技術解説
「社内だから安全」は通用しない！クラウドで始めるゼロトラスト実践ガイド
クラウドサービスの普及や働き方の多様化により、企業のIT環境は大きく変化しています。社内外を問わずシステムへアクセスすることが当たり前となり、「社内ネットワークだから安全」という従来の前提は通用しなくなりました。サイバー攻撃も年々高度化・巧妙化しており、企業規模を問わずセキュリティ対策の見直しが急務となっています。
こうした状況を背景に注目されているのが、ユーザーや端末、アクセス内容を都度確認し、必要なアクセスのみを許可する「ゼロトラスト」という考え方です。
本記事では、ゼロトラストの基本的な考え方を整理したうえで、実現に必要な要素、クラウドを活用するメリット、FJcloud-Vで取り組める対策について詳しく解説します。
ゼロトラストとは
ゼロトラストとは、「社内だから安全」「一度認証したユーザーだから信頼できる」といった前提に頼らず、アクセスのたびに確認・検証を行うセキュリティの考え方です。2010年に米国の調査会社 Forrester Research の John Kindervag 氏が提唱した考え方として知られています。
従来の境界防御では、社内ネットワークを信頼できる領域、社外を信頼できない領域として区別するのが一般的でした。一方、ゼロトラストではネットワークの内外を問わず継続的に評価・検証を行うことを前提としています。
あらゆる企業で求められるゼロトラスト
ゼロトラストの必要性は、大企業だけではなく中小企業にも共通しています。近年のサイバー攻撃は企業規模を問わず「侵入しやすいかどうか」を基準に標的を選ぶ傾向にあり、対策が不十分な企業ほど攻撃対象となるリスクが高まっています。
ひとたび攻撃を受ければ、データの消失や情報漏えい、信用低下、業務停止など事業活動全体に深刻な影響が及びます。特に人員や体制が限られている企業では、復旧に時間を要し、事業継続そのものが困難になることもあります。
こうしたリスクに備えるためには、「常に評価・検証する」というゼロトラストの考え方を取り入れ、セキュリティ対策を見直すことが重要です。
ゼロトラストの仕組みや構成要素については、「クラウド時代のセキュリティモデル『ゼロトラストネットワーク』」をご確認ください。
ゼロトラストを構成する主な要素
ゼロトラストは、特定の製品やサービスを導入するだけで実現できるものではなく、複数のセキュリティ機能を適切に組み合わせる必要があります。中でも重要となるのが、以下の4つです。
- アクセス制御（ID管理・多要素認証）
- ネットワーク分離（マイクロセグメンテーション）
- ログ監査
- インターネット非公開構成
アクセス制御（ID管理・多要素認証）
ID管理により、ユーザーやサービスのIDを一元管理し、適切な権限を付与・管理します。また、多要素認証（MFA）により本人確認を強化し、不正ログインのリスクを低減します。
これらを組み合わせることで、利用者の役割やアクセス元、端末の状態に応じたアクセス制御を実現します。
ネットワーク分離（マイクロセグメンテーション）
システムや業務ごとにネットワークを細かく分割し、必要最小限の通信のみを許可することで、攻撃の横展開を防止します。
ログ監査
アクセス履歴や操作履歴を記録・分析し、不審な挙動の早期発見やインシデント発生時の原因調査に活用します。
インターネット非公開構成
システムをインターネットへ直接公開せず、閉域網やVPNを利用してアクセスする構成です。外部からの攻撃リスクを低減し、多層防御を実現する有効な手段の一つです。
これら4つの要素が連携することで、「誰が」「どの端末から」「何に対して」「どのような操作を行うのか」を継続的に検証し、不正アクセスや情報漏えいのリスクを低減します。
ゼロトラストとクラウドの親和性
オンプレミス環境でゼロトラストを実現するには、認証基盤やファイアウォール、VPN、ログ管理基盤などを個別に導入・構築し、それぞれを連携させる必要があります。
さらに、ポリシーの変更やソフトウェアの更新、ログの収集・分析なども複数の製品を横断して管理しなければならず、構成が複雑化し、運用負荷が増大しやすいという課題があります。
一方、クラウド環境ではこうしたゼロトラストを構成する要素が標準サービスとして提供されているため、必要な機能を効率的に組み合わせることが可能です。一から構築する場合と比べ、ゼロトラストに求められる継続的な検証の仕組みを導入・運用しやすいというメリットがあります。
こうしたゼロトラストの実現に必要な機能を備えたクラウド基盤の一つが、FJcloud-Vです。
ゼロトラスト基盤としてのFJcloud-V
FJcloud-Vは、ゼロトラストの考え方に基づくシステム設計を支援する富士通の国産クラウドサービスです。AIによる予兆検知を活用した高可用性のインフラと、政府情報システムのためのセキュリティ要件を満たす対策を備え、業務継続性と安全性の両立を支援します。
ここからは、「アクセス制御」「ネットワーク分離」「ログ監査」「インターネット非公開構成」の4つの観点から、FJcloud-Vで実現できる対策を紹介します。
アクセス制御を実現する機能
前述のとおり、ゼロトラストの重要な要素の一つである「アクセス制御」を実現するには、本人確認の強化と、ユーザーごとに必要最小限の権限を付与することが重要です。
