ゼロ トラスト フレームワークに合わせて導入を調整する

この記事では、よく知られているゼロ トラスト フレームワークの概要について説明し、Microsoft のゼロ トラスト導入モデルをフレームワークの理解から大規模な導入に移行する方法について説明します。

ゼロ トラストは単一のフレームワークではありません。 これは、複数の業界および政府の標準に合わせたセキュリティ モデルです。 これらの標準は競合するソリューションではありません。 コア概念の定義、進捗状況の評価、組織全体での導入の調整など、ゼロ トラストのさまざまな側面に対応します。

業界フレームワークはゼロ トラスト達成すべきものを定義するのに役立ちますが、組織には、そのガイダンスをソリューションの計画、設計、デプロイのための特定の戦略とアーキテクチャに変換する方法がまだ必要です。

Microsoftのゼロ トラスト導入モデルは、まさにそのことを行います。 これは、業界のフレームワークに合わせて構築される参照戦略とアーキテクチャを提供し、ゼロ トラストの導入と実装を促進します。

Tip

Microsoftには、Security Adoption Framework (SAF) ワークショップなど、豊富なセキュリティ導入ワークショップが用意されています。 Microsoft の構造化導入モデルのガイダンスは、これらのワークショップで提供される Microsoft Unified のエキスパート主導のガイダンスに沿っています。 SAFワークショップの詳細をご覧ください。

NIST ゼロ トラスト

NIST 特別出版(SP)800-207 ゼロ トラストアーキテクチャは、業界で認められたゼロ トラストアーキテクチャの定義を確立します。 特定のベンダー、製品、または展開ロードマップに関係なく、ゼロ トラストとは何か、および信頼の決定がどのように行われるかについて説明します。

NIST SP 800-207 は、組織がセキュリティ、IT、およびアーキテクチャ チーム間で共有できるゼロ トラスト概念の一般的で権限のある定義が必要な場合に最も役立ちます。

NIST の機能

NIST では、リソースへのアクセスが暗黙的に信頼されることのないアーキテクチャとして、ゼロ トラストを明示的に配置します。

NIST のゼロ トラスト原則は次のとおりです。

• 侵害（breach）を前提に、包括的で実践的なセキュリティ対策を実現する。
• 資産へのアクセスを許可する前に、信頼を明示的に確認する。
• 必要最小限の特権を付与して、ブラスト半径を制限します。

アーキテクチャの主な概念は、次の点に重点を置きます。

• コンテキスト信号を使用したアクセス要求の継続的な動的評価。
• 組織のポリシーに照らしてシグナルを評価する一元化されたポリシー決定ロジック。
• 保護されたリソースに近いポリシー適用機能によって、決定が適用されます。

NIST によって定義されるゼロ トラスト概念アーキテクチャでは、ポリシー エンジン、強制ポイント、コンテキスト シグナルを使用してアクセスの決定を評価および適用する方法に重点を置いています。

以下の点に注意してください。

• NIST SP 800-270 では、ID、エンドポイント、データ保護などのテクノロジの柱やセキュリティ ドメインは定義されていません。
• ID、デバイスの体制、アプリケーション、およびデータは、個別のアーキテクチャ ドメインとしてではなく、信頼の決定を通知するサブジェクト、リソース、コンテキストのソースとしてモデル化されます。

Microsoftのセキュリティ導入モデルは、運用フレームワーク内でその原則とコンポーネントを適用することによって、このアーキテクチャに基づいています。

NIST では、信頼の決定がどのように行われ、実施されるかを定義しますが、導入モデルでは、ビジネス計画、所有権、ソリューション設計、実装、進行状況の追跡をガイドするために、セキュリティ規範とテクノロジの柱全体でこれらの機能を整理します。

Implementation

実装ガイダンスは、NIST SP 1800-35 ゼロ トラスト アーキテクチャの実装で提供されています。

この実装ガイダンスの場合:

• NIST は、Microsoftを含む 24 のベンダーと協力して、ゼロ トラストのサイバーセキュリティリファレンス設計を実装する組織向けの実用的な手順を含むガイドの開発に取り組んでいます。
• Microsoft ゼロ トラスト機能を実装するテクノロジを提供するベンダーの 1 つとして参加しています。
  • ID とアクセスの管理。
  • エンドポイントの管理と構成。
  • 脅威の保護と監視。
  • 分散リソースへのアクセスをセキュリティで保護します。

この図は、NIST SP 1800-35 コラボレーションの結果です。 Microsoft サイバーセキュリティ リファレンス アーキテクチャ (MCRA)からダウンロードできます。 MCRA の詳細

CISA ゼロ トラスト成熟度モデル

Cybersecurity and Infrastructure Security Agency (CISA) ゼロ トラスト成熟度モデルは、導入と評価に関して編成されています。 この成熟度モデルは、組織が現在の体制を整理して評価し、改善に優先順位を付け、進捗状況を追跡するのに役立ちます。

