IIJは11月5日、国内企業のゼロトラストセキュリティ対応に関する調査の結果を発表した。これは国内企業の情報システム部門を対象に、ゼロトラストの実現に向けた対応状況や課題を調査したもので、その結果、回答企業の約5割が一部対応を進めていることや、動的なアクセス制御やセッション毎のアクセス検証・認可の導入が今後の課題であることなどが明らかになった。
■主な調査結果
ゼロトラスト推進の意識を尋ねる設問では「必要だと感じる」と回答した企業が約88%にのぼり、多くの企業で必要性が認識されていた。ゼロトラストの個別の要素について、NIST（米国国立標準技術研究所）が定義した「ゼロトラストの7つの要素」における対応状況で、最も進んでいる対応は「多要素認証など認証対策の実施」で、約58%の企業が対応を完了していると回答した。一方で、最も進んでいないものは「セッション単位でのアクセス検証・認可」で、対応しているのは約38%だった。
ゼロトラストを実現する上での最大の課題は、「専門人材の不足」と「セキュリティ対策にかかるコスト」だった。企業がセキュリティ対策の導入や運用において予算や人員が足りないと感じていることが多く、特に中小企業では人的リソースが限られているため、対応が遅れている傾向が見られる。また、経営層の理解不足も一因となっており、今後はゼロトラストのメリットを社内にも効果的に訴求していくことが重要。
■調査結果に対する同社ゼロトラストセキュリティサービス担当の考察
ゼロトラストは、単なるセキュリティ技術の導入ではなく、企業全体のセキュリティ戦略の根本的な見直しを必要とする。既存システムとの整合性をとるためには、まず現行のセキュリティポリシーをゼロトラストの原則に沿って再評価し、段階的に移行する計画が求められる。ゼロトラストの実装は人材やコストといった障壁もあるが、将来的なサイバーリスクの軽減と企業の持続的成長を考慮すれば、あるべき姿に向けた一歩を踏み出していくことが大切。
今回のアンケート結果から、多要素認証には対応済みの企業が比較的多い一方で、動的なアクセス制御やセッションごとの検証・認可には未対応の企業が多かった。こうした動的なアクセス制御の実現には、SASEのような包括的なソリューションが不可欠と考える企業が多い。実際にゼロトラスト導入支援を行う中でも、SASEソリューションの選定や導入に際し、既存環境の大幅な変更が必要となり、それが導入のハードルとなっているケースが少なくない。また、社内に残るレガシーシステムとの連携が障壁となり、動的アクセス制御の導入が遅れる要因となるケースも多くある。
「アクセス制御」という言葉には複雑な印象を受けるかもしれないが、リモートアクセスのポリシーを見直すことで、ゼロトラストの考え方を段階的に取り入れることが可能。自社に最適なゼロトラスト環境を実現するために、さまざまなサービスを比較検討することが重要。
関連リンク