ゼロトラストの実践 作成者のジョン・キンダーヴァッグ氏とCISOのジャレッド・ヌスバウム氏
ゼロトラストの背後にある心が、毎日ゼロトラストをテストしている誰かと対面するとどうなるでしょうか?
それはまさにイルミオがRSAC 2025のステージにもたらしたものです - ゼロトラストの作成者でありイルミオのチーフエバンジェリストであるジョン・キンダーヴァッグと、アレス・マネジメントのCISOであり、ゼロトラストの旅を内側から生きてきた経験豊富な実践者であるジャレッド・ヌスバウムとの珍しい台本なしの会話です。
ジョンは15年前にこのモデルを紹介しました。Jared は、グローバル企業が IT を採用し、適応し、現実世界の侵害から回復できるよう支援してきました。彼らは一緒に、ゼロトラストがどこから始まったのか、どのように進化してきたのか、そして今日の脅威の状況でゼロトラストを機能させるために何が必要かを解き明かしました。
ここでは、すべてのセキュリティリーダーが心に留めておくべき、彼らの会話から得た6つの重要な洞察を紹介します。
1. ゼロトラストは製品ではなく戦略です
多くのベンダーがゼロトラストをツールとして売り込もうとしているが、これは正確ではない。これは、デジタル環境のセキュリティ確保に関する考え方の戦略的な転換点となる。
会話の中で、ジョンは「ゼロトラストは何よりもまず戦略です。それはあなたが買うものではなく、あなたが行うものです。」
CISOの視点から語ったジャレッドも同意しました。「可視性を高め、リスクを軽減するのに役立つものはすべて勝利です」と彼は言いました。
しかし彼は、ゼロトラストはビジネス成果に沿った考え方と戦略から始めなければならないと付け加えた。セキュリティチームは、ツールやフレームワークを導入する前に、何を保護しようとしているのか、そしてなぜ保護しようとしているのかを理解する必要があります。これにより、セキュリティ関連の支出が適切に優先順位付けされ、取締役会からの強い賛同を得られることが保証されます。
「ゼロトラストは何よりもまず戦略です。それはあなたが買うものではなく、あなたが行うものです。」
— John Kindervag、ゼロトラストの作成者
2. マイクロセグメンテーションが基礎となる
ジョンにとって、セグメンテーションはゼロトラストの基礎となるものだ。実際、ゼロトラストに関する2番目に書かれたレポートは、ジョンが15年前に書いた「ネットワークのDNAにセキュリティを組み込む：ゼロトラストネットワークアーキテクチャ」でした。
レポートの中で、彼はゼロトラストの重要な要素としてセグメンテーションと集中管理の重要性を強調しました。彼は、ネットワークをすべてセグメント化する必要があるため、ネットワークをセグメント化する新しい方法を作成するよう求めました。
会話の中でジョン氏は、攻撃者がアクセスを取得すると横方向に移動できないように、今日のネットワークはデフォルトでセグメント化する必要があると強調しました。「攻撃者が所有しており、請求書はあなたが支払うのです」と彼は言いました。「セグメンテーションはゼロトラストの基盤です。」
ジャレッドは、2013年のターゲット社の情報漏洩事件を例に挙げ、セグメント化されていないネットワークの影響について説明した。攻撃者は、適切なセキュリティ境界が設定されていなかったため、第三者の空調設備ベンダーを経由してアクセス権を取得し、販売時点情報管理システム（POSシステム）に侵入した。
「強力なセキュリティ境界でセグメンテーションを行うことで、可視性と制御が可能になります」と彼は言います。「すべての攻撃者が侵入するのを止めることはできませんが、彼らが非常に遠くまで来るのを防ぐことはできます。」
3. ゼロトラストで小規模から始める
ジョンが目にする最大の間違いの1つは、チームが組織全体にゼロトラストを一度に展開しようとすることです。
「ゼロトラストで失敗するのは、すべてを一度に行おうとするからです」と彼は説明した。「小さなことから始めなければなりません。一度に 1 つの保護面です。」
彼が提唱する、よく知られた5段階のゼロトラスト手法は、個々のニーズに合わせてカスタマイズ可能で、管理しやすく、持続可能な環境を構築することを重視している。
- 保護対象面を定義する。攻撃対象領域は常に変化していることを理解した上で、保護が必要な対象を特定する。
- 取引の流れをマッピングする。通信およびトラフィックの流れを可視化することで、セキュリティ対策が必要な箇所を特定します。
- ゼロトラスト環境を設計する。完全な可視性が確保されたら、保護対象面ごとにカスタマイズされた制御機能を実装する。
- ゼロトラストセキュリティポリシーを作成します。保護対象領域内のリソースへのトラフィックアクセスを許可する、きめ細かなルールを作成する。
- ネットワークの監視と保守を行う。テレメトリを通じてフィードバックループを確立し、セキュリティを継続的に改善し、回復力と耐脆弱性を備えたシステムを構築する。
