保護します
-
重要な IT および OT 機器への特権アクセスを設定する
-
企業の IoT および OT デバイスを適切なゾーンに分割して、攻撃対象領域を削減します。
-
攻撃対象領域を減らすために、パッチを適用したりオフラインにすることができない脆弱なデバイスとレガシー ビジネス アプリ/OSを別のゾーンに含めます