18-3. 実施手順を適用するセキュリティ概念

セキュリティリスク分析 • システムで取扱う重要情報のフローやライフサイクルがわかる内容を記載したシステムプロファイルの作成(ステークホルダー、実施業務、他システムとの連携方法などがわかるように作成)
• システムプロファイルに基づくセキュリティ脅威の特定
• セキュリティ脅威の発生可能性、システムへの影響度を踏まえたリスク分析の実施
• リスク分析結果を踏まえたセキュリティ対応方針の決定(リスク対応優先度、遵守すべきセキュリティ標準、検証方法、対応リソースなど)

5.1 情報セキュリティのための方針群
5.9 情報及びその他の関連資産の目録

セキュリティ要件定義 • 遵守すべきセキュリティ標準(セキュリティベースライン)やリスク分析結果などに基づく、システムとして満たすべきセキュリティ要件の定義(機能、非機能面)

8.26 アプリケーションのセキュリティの要求事項

セキュア調達 • セキュリティ要件に基づいて、調達仕様におけるセキュリティ仕様策定
• セキュリティ仕様に関する、委託先との責任範囲の明確化
• 委託先に求めるセキュリティ管理基準の策定
• セキュリティ仕様を満たす能力を有した安全な委託先の選定
• 不正侵入の経路となるバックドアなどが含まれていない、継続的なサポートを受けられる安全なプロダクトの選定

5.19 供給者関係における情報セキュリティ
5.20 供給者との合意における情報セキュリティの取扱い

セキュリティ設計 • セキュリティ設計の実施
> アプリケーションセキュリティ
> OSセキュリティ
> ミドルウェアセキュリティ
> ネットワークセキュリティ
> クラウドセキュリティ
> 物理セキュリティ
> セキュリティ運用(平時、有事)

8.27 セキュリティに配慮したシステムアーキテクチャ及びシステム構築の原則

セキュリティ実装 • 設計に基づくシステムにおけるセキュリティ機能の実装
• セキュリティ設計に基づくアプリケーションのセキュアコーディング
• セキュリティ設計に基づくプラットフォームのセキュリティ設定の実施(堅牢化、要塞化)
> OSセキュリティ
> ミドルウェアセキュリティ
> ネットワークセキュリティ
> クラウドセキュリティ
> 物理セキュリティ

8.28 セキュリティに配慮したコーディング

セキュリティテスト • セキュリティ機能テストの実施(単体テスト、結合テスト、システムテストなど)
• 脆弱性診断の実施
> Webアプリケーション脆弱性診断
> プラットフォーム脆弱性診断
> スマートフォンアプリケーション診断
> 高度セキュリティ診断(ペネトレーションテスト、レッドチーム演習など)
• 機能テストで検出されたバグの是正対応
• 脆弱性診断で検出された脆弱性に対する、リスクベースの是正対応

8.29 開発及び受入れにおけるセキュリティ試験
8.33 試験情報
8.34 監査試験中の情報システムの保護

セキュリティ運用準備 • セキュリティ運用体制の確立
• 下記項目に対応したセキュリティ運用手順の整備平時の運用
> 構成管理、変更管理
> セキュリティ製品のアラート、システムログなどを活用したセキュリティ監視、検知
> 脅威情報収集、自システムへの影響分析
> CVSSなどに基づく、リスクに応じた脆弱性対応
> 定期的な脆弱性診断の実施有事の運用
> インシデント対応
• システム運用において人的ミスが発生する可能性のある箇所の洗い出し、是正
• 有事を想定したセキュリティ運用訓練の実施

• 5.24 情報セキュリティインシデント管理の計画及び準備
• 5.29 事業の中断・阻害時の情報セキュリティ
• 8.9 構成管理
• 8.32 変更管理
• 8.19 運用システムに関わるソフトウェアの導入

