スマホ画像

防災力向上に!

ここでしか読めない最新の防災お役立ち資料集

デジタルトランスフォーメーションが進む今、注目を集める「信用しない」ゼロトラストと無理なく実現するための方法

日本政府が掲げるSociety5.0を実現するべく、様々な自治体や企業の間でデジタルトランスフォーメーションの取り組みが進んでいますが、これと同時に今後のデジタルリスクの発生が懸念されています。

こうした状況の中で注目を浴びているのがゼロトラストという概念ですが、ゼロトラストをどのように考えるべきなのか困っている自治体・企業の担当者もいるでしょう。

そんな方のために今回はゼロトラストの概要や注目を集めている理由、主なゼロトラスト環境の種類を説明していきます。この記事を読むことでゼロトラスト環境を導入するためのヒントが分かるので、ぜひ参考にしてください。

Society5.0の実現に向けて進むデジタルトランスフォーメーションと懸念されているデジタルリスクの拡大

日本政府が掲げる「サイバー空間とフィジカル空間を融合させたシステムで経済発展と社会的課題の解決を両立する人間中心の社会」であるSociesty5.0の実現に向けて自治体や企業でデジタルトランスフォーメーション(DX)の取り組みが着実に進んでいます。

デジタルトランスフォーメーションとは、IoTやAI、ビッグデータなどの最先端技術を駆使して地域の課題解決や人々の生活の充実、ビジネスモデルの変革などを図る取り組みのことで、2018年に経済産業省が発表した「デジタルトランスフォーメーションを推進するための ガイドライン (DX 推進ガイドライン) Ver. 1.0」によれば以下のように定義されています。

【デジタルトランスフォーメーションの定義】
企業がビジネス環境の激しい変化に対応し、データとデジタル技術を活用して、顧客や社会のニーズを基に、製品やサービス、ビジネスモデルを変革するとともに、業務そのものや、組織、プロセス、企業文化・風土を変革し、競争上の優位性を確立すること。

近い将来に向けて自治体・企業で進むデジタルトランスフォーメーションとその取り組み事例4選
【インタビュー】「AIとIoTで熟練技術を継承する」応用地質が考える、これからの防災・減災

企業だけでなく自治体でもコスト削減や業務効率化を目指して取り組まれているデジタルトランスフォーメーションですが、これに伴ってデジタルリスクの発生が不安視されています。

もちろん、これまでデジタルリスクが発生していなかった訳ではありません。従来もランサムウェア(身代金要求ウイルス)による感染やデータの流出などのデジタルリスクはあり、様々な対策が行われていました。

しかしデジタルトランスフォーメーションでクラウドサービスの活用など業務をデジタル化していくことに伴って、デジタルリスクが拡大してしまうおそれがあるのです。発生するデジタルリスクは多岐にわたりますが、主に以下の種類があります。

  • クラウドサービスの不具合やトラブルによる業務への悪影響
  • 取引先や顧客情報などデータの流失
  • 第三者による不正侵入
  • 内部ユーザーによる権限の悪用
  • 通信の盗聴やデータの改ざん など

中には「今までのセキュリティ対策を継続していれば大丈夫だろう」と考えている方もいるかもしれませんが、クラウドサービスの活用など業務のデジタル化を進めていくと外部だけでなく、内部でもデジタルリスクが発生してしまう可能性が高く、従来の対策だけではカバーしきれないおそれがあるので、対策を見直さなければなりません。

では、どのようにデジタルリスク対策を実施すれば良いのでしょうか。デジタルトランスフォーメーションの推進で危惧されているデジタルリスクの被害を防ぐ上で鍵となるのが次章で説明するゼロトラストという概念です。

サイバーセキュリティ対策における従来の境界型セキュリティと日本政府が進めるゼロトラスト

ITmedia NEWSが発表する『政府、サイバーセキュリティ対策に「ゼロトラスト」導入へ』でも語られているように、実際にデジタルトランスフォーメーションにおけるデジタルリスクを懸念する日本政府は、自治体のデジタル化に伴うデジタルリスクを防ぐためにゼロトラストの導入を検討しています。

