ジョン・キンダーヴォーグが語る「政府機関のためのゼロトラストの3つの真実」

ここ数年、米国の公共部門は、次のような多くのガイダンスを受けてきました ゼロトラスト — から CISAのゼロトラスト成熟度モデル に EO 14028 そして ニストスパ 800-207。膨大な量の情報を整理したり、エージェンシーでどこから始めればよいかわからないと感じるかもしれません。

だからこそ、フェデラル・テック・ポッドキャストは 最近のエピソード ゼロトラストのゴッドファーザーであり創始者であり、イルミオのチーフ・エバンジェリストでもあるジョン・キンダーヴォーグに、ゼロトラストに関する3つの重要な真実を理解してもらいました。この情報は、政府機関がコンプライアンスを順守する際に正しい軌道を見つけ、それを維持する上で不可欠です。 ゼロトラストの義務。

1。ゼロトラストは一度に行うことはできません

Kindervagによると、特に連邦政府において、ゼロトラストについてよく誤解されているのは、ゼロトラストを一度にすべて特定の期間内に実現できるというものです。

しかし、それは彼が戦略を設計した方法とはかけ離れています。

キンダーヴォーグはこう説明する。「それはあなたが進む旅であり、永遠に続く旅だ。

ゼロトラストを今すぐ始めることは、政府機関の構築に不可欠です ミッションレジリエンス。しかし、あなたの機関がいつゼロトラストを完全に達成するかを知ることは不可能です。なぜなら、それは継続的な取り組みだからです。Kindervag氏は、政府機関が尋ねるべきより重要な質問は、 何 いつになるかじゃなくて

「時間についてはあまり気にしませんが、適切なインセンティブとプログラムを実施することについて心配しています」とKindervag氏は言います。

彼は、エージェンシーが最初から最後まで完全になることから始めることを推奨しています 可視性 彼らの環境に。このインサイトがあれば、どこにいるかがわかります。 リスク 嘘をつき、最も危険にさらされ、ミッションにとって最も重要なエリアの保護を優先し、保護対象領域を1つずつ調べます。「ゼロトラストをばらばらに構築できます」と彼は言いました。

2。ゼロトラストは難しくありません

Kindervagは、トップレベルのリーダーからセキュリティ担当者まで、組織全体の共感を呼ぶゼロトラストセキュリティ戦略を策定しました。そのため、この戦略は理解しやすく実装しやすいように設計されました。

「なぜこれらすべての人々がゼロトラストをそんなに難しいように見せかけているのですか？」彼は冗談を言った。「インクリメンタルだよ。保護面を 1 つずつ行います。」

強制を反復的なプロセスにすることで、セキュリティチームは最も重要なものから最も重要度の低いものまで、一度に 1 つのシステム、アプリケーション、またはリソースに集中できます。この方法の大きな利点は、任務に支障をきたすことはほとんどないということです。

Kindervag氏は次のように説明しています。「ゼロトラスト制御を次々と保護対象領域に実装すれば、システムを中断させることはありません。「失敗できるのは、保護面が 1 つだけです。ネットワーク全体や環境全体を台無しにすることはできません。」

3。ゼロトラストを積極的に実装

ゼロトラストは、侵害は避けられないという事実に基づいており、現代のアタックサーフェスのセキュリティ戦略のベストプラクティスを反映しています。

「攻撃対象領域は宇宙のようで、常に拡大しています」とKindervag氏は言います。

従来の防止および検出セキュリティツールは、コンピューティング環境がはるかに小さく、シンプルで、すべてが 1 つの境界内にある時代向けに構築されていました。現在、ネットワークは複雑で分散化されており、境界線もありません。

A ゼロトラストアーキテクチャ 政府機関がこの進化によって増大するリスクを管理するのに役立ちます。「ゼロトラストは問題を逆転させ、保護対象領域と呼ばれる小さくてわかりやすいものに縮小します」とキンダーヴァグ氏は説明します。

予防と検出のツールは依然として重要ですが、進化し続けるサイバー脅威から身を守るには十分ではありません。政府機関は、ネットワーク外部の両方に対してプロアクティブなセキュリティを構築することが不可欠です。 そして インテリア。次のような基本ツールを含むゼロトラストテクノロジー ゼロトラストセグメンテーション (ZTS)、機関が侵害に積極的に備えるのを支援します。

「何か悪いことが起こるまで何もしない人がたくさんいます」とキンダーヴォーグ氏は言い、これはセキュリティについての時代遅れの考え方だと指摘しました。「ひょうの嵐に襲われて、車の保険に入りたいと思うようなものです。保険会社は何て言うの？いいえ、もう遅いです。」

「警備員の後ろではなく、前に出る必要がある」とキンダーヴォーグは勧めた。

ゼロトラストの 5 つのステップ

Kindervagは政府機関に彼に従うよう奨励しています ゼロトラスト導入の 5 段階プロセス 彼らがゼロトラストコンプライアンスを構築するにつれ：

1. 保護面を定義してください: 攻撃対象領域は常に進化しているため制御できませんが、組織の保護対象領域を小さくわかりやすい部分に縮小することはできます。通常、プロテクトサーフェスには 1 つのデータ要素、サービス、または資産が含まれます。

2. 通信とトラフィックフローのマップ: システムの仕組みを理解しなければ、システムを保護することはできません。環境を可視化することで、制御が必要な箇所がわかります。

3. ゼロトラスト環境の構築: ネットワークを完全に可視化できたら、各保護面に合わせた制御の実装を開始できます。

4. ゼロトラストセキュリティポリシーの作成: トラフィックが保護対象領域内のリソースにアクセスすることを許可するきめ細かなルールを提供するポリシーを構築します。

5. ネットワークの監視と保守: テレメトリをネットワークに戻し、フィードバックループを構築してセキュリティを継続的に改善し、回復力があり脆弱性に優れたシステムを構築します。

イルミオは、政府機関がゼロトラストへの取り組みにおけるこれら5つのステップに取り組むお手伝いをします。私たちがどのように支援しているのか、詳細をご覧ください。 政府機関、および お問い合わせ 今日から始めましょう。