FJcloud-Vでは、多要素認証（MFA）とアクセス権限の細かな管理機能を組み合わせることで、不正ログインや権限の過剰付与によるリスクを低減し、より強固なアクセス制御を実現できます。
例えば、コントロールパネルへのログイン時には「ワンタイムパスワード（OTP）」を利用することで、パスワードのみに依存しない認証を実現できます。
また、「IP許可制限」により、コントロールパネルやAPIへのアクセス元を特定のホストやIPアドレスに限定できます。
さらに、「マルチアカウント」機能を利用することで、ユーザーごとに操作可能な範囲を細かく設定できます。
例えば、管理者や運用担当者、委託先などの役割に応じて異なる権限を付与し、必要な操作のみを許可することが可能です。IP許可制限と組み合わせることで、アクセス元と操作権限の両方を制御し、ゼロトラストで求められる「必要最小限のアクセス権限」に基づく運用を実現できます。
ネットワーク分離を実現する機能
ゼロトラストでの重要な要素「ネットワーク分離（マイクロセグメンテーション）」を実現するには、ネットワーク全体への通信を許可するのではなく、ユーザーやシステムごとに必要最小限の通信のみを許可することが重要です。これにより、万が一不正侵入やマルウェア感染が発生した場合でも、ネットワーク内部での攻撃の拡大（ラテラルムーブメント）を抑制できます。
FJcloud-Vでは、「ファイアウォール」機能により、仮想サーバーごとに通信ルールを設定できます。そのため、システムや用途に応じたマイクロセグメンテーション（ネットワークの細かな分離）を容易に実現し、必要な通信のみを許可する構成を取りやすい点が特長です。
例えば、基幹システム、Webサーバー、ファイルサーバー、データベース、開発環境といった構成単位ごとにファイアウォールグループを作成できます。1グループにつき最大100件のルールを設定でき、プロトコル（TCP/UDP/ICMPなど）、ポート番号、接続元IPアドレスを組み合わせた細かな通信制御が可能です。
また、「プライベートLAN」機能により、共用ネットワークとはL2（データリンク層）レベルで分離された専用のネットワークセグメントを構築できます。
これらの機能を組み合わせることで、あるセグメントがマルウェア感染や不正侵入の被害に遭ったとしても、ネットワーク内部でのラテラルムーブメントを抑制し、被害がシステム全体に拡大するリスクを最小限に抑えられます。
ログ監査を実現する機能
継続的な評価・検証を行うには、アクセス後の利用状況や操作内容を継続的に把握する必要があります。
FJcloud-Vでは、ユーザーごとの操作履歴やAPI実行履歴を確認できる「アクティビティログ」機能を提供しています。これにより、「誰が」「いつ」「どの環境に」「どのような操作（設定変更やデータ取得など）を行ったか」を可視化できます。
こうしたログを継続的に確認することで、通常とは異なる操作や想定外の変更を早期に把握でき、不審な挙動の検知やインシデント発生時の原因調査に役立ちます。
インターネット非公開構成を実現する機能
システムをインターネットへ直接公開せず、アクセス経路そのものを限定するには、閉域網やVPNなどを利用して接続環境を構築する必要があります。
FJcloud-Vでは、専用線・閉域網接続やVPN接続に対応しており、利用シーンに応じた接続方式を選択できます。
閉域網接続ではインターネットを経由しない通信環境を構築できるほか、VPN接続ではインターネット回線を利用しながらもVPNトンネルやSSL-VPNを介して接続するため、FJcloud-V上のシステムをインターネットへ直接公開することなく利用可能です。
具体的には、以下のサービスを提供しています。
| サービス | 概要 |
|---|---|
| ダイレクトポート（専用線・閉域網接続サービス） | お客様の専用線・閉域網からFJcloud-Vへ直接接続するサービス |
| プライベートアクセス（閉域網集線型接続サービス） | 回線事業者の閉域網を利用してFJcloud-Vへ接続するサービス。FJcloud-Vと閉域網が事前接続されているため回線工事不要 |
| 拠点間VPNゲートウェイ | オフィスや他クラウド環境とFJcloud-VをVPN接続し、暗号化された通信経路を提供 |
| リモートアクセスVPNゲートウェイ | テレワークや外出先からSSL-VPNを利用してFJcloud-V上のプライベートLANへ安全に接続 |
FJcloud-Vでゼロトラストへの第一歩を踏み出そう
FJcloud-Vは、認証・ネットワーク制御・ログ監査など、ゼロトラストに必要な機能を組み合わせて構成できるだけでなく、運用しやすい環境も備えています。24時間365日のサポート窓口や日本語ドキュメントを提供しており、設定変更やトラブル発生時にも安心して運用できます。
このように、ゼロトラストの設計から運用まで一貫して取り組めることも、FJcloud-Vの特長の一つです。
まずは無料トライアルで体験
Fujitsu Cloud Directでは、FJcloud-Vのほぼすべての機能を最大2か月間無料で利用できる「トライアル」を提供しています。また、サービス紹介資料やクラウド移行のポイントを解説した「お役立ち資料」も多数ご用意しています。
ゼロトラストを見据えたクラウド環境の検討に、ぜひご活用ください。
