世界中の政府や組織のゼロトラスト アーキテクチャの導入を支援する

※この投稿は米国時間 2022 年 5 月 13 日に、Google Cloud blog に投稿されたものの抄訳です。

Google では 10 年以上前から、ほとんどの運用にゼロトラスト アプローチを適用しています。ゼロトラストの中核にある「相互接続された複雑なシステムを構成するコンポーネントのうち、どれか一つでも盲目的に信頼すると、重大なセキュリティ リスクを招く可能性がある」という考えは、セキュリティ アーキテクチャをどのように運用・構築するかを検討するための基礎となります。

Google がセキュリティ ジャーニーを歩み始めた当初は、どんなに努力を払っても、ユーザー認証情報がたびたび悪意のある者に盗まれました。こうした理由から生まれたのが BeyondCorp フレームワークです。Google では、ユーザーの生産性を下げずに不正アクセスから守るための新たな方法を必要としていました。また、広大な世界とやり取りするソフトウェアで境界ベースの信頼モデルを使用すべきでないことも理解していました。このような認識は、ゼロトラスト パラダイムを本番環境ワークロードにまで拡大する BeyondProd フレームワークにおいて、多層的な保護という概念の導入につながりました。

今年初めに、米国行政管理予算局（OMB）は、米国政府をゼロトラスト アーキテクチャに移行する連邦戦略を発表しました。これは、国家のサイバーセキュリティの改善に関する大統領命令 14028 の下でモダナイズを果たすという米国政府の取り組みにとって重要な一歩となります。それと同時に、英国の国家サイバー セキュリティ センター（NCSC）によるガイダンスでもゼロトラスト セキュリティ アプローチへの移行が呼びかけられており、2021 年に NCSC が発表したレポートでゼロトラスト アーキテクチャの設計原則が概説されています。

ゼロトラスト アプローチの採用は、公共セクター内外の組織にとって、規制要件とセキュリティ上の脅威の両面への対処において一歩先を行くための手段となる可能性がありますが、そのためには周到な計画と慎重な実施が要求されます。Google の目標は、既存のお客様の経験や知識と、ゼロトラストの実装に関する Google 独自の経験を活かして、ゼロトラストのベスト プラクティスを集約することです。

Google Cloud はゼロトラストに移行する政府機関にどのように貢献するか

政府機関のお客様には、リモート アクセス、安全なコラボレーション、境界セキュリティに対して Google のゼロトラスト能力を活用していただけます。お客様のゼロトラストのニーズにより的確にお応えするため、Google は 2021 年 1 月に BeyondCorp Enterprise をリリースしました。これは、クラウド上またはオンプレミスにあるリソースやアプリケーションに対するゼロトラストの安全なアクセスを提供するソリューションです。BeyondCorp Enterprise は、長年にわたり自社向けに世界中でゼロトラストを実装してきた Google 独自のイノベーションを基に構築されています。Chrome ブラウザと Google のグローバル ネットワークを利用し、統合された脅威保護とデータ保護をリアルタイムで提供します。

以下に、ホワイトハウスが最近発行した覚書（M-22-09）やその他のゼロトラストに関する世界各国政府のガイダンスで定められたゼロトラスト サイバーセキュリティ原則を取り入れようとする組織における BeyondCorp Enterprise の応用法を 5 つご紹介します。

1. エンタープライズ アプリケーションを公共のインターネットを介して使用できるようにする: VPN の使用は、IT 部門やサイバーセキュリティ管理者だけでなくエンドユーザーにも日常的な負担や長期的な課題をもたらすことが知られています。BeyondCorp Enterprise は、ウェブ アプリケーション（SaaS アプリやクラウド上でホストされているアプリを含む）へのシームレスで安全なアクセスに加えて、一元的な管理、脅威保護、データ保護機能もユーザーに提供します。これらはすべて Chrome ブラウザに組み込まれています。BeyondCorp Enterprise を通じて、エンドユーザーはアプリケーションに簡単にアクセスでき、エンタープライズ グレードのセキュリティも引き続き手にすることができます。その代償として生産性やユーザー エクスペリエンスが犠牲になることはありません。

