ゼロトラストの運用化 – ステップ 2 と 3: どのゼロトラストの柱に焦点を当てるかを決定し、正確な制御を指定する

このブログ シリーズでは、3 月の投稿「 ゼロ トラストは難しくありません…現実的であれば」で紹介したアイデアを詳しく説明します。

その投稿では、ゼロトラストを達成するための 6 つのステップを概説しました。ここでは、大小の組織のマイクロセグメンテーション実践者がプロジェクトをより成功させるために使用できる強固なフレームワークを提供するために概説された 6 つのステップのうちの 2 つをさらに深く掘り下げていきます。始める前に、各ステップを視覚的に表現します。

ステップ 2: どのゼロトラストの柱に焦点を当てるかを決定する

このシリーズのパート 1では、「保護対象の特定」について説明し、長期的な目標である企業全体でのゼロ トラストの導入を達成するには、小規模から始めて、理想的には以下の 3 つの基準のうち少なくとも 2 つに一致する候補アプリケーションを探すことが賢明であると推奨しました。

• ゼロトラストセキュリティ原則(コンプライアンスや規制の要件、対処する必要がある監査結果、侵害への対応など)を採用するための強力な推進力を持っている。
• は、重要なアプリケーションとしてマークされています。
• モルモットになる意欲を持ちましょう。

組織内を調べて、 PCI データを処理するアプリケーションを見つけたため、 PCI-DSS 要件に準拠する必要があると想像してください。また、このアプリケーションは「過剰なネットワーク アクセス」に関する監査結果も出ており、顧客の支払いシステムの重要なコンポーネントとしてマークされています。何度も説得した結果、アプリケーション チームは、アプリケーションを適切に保護するためにゼロ トラスト フレームワークを採用するために私と協力することに同意しました。選択基準のリストをざっと見返してみると、選択したアプリケーションが 3 つの要件をすべて満たしていることがわかります。

そこで、このイテレーションでどのゼロトラストの柱に焦点を当てるべきかを決定することに移ります。

この段階で保護するアプリケーションを特定する際に非常に焦点を絞ったアプローチを取る必要があるのと同じように、ゼロトラスト自体へのアプローチ方法を決定する際にも同様の態度を適用する必要があります。1つのサイクルですべての柱に対処しようとするのは、野心的で非現実的であり、多様なコントロールとテクノロジーを実装する必要があり、比較的迅速で測定可能な進歩を遂げるという推奨目標を妨げるでしょう。

Forrester は実際に、 ゼロ トラスト成熟度モデル評価ツールを提供しており、実践者が組織のゼロ トラスト導入におけるギャップを特定できるように支援しています。また、これらの結果を使用して、重点的に取り組むべき特定のゼロ トラストの柱を特定できます。選択したアプリケーションに対してこの評価を実行し、アプリケーションを実行するワークロードの保護に重大なギャップがあることが判明し、具体的には、ネットワーク全体から簡単にアクセスできることが強調表示されたとします。これにより、この特定の反復では、アプリケーションをホストするワークロードの保護に重点が置かれ、この領域で優れた可視性が得られるようになります。

ステップ 3: 正確なコントロールを指定する

ワークロード保護には、OS とインストールされているアプリケーションの効果的なセキュリティ保護とパッチ適用、ウイルス対策、EDR、ファイル整合性監視、ホストベースのファイアウォールなどのホストベースの脅威保護制御など、多くのセキュリティ機能が含まれますが、これらに限定されません。

ゼロ トラスト成熟度評価のステップ 2 では、アプリケーション ワークロードへの過剰なネットワーク アクセスがゼロ トラストの最も重大なギャップであると特定されているため、アプリケーションをゼロ トラストの取り組みの中でさらに一歩前進させるために適用するセキュリティ制御として、ホストベースのファイアウォール、またはより一般的にはマイクロセグメンテーションに重点を置くことをお勧めします。

Illumio に入社する前の実務者としての私自身の個人的な経験から、マイクロセグメンテーションを効果的に実装するには、アプリケーションの上流と下流の依存関係に対する優れた可視性が必要であり、それによってワークロードを保護するための最小権限のホワイトリストベースのゼロトラスト ポリシーを構築および検証するための適切な情報が得られることを知っています。

したがって、ワークロードの保護とそれに関連する可視性と分析に重点を置き、この段階ではマイクロセグメンテーション制御のみを構築する予定であることを明確にすると、このビジョンを実現するために必要な入力データを特定する準備が整います。そして、まさにそれが、このシリーズの次回で私が焦点を当てる点です。

次の投稿で詳しく知るのが待ちきれませんか? 私たちのページにアクセス マイクロセグメンテーションを使用してゼロトラスト戦略を運用し、内部スクープを取得する方法について。