セキュリティ運用 • セキュリティ運用を行う要員の教育/訓練の実施、重要な情報を取扱う要員のスクリーニング(要員のスキルや行動特性などを考慮)
• セキュリティ運用の実施(下記)平時の運用
> 構成管理、変更管理
> セキュリティ製品のアラート、システムログなどを活用したセキュリティ監視、検知
> 脅威情報収集、自システムへの影響分析、是正対応
> CVSSなどに基づく、リスクに応じた脆弱性対応
> 定期的な脆弱性診断の実施有事の運用
> インシデント対応

• 5.7 脅威インテリジェンス
• 5.26 情報セキュリティインシデントへの対応
• 5.29 事業の中断・阻害時の情報セキュリティ
• 5.37 操作手順書
• 8.9 構成管理
• 8.15 ログ取得
• 8.16 監視活動
• 8.32 変更管理

　ゼロトラスト(ZT)は、従来の境界線によるセキュリティ対策とは異なり、ネットワーク内のすべてのデバイスやユーザーを信頼せず、あらゆるアクセスをゼロから検証するという考え方です。これにより、内部からの脅威や、一度内部に侵入された場合の被害を最小限に抑えることを目指します。具体的には、多要素認証、最小権限の原則、継続的な監視など、複数のセキュリティ対策を組み合わせることで、アクセス制御を強化します。

企業の主体には、ユーザーに紐づいたアカウントと、サービスに紐づいたアカウントの両方が含まれることがあります。どのユーザーにどのレベルの権限を与えるのかは精査が必要です。
基本的には、必要な対象に必要な権限だけ与えるという最小権限の考え方で整理します。

ゼロトラスト・アーキテクチャ(ゼロトラストの概念を利用し、コンポーネントの関係、ワークフロー計画、アクセスポリシーなどを含むサイバーセキュリティ計画のこと)は、デバイスを識別して管理する機能が必要であり、企業内のデバイスはもちろん、企業所有ではないデバイスについても識別し、監視する機能が必要です。よって、企業の情報にアクセスするデバイスについては、「シャドーIT」も含めて可能な限り資産化する必要があります。なお、企業によって可視化されているもの(例:MACアドレス、IPアドレス)と、管理者のデータ入力による追加分も含まれます。

業務プロセス、データフロー、および組織のミッションにおけるそれらの関係(プロセス)を特定します。次に信用度レベルをつけ、ゼロトラストへ移行するプロセスを決めます。認証・認可の判断を導入することによる失敗のリスクを考慮し、初めはビジネスインパクトの低いビジネスプロセスから開始するとよいでしょう。ある程度、認証・認可の挙動を掴んでから対象を広げていくことで、リスクを抑えることができます。

資産またはワークフローを特定したら、影響を受ける対象をすべて特定します。(上流リソース(例:ID管理システム)、下流リソース(例:セキュリティ監視)、エンティティ(例:主体ユーザー)。次に企業管理者は、候補となるビジネスプロセスで使用されるリソースの信用度レベルの重みを決定します。それらを踏まえて、何を対象に、どこへゼロトラストの機能を導入するのかを決定します。

④で策定した内容をもとに、導入箇所に適するソリューション、製品を検討します。製品、ソリューションについては後述します。

初期導入時には、適用したポリシーや初期動作の確認を含め、監視モードで運用することが推奨されます。初期導入後はしばらくシステムの動作を監視し、必要に応じて、システムの安全性を保ちつつ、業務効率を最大化するために調整を行います。

運用フェーズに入ったら、ネットワークや資産の監視は継続し、トラフィックの記録を行います。これらを実施していく中で、ポリシーの変更や適用箇所の拡大を適宜実施していきます。ポリシー変更などを実施する場合は、深刻な問題にならないように行います。

ゼロトラスト導入に向けた実施手順(例)

準備工程 新たに導入する必要のあるプロセスやシステムを判断することおよびアクセスの認証・認可を正しく行うため、現在の運用状況を把握する。
a. 情報システム管理者は、次の事項を調査し、詳細に理解する。
・ 資産 (デバイスやネットワークなど)
・ 主体 (ユーザー・権限など)
b. 経営者は、次の事項を調査し、詳細に理解する。
・ ビジネスプロセス

