ゼロトラストセグメンテーションは、CISAの新しいゼロトラスト成熟度モデルのどこに位置づけられるのでしょうか?

先週、CISA は待望のゼロトラスト成熟度モデル 2.0 をリリースしました。これは、2021 年に最初にリリースされ、業界で認められたゼロトラスト成熟度モデル (ZTMM) の更新版です。

CISA の ZTMM では、急速に進化する環境とテクノロジー環境の中で、現代の組織がサイバーレジリエンスを構築する方法を概説しています。これは、連邦政府機関にゼロトラストアーキテクチャ (ZTA) の開発と実装を義務付けた、バイデン政権の 2021 年の国家サイバーセキュリティの向上に関する大統領令の重要な延長でもあります。

具体的な内容が欠けており、全体としては長期的な連邦政府のレジリエンス目標のより一般的な概要が欠けていますが (このようなアーキテクチャガイドではよくあることですが)、連邦政府のゼロトラストの勢いが継続していることには常に期待が持てます。また、柱や成熟度レベル全体にセグメンテーションガイダンスが散りばめられているため、このような最新の戦術は、連邦政府機関がサイバーレジリエンスの目標をより効果的に達成するのに役立ちます。

ここでセグメンテーションが登場します

多くの場合、連邦政府のIT部門の人々がセグメンテーションについて考えるとき、最初に思い浮かべるのはネットワークです。更新されたZTMMも例外ではありません。ネットワークセグメンテーションは、CISAのZTAのネットワークの柱に関連するセクション5.3に、技術的能力全体として含まれています。CISAは、初期段階では、ネットワークセグメンテーションは次のようになります:「政府機関は、重要なワークロードを分離し、接続を最小機能の原則に制限し、サービス固有の相互接続への移行を備えたネットワークアーキテクチャの展開を開始します。」

実際には、これは最小権限の実践(つまり、暗黙の信頼を制限する)を開始し、重要なワークロードをサーバーから離れてセグメント化し始めることを意味します。簡単に聞こえますよね?

次に、CISAは、より伝統的なレベルでのマクロセグメンテーションの実装から、高度な最適な段階でのより粗いマイクロセグメンテーションの適用まで、成熟度レベル全体でネットワークセグメンテーション機能がどのように見えるかを拡張します。

高度な連邦政府機関の場合、ネットワークセグメンテーションアプリケーションは次のようになります:「政府機関は、エンドポイントとアプリケーションプロファイルの分離メカニズムの展開を、イングレス/エグレスマイクロ境界とサービス固有の相互接続を備えたネットワークアーキテクチャのより多くの部分に拡張します。」

Illumio は、 Illumio Endpointなどのソリューションを使用することで、成熟度レベルを問わず組織がエンドポイントに至るまでゼロトラストセグメンテーション (ZTS) をシンプルかつシームレスに適用できるようにします。

ZTS の原則はネットワークバケットに限定されません。アプリケーションとワークロードのセキュリティについて説明しているセクション 5.4 で、CISA は初期段階について次のように書いています。「機関は、有効期限付きのリクエストごとにコンテキスト情報 (ID、デバイスのコンプライアンス、その他の属性など) を組み込んだアプリケーションへのアクセス承認機能を実装し始めます。」

高度な段階では、「エージェンシーは、拡張されたコンテキスト情報と、最小特権の原則に準拠した強制的な有効期限条件を使用して、アプリケーションアクセスの決定を自動化します。」

これらは、IDとデバイスに関する適用境界の作成、最小権限の原則の適用、検証されたコンテキストに基づくポリシーの自動化など、可視性とセグメンテーションが役立つ場所でもあります。

連邦政府のCTOからのその他の重要なポイント

新しいZTMMの前面にあるとは限りませんが、現実には、セグメンテーションはすべてのバケットに適合し、すべてのゼロトラストレベルの組織にとって不可欠(そして実現可能)です。率直に言って、このテクノロジーがようやくそれにふさわしい称賛を受けるのは有望ですが、やるべきことと教育はまだあります。

特に連邦政府機関がゼロトラストの成熟度のより高度な段階に到達しようとしているため、可視性とセグメンテーションが重要です。ハイブリッド環境(クラウド、オンプレミス、エンドポイント、IT/OT)全体の可視性は、何を保護すべきかを理解するための鍵となります。また、デバイスのコンプライアンスやその他の要件に基づいてアクセスを承認するための常識的なポリシーを導入し、サイロ化のない一貫した適用を提供できます。

ZTS は、ZTA を強化したい連邦政府機関向けの積極的な制御だけではありません。これは、連邦政府機関が侵害を受けた場合でも、任務が妨げられることなく継続できるようにするための重要な事前対策でもあります。実際、Illumio ZTS を活用した組織では、侵害の影響 (または影響範囲) が66%減少し、停止とダウンタイムの減少により380 万ドルを節約できました。結局のところ、真の ZTA は成熟した組織だけでなく、高度で持続的な脅威も考慮する必要があります。

Illumio の ZTS が連邦政府機関のゼロトラスト目標の実現にどのように役立つかについて、詳しく知ることができます。

‍