政府機関に対するゼロトラストに関する6つの専門家の提言

公共部門は、サイバーセキュリティのアプローチに関して大きな問題に直面しています。脆弱性を減らし、侵害の拡大を軽減するにはどうすればよいでしょうか?絶えず変化する脅威の状況の中でサイバーレジリエンスを強化するには、どのような戦略が鍵となるのでしょうか?  

イルミオのフェデラルフィールドCTOであるゲイリー・バーレット氏は最近、政府のサイバーセキュリティ専門家であるNASAのゼロトラスト担当機関リーダーであるマーク・A・スタンレー博士と国際貿易局の最高情報責任者であるジェラルド・J・キャロン氏とともに、GovExec TVでアプリケーションセグメンテーションと公共部門のゼロトラストアーキテクチャにおけるその役割について話し合いました。

ゼロトラストとアプリケーションセグメンテーションの実装に関する議論から6つの主要な推奨事項を得るには、読み続けてください。  

1. ゼロトラストへの取り組みは、今すぐ優先すべきです

まず、スタンリー博士は、NASAでの自分の役割と、到着後に見つけたゼロトラストポリシーの状況について話しました。

「NASAに着いたとき、私は完全に圧倒されました」と彼は言いました。「これらの人々は、大統領令が発表されるずっと前から、ゼロトラストについて、そして私たちがそこに到達する方法についてすでに考えていました。彼らはすでに経営陣からの賛同と多大なサポートを得ています。」  

NASAでの在職初期に、彼はNASAゼロトラストリードに任命されました。彼は、ゼロトラストをNASAのデジタルトランスフォーメーションの基礎要素の1つとして追加することに貢献しました。  

「優先順位の観点から見ると、ゼロトラストを前進させるために私ができることはすべて、サイクルの大部分を占めてきました」と彼は説明しました。

2. ゼロトラスト戦略を成功させるには、可視性が鍵となります

Barletの回答は、ゼロトラスト戦略とアプリケーションのセグメンテーションと密接に関係する核となる考え方に対処しました。

「ゼロトラストは非常に広い用語です。セキュリティにとって重要であると考える最初のことは、企業内で実際に情報がどのように流れているかを理解することです」とBarlet氏は述べています。

Barletは、ゼロトラストに向けて取り組んでいる組織は、可視性から始めることを推奨しています。そして、これは単なるネットワークマップではありません。今日のハイブリッド ネットワークは境界がなく、分散しています。セキュリティチームは、アプリケーションがどのように相互作用するかをきめ細かなレベルで追跡する必要があり、Barlet氏は、アプリケーションがどのように機能しているかを理解するには、アプリケーション通信フローを可視化することが重要であると説明しています。可視性が確立されると、セキュリティチームはこれらのアプリケーションの周囲に境界を引いてネットワークをセグメント化し始めることができます。  

「何かが起こった場合、現実には、危険にさらされる かどうか ではなく、いつ危険にさらされる かが問題です。その妥協が起こったら、次はどうなるでしょうか?」バーレット氏は語った。

イルミオのアプリケーション依存関係マップがハイブリッドIT環境全体の可視性を提供する方法については 、こちらをご覧ください。

3. 今ゼロトラストに取り組んでいなければ、遅れをとっている

バーレット氏は続けて、ゼロトラスト導入に遅れをとっている企業の落とし穴について説明しました。

「今日、非常に多くの企業が広く開かれています」と彼は言いました。「敵が足場を固めると、企業全体に自由に広がることができます。」

攻撃者は、横方向の動きを使用して、環境のある部分から別の部分に拡散します。これらの環境が互いに閉鎖されている場合、侵害が広がることはありません。これは、ゼロトラストセグメンテーションとも呼ばれるセグメンテーションによって実現されます。

「セグメンテーションを使用すると、これらすべてのさまざまなコンポーネントが表示され、アプリケーションごとにリングを描画できます」とBarlet氏は述べています。「したがって、一度侵害されると封じ込めることができ、他のアプリケーションに感染することはできません。」

4. ゼロトラストの取り組みには部門横断的なコラボレーションが必要

ゼロトラスト導入の組織が快適に過ごせるレベルに到達するには、協力的な考え方を採用することが重要です。スタンリー博士は、NASAの考え方を、NASAが人類の向上のために研究や発見を世界と共有するという使命を採用している科学的発見に対する同様のアプローチと比較しました。

「私たち連邦側は、どのように協力できるかを考え始める必要があります」とスタンリー博士は語った。「私はサイバーセキュリティはチームスポーツであると固く信じています。」

キャロン氏はスタンリー博士の意見を引き継ぎ、サイバーセキュリティにおけるコラボレーションに対する古いアプローチの落とし穴を説明しました。  

「卓越性のサイロはありますが、真のゼロトラストを達成するには、これらすべてのグループが協力する必要があります」とキャロン氏は説明します。「昔は、事件が起きて総当たり戦を行っていました。問題が見つかるまで、ぐるぐる回り続けました。」

しかし、バーレット氏によると、「このようなことはもう手動で行うことはできません。テクノロジーの普及、データの普及、ユーザーの普及についていくことは不可能です。テクノロジーは、その曲線や変化を先取りするか、それと同等であり続けることを望む唯一の方法です。  

5. ゼロトラストは処方箋ではなく戦略です

ウェビナーが続く中、3人の専門家は、政府のサイバーセキュリティ戦略のもう一つの重要な側面であるコンプライアンスを探りました。  

キャロンは、コンプライアンスと有効性を重要な区別して議論を始めました。コンプライアンスとは、「システムがあるから認証を提供しなければならない」という意味です。ユーザー名とパスワードは準拠している可能性がありますが、効果的ではありません。」

言い換えれば、何かがコンプライアンスの要件であるからといって、それが同時に有効性を達成するという意味ではありません。Caron氏は、ゼロトラストをコンプライアンス要件の達成に加えて、より効果的にするための取り組みとして捉えることを組織に奨励しています。  

「コンプライアンスは、効果が高まるにつれて整います」とキャロン氏は言います。「ゼロトラスト戦略とゼロトラストに言及した大統領令について、私はこれを称賛します。それは私たちをより効果的にする方向に動かしています。それは戦略であり、処方箋ではありません。」

6. ゼロトラストに向けて段階的なステップを踏み出す

最後に、BarletとStanley博士は、企業におけるゼロトラスト導入のベストプラクティスについて講演しました。

Barlet 氏によると、「最も効果的な組織は、一度に 1 歩ずつ進めています。」

同氏は、あまりにも多くの政府機関がゼロから100%のゼロトラスト施行に移行できると想定していると説明した。そして、目標を達成できなかった場合、イニシアチブは勢いを失ったり、難しすぎると見なされたりします。

「現実には、100パーセントに達することは決してありません」とゲイリーは語った。「私たちが住んでいる世界では、何事でも100%達成しようとすることは達成不可能な目標です。」

代わりに、Barlet は組織がゼロトラストに向けて少しずつ取り組むことを奨励しています。ゼロトラストを段階的に構築することで、政府機関は迅速な勝利を達成し、時間の経過とともに防御、セキュリティ、保護を強化できます。

「バーレットは本当に的を射ていました」とスタンリー博士は口を挟んだ。「ゼロトラストのすべての柱に取り組まなければなりません。インフラストラクチャに段階的な改善を加えながらも、アプリケーションとデータに提供される保護を活用できなければなりません。」

イルミオが政府機関の保護にどのように役立つかについては、 こちらをご覧ください。

無料のデモと相談については、今すぐお問い合わせください。