• 5.9 情報及びその他の関連資産の目録
• 5.16 識別情報の管理
• 5.18 アクセス権
• 8.2 特権的アクセス権

①企業のアクターを特定 a. 情報システム管理者は、業務に必要な者のみ情報へアクセスできる権限を与える。
b. アクセス権限および操作権限は、認められた場合以外は与えないようにする。

• 5.15 アクセス制御
• 5.16 識別情報の管理
• 5.17 認証情報
• 5.18 アクセス権
• 8.2 特権的アクセス権
• 8.3 情報へのアクセス制限

②企業が所有する資産を特定 a. デバイスを識別して管理する。
企業の情報にアクセスするデバイスは、シャドーITを含めて、すべて識別して管理する。
b. シャドーITは可能な限り資産化する。

• 5.9 情報及びその他の関連資産の目録
• 8.1 利用者終端装置

③キープロセスの特定とプロセス実行に伴うリスクの評価 a. 業務プロセス、データフロー、組織のミッションにおける業務プロセスとデータフローの関係(プロセス)を特定する。
b. 特定したプロセスのうち、ゼロトラストに移行するプロセスを決定する。
認証・認可の判断を導入することによる失敗のリスクを考慮し、初めは組織の事業に与える影響が低いビジネスプロセスを選択し、徐々に対象を広げる。

• 5.29 事業の中断・阻害時の情報セキュリティ
• 5.30 事業継続のためのICTの備え

④ゼロトラスト導入候補の方針策定 a. 資産、プロセスの特定後、ゼロトラストの導入により影響を受ける対象をすべて特定する。
・ 上流リソース(例:ID管理システム)
・ 下流リソース(例:セキュリティ監視)
・ エンティティ(例:主体ユーザー)
b. ゼロトラスト導入候補となるビジネスプロセスで使用されるリソースの重要さを決定する。
c. リソースの重要さを踏まえて、何を対象に、どこへゼロトラストの機能を導入するのかを決定する。

• 5.9 情報及びその他の関連資産の目録

⑤ソリューション候補を特定 ④で策定した内容をもとに、導入箇所に適するソリューションを検討する。

• 5.19 供給者関係における情報セキュリティ
• 5.20 供給者との合意における情報セキュリティの取扱い
• 5.21 ICTサプライチェーンにおける情報セキュリティの管理
• 5.22 供給者のサービス提供の監視、レビュー及び変更管理
• 5.23 クラウドサービスの利用における情報セキュリティ
• 8.21 ネットワークサービスのセキュリティ

⑥初期導入とモニタリング a. ソリューションの初期導入時は、実際に通信の遮断は行わず、適用したポリシーや初期動作の確認を行う。
b. 動作に問題がないことを確認後、運用を開始する。

• 8.16 監視活動

⑦ゼロトラストの適用箇所拡大 a. 運用開始後は、ネットワークや資産の監視は継続しつつ、トラフィックの記録を行う。
b. トラフィックを記録していく中で、ポリシーの変更や適用箇所の拡大を適宜実施する。
c. ポリシー変更を実施する場合は、影響が問題にならないように確認する。

• 8.15 ログ取得
• 8.16 監視活動
• 8.32 変更管理

ゼロトラストを実装するための主な技術要素

CASBとは、クラウドサービスの利活用における情報セキュリティのコンセプトですが、それを実装した製品もCASBと呼ばれます。CASBは、以下の4機能を備えています。
• 可視化
クラウドストレージへの不審なアップロードやダウンロードの監視や、シャドーITの検知を行います。
• データセキュリティ
アクセス権限の逸脱や機密情報の持ち出しをチェックし、ブロックします。
• コンプライアンス
セキュリティに関する基準やポリシーを満たしていることを監査します。
• 脅威防御
セキュリティ脅威の検出、分析や防御を行います。

SWGは、外部ネットワークに対するすべてのアクセスを中継することで、危険なコンテンツをブロック・フィルタリングするセキュリティ製品です。物理的なアプライアンスとして提供されるものもありますが、クラウド型のソリューションが一般的です。利用者によるリスクの高い行為や許可されていない操作をブロックして、エンドポイントデバイスと社内ネットワークの安全性を保ちます。SWGの主な機能は、次の通りです。
• リスクの高いURLやIPアドレスへのアクセスの遮断
• マルウェアの検出とブロック
• アプリケーション制御

