ゼロトラストの運用化 – ステップ 1: 保護する対象を特定する

このブログシリーズは、私の最近の投稿「ゼロトラストは難しくありません...現実的であれば」と言いました。

前回の投稿では、ゼロトラストを達成するための 6 つのステップについて概説しました。このシリーズでは、大小さまざまな組織のマイクロセグメンテーション実践者がプロジェクトをより成功させるために使用できる強固なフレームワークを提供するために、前述の 6 つのステップのそれぞれを検討します。始める前に、各ステップを視覚的に表現します。

ステップ 1: 保護する対象を特定する

ワークプレイステクノロジーが普及する前の初期段階では、組織は非常に「コースに馬」のアプローチを採用していました。企業用語では、これは新しい機能を採用するための戦術的なアプローチを意味し、新しいハードウェア、オペレーティングシステム、ソフトウェアのいずれであっても、一般的なユースケースを解決しようとするのではなく、常に目の前の特定の仕事に最も適したものについてでした。

テクノロジーは小規模に導入されていたため、規模の経済を追求したり、全体的に関連する戦略的ソリューションを設計しようとしたりするよりも、アドホック ソリューションは管理しやすく、生産性が高くなりました。

しかし、組織が成長するにつれて、アドホックソリューションを実行するコストと有効性が、あらゆる場所で効果的なソリューションを構築するために使用できる汎用コンポーネントを活用する能力によって覆される転換点があることがわかっています。

セキュリティ技術の導入と展開も例外ではないため、特にその機能が予防を目的としている場合、まったく新しいセキュリティ機能の導入は非常に複雑で、長く、長期にわたる作業です。

では、なぜ私は上記のすべてを述べているのでしょうか?このコンテキストは、戦術的 (つまり、非常に具体的で短期的で比較的単純な) ステップから始めて、 ゼロトラストの考え方 を採用するなど、戦略的 (つまり、包括的で長期的で複雑な) イニシアチブで、迅速かつ早期に進む方法を示しています。

最終的には、組織全体にゼロトラストフレームワークを導入することが目標です。この長期的な目標を持つことは、その進歩を検証するために不可欠であり、各ステップが私たちをその目標に近づけます。しかし、完全なゼロトラストを達成するには、長い期間にわたってそのような多くのステップが必要であり、「オール・オア・ナッシング」のアプローチではROIを示すのが難しい場合があります。短期的に(前月比ほど積極的ではないにしても、前四半期ごと)測定可能な進歩を示せない場合、他の優先事項が中心的な舞台になるにつれて、イニシアチブに対する支持や関心が薄れる可能性があります。

代わりに、次のようなアプリケーションまたはアプリケーションのコレクションをターゲットにすることで、長期的な目標であるゼロトラストの全社的な導入を目指します。

• ゼロトラストセキュリティ原則を採用するための強力な推進力を持っています。 これは、コンプライアンスまたは規制の義務、または修正が必要な監査結果が理想的です。ゼロトラストを採用するもう一つの強力な原動力は、「インシデント」から来ており、古いことわざにあるように「危機を無駄にしない」という「インシデント」があります。これにより、変化を受け入れる意欲(および必要性)が確実に存在します。
• は、重要なアプリケーションとしてマークされています。 プロセスの早い段階で最高の宝石アプリケーションに焦点を当てることは、学習のための最良の機会を提供しますが、成功すれば、企業の他の重要度の低い部分にもテクノロジーのメリットがあることに自信を持つことができます。これらは、主要な意思決定者が最も認識していることが多いアプリケーションでもあるため、進歩により、ゼロトラストイニシアチブからのROIを直接把握できるようになります。
• モルモットになる意欲を持ちましょう。これは実験であり、それに伴うリスクが伴うことは間違いありません。ゼロトラストを採用することで、通常のアクセスモデルがひっくり返ることになり、成長痛が生じる可能性があります。導入リスクに満足しているアプリケーションチームと協力することは非常に価値があります。彼らは、あなたが採用を拡大しようとするあなたの将来のチャンピオンになるでしょう。

SWIFTまたは PCI-DSS システム、本番ネットワーク上の開発ワークロード、重要なセキュリティサービス、パッチが適用されていないアプリケーション、および/またはサポート終了のコンポーネントはすべて、上記の要件のうち少なくとも2つにチェックマークを当てているため、ゼロトラストセグメンテーションの初期導入者として最適であることがわかりました。これらのカテゴリに当てはまるアプリケーションは何ですか?

何を保護したいかを特定したら、どのゼロトラストの柱に焦点を当てるべきか、より具体的には、どのような制御を強制するかの決定に進むことができます。

次の投稿で詳しく知るのが待ちきれませんか?マイクロセグメンテーションを使用してゼロトラスト戦略を運用し、内部スクープを入手する方法については、当社のページをご覧ください。