2. フィッシング耐性のある多要素認証を利用して安全なリソースにアクセスする: 多くのサイバー攻撃は、ユーザーを感染ウェブサイトに誘導して認証情報を盗もうとするフィッシング メッセージから始まります。M-22-09 で推奨されているフィッシング耐性のある多要素認証（MFA）の使用は、巧妙なオンライン攻撃から個人を保護できます。BeyondCorp Enterprise はフィッシング耐性のある強力な認証をサポートしており、Titan セキュリティ キーなどの要素を、アプリケーション レイヤで適用されるアクセス ポリシーの属性として使用できます。

フィッシング耐性のある MFA 手法を個々のアプリケーションやリソース用のアクセス ポリシーにどのように組み込むかは、カスタマイズできます。フィッシング保護は、Google セーフ ブラウジングという形で Chrome ブラウザにも組み込まれています。これらの機能により、悪意のあるコンテンツへのアクセスのブロック、フィッシング サイトの検出、マルウェアの転送の防止、安全でない行為のレポートの生成が可能となり、不正な行為者に対する防御がより一層強化されます。

3. コンテキスト アウェアな認可を使用する: 米国連邦戦略では、「ゼロトラスト アーキテクチャには、より粒度の細かい動的に定義された権限を組み込むべきである」、「すべてのアクセス リクエストを評価し、それが適切かどうかを判断すべきである」とされています。コンテキスト アウェアな認可により、組織はユーザーに関するさまざまなコンテキスト シグナル（役割、場所、時刻など）を含むアクセス ポリシーを作成し、これをカスタマイズできます。ユーザーと BeyondCorp で保護されたリソースとのすべてのやり取りは、リアルタイムでそのリソースのアクセス ポリシーと照らし合わせて評価され、ユーザーがそのリソースへのアクセスを許可されていることが確認されます。さらに、リクエストごとのレベルでのすべてのやり取りの継続的な認可により、リソースの保護が維持されます。

4. デバイスレベルのシグナルを認証に組み込む: Google では、信頼はユーザーの ID とデバイスについてわかっていることに基づいて与える必要があると考えています。OMB も同様に、ID 情報に加えて少なくとも 1 つのデバイスレベル シグナルを認証に組み込むことを推奨しています。BeyondCorp Enterprise ではユーザーによるエージェントのインストールなしでデバイスレベルの属性をサポートしているため、Chrome ブラウザで Endpoint Verification 拡張機能を利用することでこれを簡単に実現できます。この拡張機能を有効にすると、管理者はエンドポイントのセキュリティ体制に関する情報を収集し、粒度の細かいリソース アクセス ポリシーを簡単に構築して実施することができるようになります。エージェントレス アプローチを通じてこの情報を収集・利用できることは、個人所有デバイス ポリシーを導入している、または従業員に管理対象外デバイスの使用を許可している BeyondCorp Enterprise ユーザーにとって特に有益です。

5. ゼロトラスト戦略に外部の人材を含める: ゼロトラスト アプローチは、適切なときに、適切な目的のために、適切なユーザーに対して安全なアクセスを提供することを狙いとしており、フルタイムの職員だけでなくすべてのユーザーを対象にする必要があります。政府機関が多くの重要なミッションを遂行するにあたって、契約制の職員やパートナーの力は欠かせません。困ったことにこうした外部の人材は、与えられている特権的アクセス権が多すぎる場合や、アクセス権をプロビジョニングする前に各自のセキュリティ プラクティスが適切に評価されていなかった場合、しばしば攻撃に対してより脆弱になります。それと同時に、連邦管理者は必ずしも第三者のデバイスやソフトウェアを直接管理できるとは限らず、そのことが安全なアクセスを難しくする要因となる可能性もあります。

BeyondCorp Enterprise は、保護プロファイルという機能をサポートしています。これは、外部の人材にゼロトラスト アクセスを付与するのに最適なソリューションです。保護プロファイルを使用すると、ユーザーが管理対象外デバイスからリソースに安全にアクセスでき、エージェントをインストールすることなく同じセキュリティ機能によってユーザーを保護できます。さらに、管理者は危険な行為を可視化し、保護プロファイル内から発生したセキュリティ イベントを見ることができます。

