変更要約: 初版
4.4ゼロトラストと新しい防御
「境界の内側は信頼できる」という前提を捨てるゼロトラストアーキテクチャ（すべてを検証・マイクロセグメンテーション）、攻撃者の動向を収集・分析する脅威インテリジェンス（OSINT）、証拠保全と完全性を重視するデジタルフォレンジックス、IoTセキュリティと制御システム（OT）セキュリティ、そしてセキュアブート・TPM・SEDによるハードウェアレベルの防御を学びます。
これまでの節で見た「境界を守り、多層で防御する」という発想は、社内ネットワークの内側は基本的に信頼できるという前提の上に成り立っていました。しかしクラウド利用・リモートワーク・内部不正の増加により、この前提自体が崩れています。この節では、境界防御からゼロトラストへの移行を、どのような動機と設計判断で行うかという視点で新しい防御の考え方を学びます。
4.4.1ゼロトラストアーキテクチャ
- ゼロトラストアーキテクチャ＝「社内ネットワークの内側だから信頼する」という境界防御の前提を捨て、社内・社外を問わずすべてのアクセスを都度検証する設計思想。利用者の認証・端末の健全性・アクセス先の機密度などをアクセスのたびに評価し、最小権限でのみ許可する。
- マイクロセグメンテーション＝ネットワークを細かい単位（ワークロード単位等）に分割し、セグメント間の通信を都度検証・制限する技術。境界防御の「一度内側に入れば内部を自由に横展開できる」弱点に対し、内部でも侵害が水平展開しないように封じ込める。
「ゼロトラスト＝境界内も信頼せず都度検証」「マイクロセグメンテーション＝内部の水平展開（ラテラルムーブメント）を封じ込める」が最頻出です。「ゼロトラストは境界防御（ファイアウォール等）を完全に不要にする」という誤解に注意——既存の対策を置き換えるのではなく、検証の粒度と範囲を拡張する発想です。
4.4.2脅威インテリジェンスとデジタルフォレンジックス
- 脅威インテリジェンス＝攻撃者のTTP（戦術・技術・手順）、既知の悪性IPアドレス・ドメイン、業界固有の攻撃動向などを収集・分析し、自組織の防御に活かせる形に加工した情報。公開情報源（ニュース・SNS・フォーラム等）から収集するOSINT（Open Source Intelligence）が代表的な収集手法の一つ。受動的な検知から、事前に狙われやすい弱点を潰す能動的な防御へ転換する土台になる。
- デジタルフォレンジックス＝インシデント発生後に、電子的証拠（ログ・メモリダンプ・ディスクイメージ等）を法的・技術的に有効な形で収集・保全・分析する手法。証拠の完全性（改ざんされていないことの証明）を保つため、収集時点でハッシュ値を記録し、以降の作業ではコピー（イメージ）に対して行い原本は変更しないことが原則。
4.4.3IoT・制御システム（OT）セキュリティ
- IoTセキュリティ＝センサー・カメラ等のIoT機器はリソース制約が大きく、頻繁なパッチ適用や高機能なエージェント導入が難しいという前提に立ち、初期パスワードの変更・不要な機能の無効化・ネットワーク分離（IoT専用セグメント）といった運用面での対策が中心になる。
- 制御システム（OT：Operational Technology）セキュリティ＝工場やプラントの制御機器を守る対策。可用性（止めない）が最優先であり、IT系のように気軽に再起動・パッチ適用ができない点がIT側のセキュリティ対策との根本的な違い。IT系ネットワークとOT系ネットワークを論理的・物理的に分離することが基本方針となる。
ある製造業の企業で、クラウド活用とリモートワークの拡大に伴い、従来の「社内LANの内側は信頼する」境界防御モデルの限界が露呈したとします。営業担当者が社外から様々なネットワーク経由で基幹システムにアクセスするようになり、境界（ファイアウォール）さえ突破されれば内部を自由に移動できてしまうリスクが顕在化しました。そこでCSIRTはゼロトラストアーキテクチャへの移行を検討します——利用者認証・端末の健全性（パッチ適用状況等）・アクセス先の機密度をアクセスのたびに評価し、たとえ社内LANからのアクセスであっても無条件には信頼しない設計に転換し、さらに基幹システムを機能単位にマイクロセグメンテーションして、万一あるセグメントが侵害されても他のセグメントへの水平展開を防ぐ構成とします。この移行の動機は「境界の内側は安全」という前提がクラウド利用・リモートワーク・内部不正のいずれによっても崩れたことにあり、既存のファイアウォールを撤去するのではなく検証の粒度を全アクセスに拡張する判断である点が重要です。並行して、脅威インテリジェンス（OSINTで収集した攻撃者の最新の手口）を踏まえ、自社が狙われやすい弱点を事前に洗い出して先回りで塞ぐ運用へ移行します。一方、この企業が保有する工場のOT環境では、可用性最優先のため頻繁なパッチ適用ができず、IT環境と同じゼロトラストの仕組みをそのまま持ち込めないため、IT/OTネットワークの分離と、機器のセキュアブート（起動時にファームウェアの署名を検証し改ざんされたコードでの起動を防ぐ）やTPM（Trusted Platform Module）（鍵をハードウェア内に安全に保持する専用チップ）、SED（Self-Encrypting Drive）（ドライブ自体が透過的にデータを暗号化し、盗難時も内容を読み取れなくする）といったハードウェアレベルの防御を優先します。万一インシデントが発生した際は、原本のディスクを直接調査せず、ハッシュ値を記録した上でイメージのコピーに対してデジタルフォレンジックスを行い、証拠の完全性を保ちながら原因究明と再発防止につなげます。
| 観点 | 境界防御モデル | ゼロトラストモデル |
|---|---|---|
| 信頼の前提 | 境界の内側は信頼する | 内外を問わず都度検証する |
| 侵害後のリスク | 内部を自由に水平展開されうる | マイクロセグメンテーションで水平展開を封じ込める |
| 主な検証対象 | 境界を通過する通信のみ | 利用者・端末・アクセス先を都度評価 |
ひっかけ： 「ゼロトラストアーキテクチャを導入すればファイアウォールなどの境界防御は不要になる」は誤りです——ゼロトラストは検証の対象と粒度を全アクセスへ拡張する発想であり、既存の境界防御を置き換えるものではありません。また「デジタルフォレンジックスは原本のディスクを直接調査してよい」も誤り＝証拠保全のため原本は変更せず、ハッシュ値を記録した上でコピー（イメージ）に対して分析するのが原則です。
4.4.4この節のまとめ
- ゼロトラストアーキテクチャは境界内も信頼せず都度検証、マイクロセグメンテーションは内部の水平展開を封じ込める
- 脅威インテリジェンス（OSINT）は能動的な防御の土台、デジタルフォレンジックスは原本を変更せずハッシュ値で完全性を保ちコピーを分析
- IoT/OTセキュリティは可用性優先・パッチ困難という制約に応じ運用面とネットワーク分離で対策、セキュアブート/TPM/SEDはハードウェアレベルの防御
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. クラウド活用とリモートワークの拡大により、社内LANからのアクセスであっても無条件に信頼できなくなった。境界の内側かどうかにかかわらず、利用者認証・端末の健全性・アクセス先の機密度をアクセスのたびに評価する設計思想はどれか。
Q2. インシデント対応で電子的証拠を収集する際、証拠としての完全性を保ちながら分析を行うために最も適切な手順はどれか。
Q3. 工場の制御システム(OT)環境において、IT環境と同じセキュリティ対策をそのまま適用することが難しい根本的な理由として最も適切なものはどれか。