概要
NIST SP800-207は、米国国立標準技術研究所（NIST: National Institute of Standards and Technology）が2020年8月に発行した「Zero Trust Architecture（ゼロトラスト・アーキテクチャ）」に関する特別刊行物です。
これは、従来の境界型セキュリティモデルでは対応しきれない、クラウドサービスの利用拡大やテレワークの普及といった今日のIT環境の変化に対応するための、新しいセキュリティモデルである「ゼロトラスト」を、組織がどのように導入し、設計していくべきかについて詳細なガイダンスを提供しています。
ゼロトラストとは
NIST SP800-207を理解する上で、まず「ゼロトラスト」という概念を明確にしておく必要があります。
ゼロトラストとは、「何も信頼しない（Never Trust）、常に検証する（Always Verify）」という考え方に基づいたセキュリティモデルです。従来のセキュリティは、社内ネットワークの境界内を信頼し、境界外からのアクセスを厳しく制限する「境界型防御」が主流でした。しかし、クラウドサービスの利用やBYOD（Bring Your Own Device）、テレワークの普及により、この境界が曖昧になり、内部からの脅威や、境界を突破された際の被害拡大のリスクが高まりました。
ゼロトラストは、ネットワークの場所に関わらず、すべてのユーザー、デバイス、アプリケーション、データなど、あらゆるアクセス要求に対して、常に認証と認可を行うことで、セキュリティを強化しようとするものです。
NIST SP800-207の主な内容
NIST SP800-207は、ゼロトラストの基本原則、構成要素、デプロイメントシナリオ、そして移行に関する考慮事項などを具体的に記述しています。
ゼロトラストの7つの原則 (Tenets of Zero Trust) NIST SP800-207では、ゼロトラストを実装するための以下の7つの原則を提唱しています。これらは、ゼロトラストを実践する上での核となる考え方です。
- すべてのデータソースとコンピューティングサービスはリソースとみなされる。
- ネットワークの場所に関係なく、すべての通信は保護される。
- 組織のリソースへのアクセスは、セッション単位で許可される。
- リソースへのアクセスは、アクセスの許可前に、そのリソースの状態、ユーザーのアイデンティティ、アプリケーションの状態など、すべての動的な情報に基づいて動的に認可される。
- 組織は、資産の状態、セキュリティの状況、通信などを継続的に監視し、セキュリティ態勢を改善する。
- すべてのリソースの認証と認可は、アクセスが許可される前に動的に行われる。
- 組織は、現在のセキュリティ態勢を可能な限り多くの情報（ユーザーの属性、デバイスの状態、ロケーション、サービスの状態など）に基づいて決定する。
ゼロトラスト・アーキテクチャの主要コンポーネント ゼロトラストを実現するために必要となる技術的な構成要素や機能について説明しています。主なコンポーネントとしては、以下のようなものが挙げられます。
- ポリシー決定点 (Policy Decision Point: PDP): アクセス要求を評価し、許可するか拒否するかを決定する論理的なエンティティ。
- ポリシー適用点 (Policy Enforcement Point: PEP): PDPの決定に基づいて、リソースへのアクセスを実際に許可または拒否するゲートウェイ。
- ポリシーエンジン (Policy Engine: PE): PDPの中核をなし、ポリシーを評価し決定を下す役割。
- 信頼評価システム (Trust Algorithm/System): デバイスの状態、ユーザーの行動、脅威情報など、様々な要素に基づいて信頼スコアを計算するシステム。
- 可視化と分析 (Visibility and Analytics): ログ、イベントデータ、ネットワークトラフィックなどを収集し、セキュリティ状態を可視化・分析する機能。
デプロイメントシナリオ NIST SP800-207は、企業がゼロトラストを導入する際の具体的なシナリオ（例: SaaSアプリケーション、IaaS環境、BYODデバイスなど）を提示し、それぞれのケースでどのようにゼロトラストの原則を適用していくかを解説しています。
ゼロトラストへの移行に関する考慮事項 既存のITインフラからゼロトラストへ段階的に移行するためのアプローチや、考慮すべき課題（レガシーシステムとの連携、文化的な変化など）についても触れられています。
対象読者
このガイドラインは、主に組織のサイバーセキュリティ管理者、ネットワーク管理者、ITアーキテクトなど、セキュリティ戦略の策定や実装に関わる専門家を対象としています。一部、米国の連邦政府機関に特化した内容も含まれますが、その大半は世界中のあらゆる組織にとって参考になる普遍的な内容です。
なぜ重要なのか
今日のサイバー脅威は高度化し、従来の境界型セキュリティだけでは防御が困難になっています。NIST SP800-207は、ゼロトラストという新しいアプローチでセキュリティを再構築するための、国際的なデファクトスタンダードとなりつつある文書です。これを理解し、適切に導入することで、組織のセキュリティ態勢を大幅に向上させ、データやリソースをより安全に保護することが可能になります。
CISSPおよび登録セキスペとして、私はこのNIST SP800-207が、現代のサイバーセキュリティ戦略において非常に重要な位置を占めていると考えています。特にクラウドシフトが進む中、このガイドラインを参考にゼロトラストアーキテクチャを導入することは、組織のレジリエンス（回復力）を高める上で不可欠な取り組みと言えるでしょう。