ヌスバウムは、同じことが実際に繰り広げられるのを見てきました。「企業は、一度に多くのことを引き受けすぎると、ゼロトラストに苦労します」と彼は言いました。「小規模から始めて、ビジネス関係者と連携し、段階的に構築すれば、ゼロトラストは達成可能になります。」
同氏は、環境を理解し、明確な目標を定義し、勢いをつけるために早期に価値を提供することの重要性を強調した。そうしないと、ゼロトラストプロジェクトがすぐに崩壊し、組織のセキュリティ体制が後退する可能性があると警告しています。
4. アイデンティティだけでは十分ではない
ゼロトラストに関する会話ではアイデンティティが中心となることがよくありますが、ジョンは当初からこの概念に異議を唱えてきました。「アイデンティティは1つのシグナルにすぎません」と彼は言いました。「それは常に代替可能です。適切な決定を下すには、より多くのコンテキストが必要です。」
言い換えれば、アイデンティティだけに依存するとリスクが生じます。これは、セッションが乗っ取られたり、ID が悪用されたりする可能性があるためです。
ジャレッドは、ユーザー認証情報だけに着目するのではなく、それ以外の情報にも目を向ける必要性を強調した。「ユーザー、そのデバイス、作業場所、アクセスしているもの、そしてそれが妥当かどうかを継続的に検証する必要がある」と彼は述べた。
彼は、それは人だけの問題ではないと指摘した。ワークロード間の通信も検証および制御する必要があります。「完全なコンテキストがなければ、効果的なポリシーを適用することはできません。」
Illumio InsightsのようなAI監視ツールは、現代のセキュリティが求めるような詳細なコンテキストを提供する。これらは、環境に関する状況を把握し、行動を理解し、異常を明らかにし、物事が本来どのように機能するべきかと実際に何が起こっているかに基づいてリスクを評価するのに役立ちます。
5. ビジネス用語でのサイバーリスクの枠組み
ジョンはゼロトラストを「サイバーセキュリティの壮大戦略」と表現しました。同氏は、政府や企業の間で同様に採用が進んでいることを指摘した。
特に彼は、人事管理局（OPM）のデータ漏洩事件後、その戦略が議会指導者たちにも響いた経緯を語った。この時、攻撃者の行動を制限し、国家安全保障を守ることができるモデルとして、ゼロトラストが認識されるようになった。
しかし、ジャレッドが指摘したように、ゼロトラスト、またはより広範なサイバーセキュリティについて話すのは、ビジネスリスクの観点から組み立てる場合にのみ重要です。
「サイバーリスクはビジネスリスクの一因となりますが、同じではありません」と彼は言いました。「取締役会は滞留時間やランサムウェアのペイロードを気にしません。彼らはダウンタイム、収益の損失、顧客への影響、規制への影響を気にかけています。」
ジャレッドにとって、セキュリティ上の懸念をビジネス上の成果に結びつけることが、組織全体のセキュリティに対する賛同を得て、セキュリティを成功させる鍵となる。
「取締役会は滞留時間やランサムウェアのペイロードを気にしません。彼らはダウンタイム、収益の損失、顧客への影響、規制への影響を気にかけています。」
— Jared Nussbaum、Ares Management CISO
6. ゼロトラストを環境に合わせる
講演中にジョンが述べた最も強力なポイントの1つは、すべてのゼロトラスト環境は組織に合わせて構築されなければならないということでした。
「すべての環境はオーダーメイドです」と彼は言いました。「リファレンス・アーキテクチャを棚から取り出して、それが機能することを期待することはできません。保護面とビジネスのニーズに基づいて設計する必要があります。」
ジャレッド氏もこれに同意し、部門を超えたコラボレーションの重要性を強調しました。
「ゼロトラストはサイロで行うことはできません」と彼は説明しました。「インフラストラクチャチーム、アプリ開発者、ビジネスユニット、さらには経営幹部を巻き込む必要があります。彼らの優先順位やスケジュールに合わせなければ、プログラムは成功しません。」
同氏は継続的なコミュニケーションの価値を強調し、セキュリティリーダーに対し、「計画を早期かつ頻繁に社会化し、ビジネスからのフィードバックに基づいて適応させる」よう促した。
ゼロトラストを戦略に組み込む
John KindervagとJared Nussbaumは、ゼロトラストの創始者として、もう1つはゼロトラストを日常的に適用する実践者として、RSACのステージに異なる視点をもたらしました。しかし、ゼロトラストは1回限りのプロジェクトではなく、旅であるという点で両者は同意した。
「呼吸が終わったら、ゼロトラストは終わりです」とジョンは冗談を言いました。「これは長期的な戦略です。」
より回復力のある基盤の構築を検討しているセキュリティリーダーにとって、ゼロトラストは実証済みの道筋を提供します。それは戦略から始まり、ビジネスの整合性に合わせて拡張され、可視性、コンテキスト、および制御によって成功します。
詳細を確認する イルミオの顧客 組織でゼロトラストを実践している、または 今すぐお問い合わせください ゼロトラストの専門家に相談してください。
.webp)