NCSC ゼロトラスト原則の Google Cloud への適用

昨年、英国政府の NCSC は、組織がゼロトラスト アーキテクチャを確実に取り入れられるように、ゼロトラスト アーキテクチャの設計原則を発表しました。英国の官民さまざまな組織を支援するため、Google サイバーセキュリティ対応チーム（GCAT）は、Google Cloud のテクノロジーやサービスをどのように利用すればこれらの原則にかなうかを概説した詳細な研究報告を公開しました。これは、NCSC がまとめた上記原則のもとでゼロトラスト戦略の策定や実施を担当するエンタープライズ アーキテクトやセキュリティ アーキテクト向けの技術ガイドで、以下の各点からなります。

• アーキテクチャ（ユーザー、デバイス、サービス、データを含む）を知る。Google Cloud Professional Services Organization（PSO）が調査、計画、リスク軽減を支援します。

• ユーザー、サービス、デバイスのアイデンティティを知る。Cloud Identity のリファレンス アーキテクチャも紹介しています。

• ユーザーの行動、デバイス、サービスの状態を評価する。Google Cloud と Chronicle の組み込みレポートを利用します。

• ポリシーを使用してリクエストを認可する。BeyondCorp Enterprise のポリシーベースの認可を使用します。

• 認証と認可をあらゆる場面で行う。BeyondCorp フレームワークと BeyondProd フレームワークを組み合わせることで、ユビキタスな認証と認可を実現できます。

• モニタリングの重点をユーザー、デバイス、サービスにおく。デバイス管理とクラウドネイティブなモニタリング機能を使用します。

• 自社固有のものも含め、いかなるネットワークをも信頼しない。詳細については、Google の安全性を重視して設計されたインフラストラクチャを確認してください。

• ゼロトラストを考慮して設計されたサービスを選択する。BeyondCorp でモダン アプリケーションやレガシー アプリケーションを保護する方法を確認します。

組織向けのゼロトラスト評価および計画サービス

複雑な環境を管理しながらゼロトラストを取り入れようとしている組織にとっては、経験豊富なサポートやガイダンスが大いに役立ちます。Google サイバーセキュリティ対応チーム（GCAT）は、公共部門のお客様向けの専門のコンサルティング エンゲージメントやワークショップを通じて、お客様がクラウドのゼロトラスト セキュリティ要件とコンプライアンス要件を満たせるように尽力しています。米国連邦政府機関に課されるサイバーセキュリティ要件は、大統領命令やホワイトハウス指令によってますます増大しています。Google Cloud ソリューションがそれらの要件をどのようにサポートしているかについては、こちらをご覧ください。

GCAT の数週間にわたる Zero Trust Foundations は、事業全体でゼロトラスト セキュリティ モデルを実現するための戦略を構築しようとしている組織向けのエンゲージメントです。Zero Trust Foundations は、Google Cloud の CISO オフィスと公共部門担当の Professional Services Organization が共同で実施しています。Google が自ら経験した BeyondCorp ゼロトラスト ジャーニーと多層防御に関するベスト プラクティスのグローバルな実装から得られた教訓を共有することで、お客様のゼロトラストへの取り組みの焦点を明確にし、ゼロトラストの導入を加速させます。詳細については、こちらからお問い合わせください。

Google Cloud がゼロトラスト ジャーニーに乗り出した組織をどのように支援できるかについてさらに詳しく知りたい場合は、5 月 17 日に開催される今年 2 回目の Google Cloud Security Summit に参加し、すでに Google のゼロトラスト ソリューションを使用して組織のセキュリティ目標を達成しているお客様の声を直接お聞きください。

^{著者略歴:} 

^{Jeanette Manfra は、米国国土安全保障省サイバーセキュリティ・インフラストラクチャ セキュリティ庁でアシスタント ディレクターを務めていました。Dan Prieto は、米国国防総省で Defense Industrial Base Cybersecurity プログラムのディレクターを務めていました。両名はいずれも、国家安全保障会議のサイバーセキュリティ委員会のメンバーとしてホワイトハウスでも勤務していました。}