CISA の機能

NIST とは異なり、CISA は参照アーキテクチャを定義せず、代わりに特定の設計パターンとは別に機能を評価します。

• このモデルでは、ID、デバイス、ネットワーク/環境、アプリケーション/ワークロード、データなど、柱ベースのドメインが使用されます。
• また、可視性と分析、自動化とオーケストレーション、ガバナンスという 3 つの横断的な機能も定義します。
• また、従来、初期、高度、最適の 4 つの成熟段階をキャプチャします。
• ガバナンスは、スタンドアロンの柱としてではなく、ビジネスの連携、明確な所有権、およびすべてのドメインにわたる測定可能な結果を保証する横断的な機能としても扱われます。

Implementation

このモデルは、Microsoftセキュリティ導入モデルに合わせて通知しますが、Microsoftは、アーキテクチャなどの規範を導入して、NIST SP 800-207 などの概念フレームワークを実用的な実装と橋渡しすることでさらに拡張します。

Cisa	導入の規範/柱	詳細情報
アイデンティティ ID には、認証、承認、ID リスク、ライフサイクルが含まれます。 アプリとワークロードには、アプリのアクセス制御、ワークロード ID、セキュリティで保護されたアプリの操作が含まれます。	規範: ID とアクセス テクノロジ: ID	Microsoftでのアクセス制御は、ID レイヤーとアプリケーション レイヤーの両方にまたがり、CISA によって分離されます。
ガバナンス エンタープライズ全体のポリシー、制御、および適用。	規範: 戦略、統合、ガバナンス セキュリティ アーキテクチャ テクノロジ: すべて。	CISA のポリシーと制御の機能は、SecOps の結果に直接マップされます。 Microsoftでは、ガバナンスの他の側面 (ビジネスの整合、リスク管理、ロールなど) に重点を置き、アーキテクチャの規範と参照アーキテクチャに専念する必要があります。
デバイス デバイス インベントリ、体制、コンプライアンス。ネットワークのセグメント化、セキュリティで保護された接続、環境制御。 非伝統的、制約付き、特殊化されたデバイスを含む。	規範: ID とアクセス、インフラストラクチャ セキュリティ、OT/IoT セキュリティ テクノロジ: エンドポイント	インフラストラクチャの信頼は、デバイスの正常性と制御された接続を通じて確立され、ブラスト半径と横移動を最小限に抑えるゼロ トラストの目標に合わせて調整されます。 Microsoftでは、一意の所有権とリスク管理上の理由から、OT/IoT デバイスを個別の規範と見なします。
アプリとワークロード アプリとワークロードには、アプリケーション アクセス制御、ワークロード ID、セキュリティで保護されたアプリケーション操作が含まれます。	規範: 開発セキュリティ テクノロジ: アプリ	CISA のワークロードフォーカスは、デプロイ後のアクティビティとして扱うのではなく、アプリケーションとサービスのライフサイクルにセキュリティを埋め込むことで、DevSecOps の目標に合わせて調整されます。
Networks ネットワークのセグメント化、セキュリティで保護された接続、環境制御。	規範: ID とアクセス テクノロジ: ネットワーク	Microsoftでは、すべてのアクセス (ID、アプリ、ネットワーク) を 1 つの規範に組み合わせて、テクノロジ全体の明確な戦略、アーキテクチャ、ポリシーの一貫性を促進します。
データ ネットワークの場所に関係なく、データ分類、インベントリ、アクセス制御、暗号化、保護。	規範: データ セキュリティ テクノロジ: データ	どちらのモデルも、データを主要な保護ターゲットとして配置し、境界セキュリティからデータ中心のコントロールへのゼロ トラストのシフトを強化します。
可視性と分析、自動化、オーケストレーション テレメトリの収集、継続的な監視、検出、応答の自動化、ポリシーの大規模な適用。	規範: SecOps テクノロジ: すべて	CISA のクロスカット機能は、脅威の検出、応答の自動化、すべてのドメイン間での信頼の継続的な再評価を含む SecOps の結果に直接マップされます。
すべての柱にわたる成熟度ステージ	セキュリティ態勢	体制管理は、CISA モデルの主要な目的です。現在の状態の評価、ギャップの特定、改善の優先順位付け、時間の経過に伴うゼロ トラスト進行状況の追跡です。

詳細については、「 Microsoft クラウド サービスを使用した CISA ゼロ トラスト成熟度モデルの実装を参照してください。

Open Group ゼロ トラスト リファレンス モデル

Open Group ゼロ トラスト リファレンス モデルは、エンタープライズ機能と統合の観点からゼロ トラストアプローチします。 特定の実装手順を定義するのではなく、組織が大規模にゼロ トラストを定義、統合、運用するために必要な機能とガバナンス構造について説明します。

グループ機能を開く

次のような機能が含まれます。

• Capabilities + Architecture Building Blocks (ABB) は 、永続的なセキュリティ成果を促進するセキュリティ機能と、それらを有効にする人、プロセス、テクノロジを定義します。
• コラボレーションモデルと統合モデルは 、セキュリティを戦略、リスク管理、運用、および組織のその他の側面と統合する方法を示します。