ゼロトラストとは、2010年にアメリカの市場調査会社Forrester Research社で活躍していたアナリストのジョン・キンダーバグ氏によって提唱された「全てを無条件に信用せず、トラフィックなどを調査・検証する」という性悪説に基づいたセキュリティ対策における考え方のことです。

ゼロトラストは決して新しい概念ではありませんが、なぜ今になってデジタルトランスフォーメーションを推進するこの日本で改めて注目されるようになったのでしょうか。

従来は重要なデータなどは安全な社内で保管されていることがほとんどであったため、内部ネットワークとインターネットの境界で不正侵入などのリスクを排除する境界型セキュリティが主流でした。

境界型セキュリティは、社内は安全であるため、脅威は外部から発生するという概念であり、何らかのリスクが発生した場合は必要に応じて対応していましたが、デジタルトランスフォーメーションの推進や働き方改革によってテレワークやインターネット上にデータを保管するクラウドサービスなどの導入が進められており、以下の理由によって内部が安全であることを前提とする境界型セキュリティでは限界を向かえたのです。

  • データの一部をクラウドで保管するなどセキュリティにおける内部と外部の境界が曖昧になった
  • 業務のデジタル化によって、外部だけでなく内部でもリスクが発生する可能性が高くなった

また近年はゼロトラストを実現するための環境の整備が進んでいることも追い風となって、内部・外部を問わずに全て信用しないゼロトラストに基づいたセキュリティ対策が推進されるようになりました。

ゼロトラスト環境の実現を図るために行うべき主な3つの方法

外部・内部問わずに発生するおそれがあるデジタルリスクによる被害を最小限に抑えるために重要なゼロトラストですが、どのようにゼロトラスト環境を導入すれば良いのでしょうか。

この章ではゼロトラスト環境を導入するための主な方法を説明していくので、特にデジタルトランスフォーメンションにデジタルリスクの発生を懸念している自治体・企業の担当者はぜひ読み進めてください。

デジタルリスクの発生を前提にしたEDRを導入する

EDR(Endpoint Detection and Responce)とは、PC・スマートフォン・サーバーなどのエンドポイントを常時監視し、サイバー攻撃などのデジタルリスクを管理者に共有・対応をサポートするセキュリティのことであり、大手総合建設会社の竹中工務店などで導入が進められています。

従来のエンドポイントセキュリティシステムはデジタルリスクの発生を防ぐことが目的に開発されていました。サイバー攻撃は年々巧妙化しており、全てのデジタルリスクを対処することは難しい傾向にありましたが、それに対してEDRはデジタルリスクが発生した場合の対応を支援することが目的に作られています。

EDRでは常時エンドポイントを監視しているため、被害を受けたデバイス・被害状況などを把握できます。つまり原因をすみやかに特定できるので、被害拡大の阻止や対策の見直しも迅速に行えるのです。

CASBでシャドーITを排除する

CASB(Cloud Access Security Broker:キャスビー)とは、複数のクラウドサービスのユーザーとクラウドプロバイダーにコントロールポイントを設置し、クラウドのリスクを対処するセキュリティのことであり、主に以下の機能があります。

【可視化】
企業・従業員が使っているデバイスとクラウドサービスの状況を監視するため、誰がどのクラウドサービスでどういった操作をしているのかを具体的に把握できる

【脅威防御】
クラウドサービスに潜むデジタルリスクを検知し、アクセスのブロックなどの対応ができる

【コンプライアンス】
事前にクラウドサービスのルールを設定しておくことで、情報漏洩などのデジタルリスクへの発展を防ぐ

【データセキュリティ】
データを保護するための機能でファイルの暗号化などを実行する

シャドーIT(企業・組織側が把握していない状態で利用されているクラウドサービスやデバイスなどのこと)が多いと、結果的に全体的なセキュリティが低下するおそれがあるばかりか、デジタルリスクによる甚大な被害が発生する可能性が高くなるため、CASBで事前に対策しておくと良いでしょう。

