ゼロトラストネットワークアクセス (ZTNA)

ゼロトラストネットワークアクセス (ZTNA) とは

• IDベースのアクセス: ZTNAは、アクセスを許可する前に、ユーザーとデバイスのIDを利用して検証します。既存のIDPプロバイダーからの認証と承認を使用して、正当なユーザーのみがリソースにアクセスできるようにします。
• きめ細かいアクセス制御: ZTNAは、ネットワークへの包括的なアクセスを許可するのではなく、ユーザーの役割、デバイスの状態、コンテキスト要因に基づいて、特定のアプリケーションまたはサービスへのきめ細かいアクセス制御を行います。
• 最小権限の原則: アクセスは、ユーザーがタスクを実行するために必要なものだけに制限されます。それにより、攻撃対象領域が最小限に抑えられます。
• アプリケーションのセグメンテーション: ZTNAは、複雑なネットワークセグメンテーションではなく、ゼロトラストポリシーを使用して、ユーザーとデバイスが許可された特定のリソースにのみアクセスできるようにし、ネットワーク内での横方向の移動を防止します。
• 継続的な検証: ZTNAは、ユーザーのアクティビティとデバイスの稼働状態を継続的に監視および検証します。ユーザーのセッションが疑わしい場合やデバイスのセキュリティポスチャが変更された場合は、アクセス許可が取り消されることがあります。
• リモート/ハイブリッドワークのサポート: ZTNAは、ユーザーの物理的な場所に関係なくアプリケーションへのセキュアなアクセスを提供するため、リモート/ハイブリッドワーカーを抱える組織に最適です。
• クラウドネイティブ: ZTNAは多くの場合クラウドベースであり、SaaSアプリケーション、パブリッククラウド、プライベートクラウド、プライベートデータセンターなどの最新のエンタープライズ環境と統合されます。

ZTNAの実装はベンダーによって異なりますが、多くのベンダーは、ZTNA導入のベストプラクティスは、準備段階から運用開始までの段階的なプログラムであると述べています。 

• フェーズ1 – 計画と準備: プライベートアプリケーションとユーザー層を洗い出し、よく知られたアプリケーションをZTNAに移行したり、VPNを置き換えたりするなど、初期段階で価値の高いユースケースを決定します。次に、ID、デバイス、アプリケーションの機密性などのアクセスポリシーの入力を定義します。
• フェーズ2 – 構成と有効化: ZTNAのコントロールプレーン/ポリシーレイヤーを構築し、IDプロバイダー (IdP) を統合し、ポリシーやログ記録/可視性を含めた構造化されたアプローチで、ZTNAを管理しやすいSSEコンポーネントに構成します。 
• フェーズ3 – 展開と移行: 最初のアプリケーションとユーザーをオンボーディングし、ワークフローをVPNスタイルのネットワークアクセスからアプリケーション固有のアクセスに移行し、エンドユーザーのエクスペリエンスとアクセス結果を検証します。
• フェーズ4 – 発見、構成、反復: 範囲を反復的に拡大して新たなアプリケーションやフローを発見し、学んだことを生かし、スケールアウトしながら最小権限アクセスを継続的に強化します。
• フェーズ5 – 運用開始: プロセス (ポリシーライフサイクル、オンボーディングランブック、モニタリング、インシデント対応フック) を標準化することで、ZTNAが特別なプロジェクトではなく、「アクセスの仕組み」になります。

セキュリティポスチャの面では、ZTNAは、 「リモートアクセス」の定義をネットワーク拡張からアプリケーション固有のポリシー仲介型アクセスへと変えることで、組織のベースラインを改善します。社内向けの資料では、攻撃対象領域の縮小、横方向の移動の抑制、拠点間でより一貫したポリシーの適用という3つのポスチャ改善点を繰り返し強調します。 

• 露出したインフラストラクチャやスキャンのリスクを減らす: ZTNAは、広範なVPNゲートウェイを公開したり、受信パスを開いたままにしたりする代わりに、接続を仲介して、プライベートアプリケーションが広範囲に検出されず、ポリシー/ブローカーレイヤーにのみアクセスできるようにします。結局のところ、悪意のある攻撃者も、見えないものを攻撃することはできません。
• 横方向の移動を制限することで影響範囲を狭める: ZTNAのモデルでは、ユーザーを企業ネットワークに接続させる必要がなく、アクセスは特定のアプリケーションに限定されます。ユーザーを企業ネットワークから遠ざけることで、企業は横方向の移動を大幅に削減し、それによってリスクを低減できます。
• ハイブリッド環境全体の一貫性とレジリエンスを向上させる: ユニバーサルZTNA (UZTNA) は、ゼロトラストの適用範囲をすべてのアクセス経路 (リモートおよびオンプレミス) に拡張し、ユーザーがカフェにいてもデスクにいても同じポリシーを適用する設計となっています。また、ZTNAプライベートエッジ機能はローカルトラフィックをローカルに保持し、インターネットが利用できない場合でも継続性をサポートできるため、オペレーショナル・レジリエンスが向上するとともに、一貫したセキュリティ管理が維持されます。
• ゼロトラストプログラムの初期段階でリスク軽減の成果を向上させることが多い: ZTNAは多くの組織にとって出発点です。実用的で、ユーザーエクスペリエンスを向上させながらリスクを軽減することで、チームにすぐに成果をもたらします。また、サードパーティアクセス、VPNからの移行、さらには合併・買収の統合の加速といったシナリオにも役立ちます。

• VPNに代わるリモートワーク向けサービス: リモートユーザーをネットワークに接続するために使用されているリモートアクセスVPNをZTNAに置き換えることで、より高速でセキュアなエクスペリエンスを即座に提供できます。
• オフィス内従業員アクセス: オンプレミスユーザーをデフォルトで信頼せず、パブリックホスト型ゼロトラストブローカー、または社内に展開されているプライベートブローカーを利用して、最小権限のアクセスとセグメンテーションの簡素化、ユーザーエクスペリエンスの迅速化、コンプライアンスの簡素化を実現します。
• サードパーティアクセスの保護: エージェントレスアクセスを利用して、企業ネットワークへのアクセスを許可することなく、ビジネスエコシステムのパートナー、サプライヤー、ベンダー、お客様が重要なビジネスデータに安全にアクセスできるようにします。
• M&Aや売却時のIT統合を加速: ZTNAは、重複IPのネットワークアドレス変換 (NAT) に対処するため、またはVDIインフラストラクチャを立ち上げるために、ネットワークを統合 (または分割) することなく、各プロセスを9～14か月間からわずか数日間または数週間に短縮できます。
• VDIの代替: 複雑な仮想環境をZTNAに置き換えることで、従来のVDIの高コスト、スケーラビリティの問題、レイテンシを回避できます。ZTNAは、ユーザーID、デバイスの状態、コンテキストに基づいて、アプリケーションへの直接的なポリシーベースの接続を通じて、安全でシームレスなリモートアクセスを提供します。