機能は、人、プロセス、テクノロジの要素が連携して構成されます。

• People: Open Group Roles and Glossary standard でロールとして定義されている
• Process: 同じゼロ トラスト参照モデル標準でアーキテクチャ構成要素 (ABB) として定義されます
• Technology: 同じゼロ トラスト参照モデル標準で ABB として定義されます

次の図は、次の機能を示しています。

この図は、これらの機能が NIST サイバーセキュリティ フレームワーク (NIST CSF) の機能にどのように対応しているかを示しています。

Implementation

このモデルは、推奨される導入モデルにマップされます。

グループを開く	導入規範	位置合わせ
ゼロ トラスト戦略と戦略ガバナンス 組織がビジネスに合わせた戦略としてゼロ トラストを確立する方法 (ガバナンス、リスク管理、ポリシーの所有権、人、プロセス、テクノロジの調整など) を定義します。	戦略、統合、ガバナンス	Open Group と Microsoft の両方で、ゼロ トラストは技術的な制御セットではなく、エンタープライズ戦略として明示的に位置付けられます。 これにより、組織全体の役員の配置、所有権、統合が直接サポートされます。
Capability ベースのゼロ トラスト アーキテクチャ アーキテクチャの構成要素と機能グループを提供して、特定のテクノロジや製品を規定することなく、ゼロ トラストアーキテクチャを設計します。	セキュリティ アーキテクチャ	これにより、NIST の抽象アーキテクチャと実装ガイダンスの間の領域が埋め込まれるので、アーキテクトはゼロ トラスト原則をエンタープライズ規模の設計に変換できます。
ID、認証、承認、ポリシー適用の機能 ID を検証し、信頼を動的に評価し、環境間でアクセスの決定を一貫して適用するために必要な機能を定義します。	ID とアクセス	アクセス セキュリティという導入分野に直接対応します。つまり、誰が何にアクセスできるのか、どのような条件下でアクセスできるのか、そしてその決定がどのように強制されるのかを扱います。
データ中心の保護機能 データ分類、保護、ポリシー駆動型アクセスなど、場所に関係なく情報の保護を重視します。	データのセキュリティ	ゼロ トラストにおける境界型セキュリティからデータ中心型セキュリティへの移行を反映しており、導入領域としてのデータ保護と自然に整合します。
可視性、監視、分析、応答の機能 テレメトリの収集、信頼信号の監視、観察されたリスクに基づくポリシーの適応を行う機能が含まれています。	SecOps	継続的な評価と適用を可能にします。これは、ゼロトラスト運用と大規模なセキュリティ監視の中核となるものです。
アプリケーションとサービスの相互作用のセキュリティ機能 セキュリティで保護された対話、サービス ID、ランタイムの適用など、アプリケーションとサービスがゼロ トラストにどのように参加するかについて説明します。	開発のセキュリティ	最新のアプリケーション ライフサイクルとサービス間通信へのゼロ トラストの統合をサポートします。
プラットフォームと環境のセキュリティ機能 ネットワークを信頼境界として扱うことなく、ワークロードをホストするプラットフォーム、ネットワーク、環境の安全な運用について説明します。	インフラストラクチャのセキュリティ	インフラストラクチャのセキュリティをゼロ トラスト原則に合わせて調整します。これは、インフラストラクチャを強制可能として扱いますが、本質的に信頼されていないものとして扱うことです。
拡張環境と従来以外の資産のサポート IT/OT/IoT のコンバージェンスと、制約付き環境と異種環境にわたるゼロ トラスト機能の必要性を明示的に認識します。	インフラストラクチャ (OT/IoT セキュリティ)	OT/IoT では所管を明確に分ける必要がある一方で、エンタープライズの ゼロ トラスト 戦略との整合も求められるという導入実態に合致しています。
機能ベースの成熟度と継続的な改善 脅威とテクノロジの進化に合わせて、現在の状態の評価、改善のガイド、および時間の経過に伴う適応を目的とした機能モデルを提供します。	セキュリティ態勢	ゼロ トラストを、1 回限りではなく、継続的なプログラムとして位置付け、ポスチャ管理の目標に直接合わせます。

Microsoft テクノロジをモデルにマップする

ゼロ トラスト参照モデルには、ゼロ トラスト コンポーネントの全体的な概要も含まれています。 次の図は、Microsoftテクノロジがこれらのコンポーネントにどのようにマップされるかを示しています。

DoD ゼロ トラスト戦略

米国国防総省は、DoD ゼロ トラスト戦略とロードマップを発表しました。

DoD ゼロ トラスト 戦略向けに Microsoft クラウド サービスを構成する方法については、DoD ゼロ トラスト 戦略向けに Microsoft サービスを構成するを参照してください。

次のステップ

ビジネス シナリオを選択 し、セキュリティ規範がシナリオにどのようにマップされるかを学習します。