ZTNAは、ユーザー認証によって、特定のサービスやアプリケーションへの安全なアクセスを提供する仕組みです。VPNと異なり、ネットワーク全体へのアクセスを許可するのではなく、特定のサービスやアプリケーションのみの利用を許可します(ユーザーが許可されていないサービスなどは表示されず、利用もできません)。必要最小限の権限を付与することで、セキュリティを向上することができます。

FWaaSとは、ファイアウォールやその他ネットワークセキュリティの機能をクラウドサービスで提供するソリューションです。URLフィルタリングやIPS、アプリケーション制御の機能を持ち、セキュリティを高めます。FWaaSは、オンプレミス型のファイアウォールよりもネットワークの変更に柔軟に対応できます。

SDPの機能はほぼZTNAと同じで、ユーザーに特定のサービスやアプリケーションへの安全なリモートアクセスを提供します。SDPは、ネットワークの内部と外部の境界(Perimeter)をソフトウェア上で構築、集中的に制御し、アクセス制御に関わる設定を柔軟に動的に変更することにより安全にデータを転送する技術のことです。従来のファイアウォールの概念をソフトウェア上に持ち、利用者がどこにいても動的にアクセスを制御します。

ゼロトラスト導入事例

地方銀行は、個人顧客向けサービス以外にも、法人顧客向けサービスの充実を図っています。法人向け営業力強化方策の1つとして、営業職員にモバイル端末を配布し、場所を問わずに行内システムにアクセスを可能にすることになりました。そこで、高いセキュリティが求められる金融機関のリモートアクセス環境として、ゼロトラストネットワークアクセス機能を備えた「ZTNA」を導入しました。結果、安全で安定したリモートアクセスが可能となり、業務効率化と営業力強化を実現しました。

営業力強化に向けてモバイル端末の必要性が高まり、次の課題があげられました。
• 行内だけの運用だったモバイル端末活用を、いつでもどこでも働ける環境に拡大すること。
• 渉外用タブレットは、外から行内システムやファイルサーバにアクセスできる必要があること。
• 外部でモバイル端末を利用するためには、セキュリティや性能の担保が必要であること。

次の事項が導入の決め手となりました。
• リモートアクセスとセキュリティのゼロトラスト機能が一体になっていること。
• 動作検証でリモートアクセス時の速度・安定性が高いこと。

導入後の効果は次の通りです。
• 営業職員が行内に戻らず業務を遂行できるようになり、業務が効率化したこと。
• 許容した内容や業務だけの通信に限定できるので、安心して使用できること。
• 今後は渉外用タブレットを活用した業務改革の推進が見込まれること。

IaaSとは、インターネット経由でネットワークやサーバ(CPU・メモリ・ストレージ)などのハードウェアやインフラ機能を提供するサービスのことです。IaaSを利用することで、従来は自社で購入、構築し、運用する必要があったハードウェアやインフラの機能を、必要なときに必要なだけ利用できます。

PaaSとは、インターネット経由でアプリケーションサーバやデータベースなどのアプリケーションを実行するためのプラットフォーム機能を提供するサービスのことです。PaaSを利用することで、アプリケーションの開発前段階で必要な開発環境の準備(サーバの設置やOSやミドルウェアのインストールと設定、ネットワークの設定など)を省略できます。

SaaSとは、インターネット経由で電子メール、顧客管理、財務会計などのアプリケーションソフトの機能を提供するサービスのことです。アカウントを持っていれば、インターネット経由でどこからでもアクセスすることができたり、チームでファイルやデータを共有できたりします。

NaaSとは、インターネット経由でネットワークインフラを提供するサービスのことです。NaaSの導入により、ネットワーク環境の変更に柔軟に対応できるようになります。NaaSに含まれる主要な機能として、SDN、SD-WANなどがあります。