IAMでIDやアクセスを管理する

IAM(Identify and Access Management)とは、ユーザーのIDやアクセスを管理するためのシステムのことです。従来はネットワークやシステムなどの制御をID・パスワードで行なっていましたが、もしサイバー攻撃などにID・パスワードが流出してしまった場合は不正アクセスやデータの改ざんなど深刻な事態へつながるおそれがありました。

こうした課題を解決するために役立つのがIAMです。IAMでは本人確認のためのユーザー認証はもちろんのこと、ユーザーごとに許可するアクションなど細かくを制御できるため、機密データの漏洩などのデジタルリスクを防げます。

Society5.0で目指されている防災とリスク情報の収集で役立つFASTALERT

内閣府が発表する「Society 5.0 新たな価値の事例(防災)」で説明されているとおり、Society5.0では防災分野でもAIやIoTなどの最先端デジタル技術の活用が考えられています。

例えば人工衛星やドローンによる被災地状況等のデータをAIが分析した上で安全な避難情報の提供や救助などに役立てることが現時点では計画されているのです。

またデジタルトランスフォーメーションを推進する中で懸念されているデジタルリスクですが、リスクはもちろんそれだけではなく、対処するべき自然災害や事故など多岐にわたります。

近年、人的・時間的コストをかけずに幅広い種類のリスク情報を一元的に収集するために企業や自治体でFASTALERTなどのAI緊急情報サービスが導入されています。

BCPや防災対策などを目的としてすでに全ての民放キー局や大手報道機関、一般企業、自治体で幅広く導入されているFASTALERTは次の4つのメリットがあるため、迅速なリスク情報の収集と初動対応を開始することができるのです。

【FASTALERTの4つのできる】
・災害などのリスク情報がAIによってほぼリアルタイムで検知できる
・報道ではカバーしきれない地域などの細かい情報も入手できる
・1つのサービスで自然災害、事故、事件など幅広いリスクを調査できる
・現地に行かなくてもテキスト、映像、写真で状況が把握できる

Twitterをはじめとした様々な場所から“報道前”のリスク情報を検知・分析し、サービス利用者に提供しています。

FASTALERTでは2019年9月5日の京急脱線事故を事故発生から1分後に正確な情報を検知・サービス利用者に情報提供していましたが、これはテレビの報道よりも1時間15分ほど早かったことが分かっています。

これが人海戦術であった場合は、リスク情報の認知に時間がかかる可能性が高く、もしリスク情報を見つけたとしても「このリスク情報が本当に正しいのか」を分析した上で見極める必要があるため、情報の入手から共有や初動対応の開始にタイムラグが空いてしまうおそれがあり、場合によってはその遅れによって被害の拡大へつながる可能性があるのです。

リスク情報の収集をスムーズに行いたいとお考えの担当者さまは、ぜひFASTALERT基本紹介資料から資料をお申し込みくださいませ。

【サービス資料で分かる3つの内容】
・これまでFASTALERTが検知した主なリスク情報一覧
・業種ごとのFASTALERTの活用シーン
・現在ご利用いただいている企業さまのレビュー

FASTALERTは、企業・自治体のお客様専用のサービスとなります。
※ソーシャルリスクレポートなどその他の資料は、こちらの資料ダウンロードからご覧ください。

最後に

もちろんデジタルトランスフォーメーションを推進していく上でゼロトラストに基づいたセキュリティ対策へ今すぐ全面的に移行するべき、という訳ではありません。

しかしデジタルリスクによる被害を最小限に抑えるためには既存のITセキュリティ対策とゼロトラスト環境を組み合わせることでよりITセキュリティを強固にしていくことが重要です。

この機会にデジタルトランスフォーメーション時代におけるゼロトラスト環境をどのようにするべきなのか考えていくと良いでしょう。

×

自然災害や風評など幅広いリスクを一元的に収集・分析するFASTALERT 災害時、必要な情報を素早く入手するには?

スマホ画像