SDN・SD-WAN

VPN

リスク評価と分析 • 組織内の情報資産やプロセスを評価し、セキュリティリスクを特定
• リスクの重要度や影響を評価し、優先順位づけ

• 5.9 情報及びその他の関連資産の目録

ポリシーの策定 • セキュリティポリシーを作成し、組織内での適用範囲や要件を定義
• ポリシーは法規制や業界のガイドラインに準拠

5.1 情報セキュリティのための方針群

技術的対策の実施 • 資産に対してセキュリティ対策の実施
> ワークロード
> データ
> アイデンティティ
> ネットワーク
> デバイスなど

• 5.15 アクセス制御
• 5.16 識別情報の管理
• 5.17 認証情報
• 5.18 アクセス権
• 5.23 クラウドサービスの利用における情報セキュリティ

監視と評価 • セキュリティ対策の効果を監視し、定期的な評価の実施
• セキュリティインシデントが発生した場合は、原因を分析し、対策の改善

• 5.25 情報セキュリティ事象の評価及び決定
• 5.27 情報セキュリティインシデントからの学習
• 5.28 証拠の収集
• 8.15 ログ取得
• 8.16 監視活動

変更管理 • システムやポリシーに変更があった場合、セキュリティに影響を与えないように変更管理プロセスを確立

• 8.32 変更管理

対応計画の策定 • セキュリティインシデントが発生した場合の対応計画を策定し、迅速かつ効果的に対処

• 5.24 情報セキュリティインシデント管理の計画及び準備
• 5.26 情報セキュリティインシデントへの対応

SECaaS(Security as a Service)

SWG(Secure Web Gateway) Webアクセスを中継するプロキシの一種で、危険なサイトやコンテンツへのアクセスを遮断するセキュリティ機能をクラウドサービスとして実施。

SDP(Software Defined Perimeter) アクセス制御をソフトウェアで制御し、認証とアクセス制御を接続ごとに行うことで、動的なマイクロセグメンテーションおよびセキュアなリモートアクセスを実現。

EDR(Endpoint Detection and Response) パソコンやサーバ、スマートフォンなどのエンドポイントデバイスに侵入したマルウェアやランサムウェアなどを検出し、通知するシステム。マルウェア感染後の被害拡大防止に有効。

EPP(Endpoint Protection Platform) パソコンやサーバ、スマートフォンなどのエンドポイントデバイスへのマルウェアの侵入を防御するソリューション。未知のマルウェアの検知・駆除にも対応。

IAM(Identity and Access Management) 情報システムのユーザーIDを管理・認証・認可。

FIDO(Fast Identity Online) ID/パスワード方式に代わる認証技術。指紋や虹彩といった生体情報、公開鍵暗号、端末ID、ワンタイムパスワードなどを利用した認証方法がある。

CWPP(Cloud Workload Protection Platform) クラウド上コンテナ(実行環境)や仮想マシンなどに導入し、クラウドワークロード(クラウド上で実行されるプログラムやアプリケーション)の監視と保護を行うソリューション。

DLP(Data Loss Prevention) 情報漏えい防止を目的とするセキュリティツール。従来のシステムと異なり、データそのものを監視して情報漏えいを防ぐため、高い効果が期待できる。

CASB(Cloud Access Security Broker) クラウドサービスの脆弱性対策ソリューション。クラウドサービスの利用状況を可視化すると同時にクラウド環境への不正アクセス検知と防御も可能。

SIEM(Security Information and Event Management) ファイアウォールやIDS/IPSなどから出力されるログやデータを一元的に集約し、集約したデータを組み合わせて相関分析を行うことにより、サイバー攻撃やマルウェア感染などのセキュリティインシデントをリアルタイムで検知。

CSPM(Cloud Security Posture Management) クラウド環境の設定状況を可視化し、あらかじめ設定したルールに基づいて、不適切な設定や脆弱性の有無を検知。

SOAR(Security Orchestration Automation and Response) セキュリティインシデントの監視、データの収集・分析、対応などのセキュリティ運用業務を自動化・効率化する技術。

FIDO(Fast Identity Online)