ZTNAソリューションを選択する際の重要な考慮事項

#1. 組織のニーズとZTNAと戦略目標の整合性

検討するZTNAソリューションは、組織のニーズに合致し、戦略目標と整合している必要があります。まずは、自社の業務における具体的なセキュリティ要件を評価することから始めましょう。これには、組織内で使用されているデータを、機密レベルと規制要件の観点から分類することが含まれます。

次に、誰がどのリソースにアクセスする必要があるのか、ユーザーはどこからこれらのリソースにアクセスするのか、そしてどのデバイスを使用するのかを決定します。コンプライアンスとユーザーエクスペリエンスを考慮しつつ、多様な場所や環境におけるアクセス ポリシーの適用を可能にする ZTNA ソリューションを特定する。

より広い視点から、ゼロトラスト原則を導入することで何を達成したいのかを自問自答すべきです。例えば：

• デジタル変革を進めており、従来の境界型セキュリティ制御から脱却したいとお考えですか？
• リモートアクセスを改善し、現在使用している旧式のVPNを置き換えたいとお考えですか？
• ZTNA デプロイメントはSecure Access Service Edge (SASE) アーキテクチャへの広範な移行の一部ですか?

最終目標が何であれ、選択したZTNAソリューションがその目標に見合った機能と性能を備えていることを確認してください。これには、より堅牢なユーザー識別のための ZTNA 多要素認証 (MFA) や、ユーザー体験への影響を最小限に抑えるための高速 ZTNA パフォーマンスが含まれる可能性があります。

#2. ゼロトラストセキュリティツールの種類

ZTNAソリューションを選択する際に次に重要な検討事項は、どのタイプを選択するかです。一般的に、ZTNAツールは大きく2つのタイプに分類されます。

• エージェントベースのZTNA：サービス開始型ZTNAとも呼ばれるこのタイプのソリューションは、各デバイスまたはエンドポイントにソフトウェアエージェントをインストールします。エージェントは、アクセス ポリシーを適用するクラウドベースの信頼ブローカーへの安全な接続を確立します。エージェントベースの ZTNA により、エンドポイントおよび永続的なセキュリティの適用をより詳細に制御できるほか、より詳細な ZTNA デバイスの状態チェックが可能になります。 このモデルは、ZTNAエージェントのインストールと更新が可能な企業管理デバイスに適しています。
• エージェントレスZTNA：ネットワーク開始型ZTNAとも呼ばれるこの手法は、専用ソフトウェアを必要とせずに、ブラウザベースまたはゲートウェイアクセスを利用して管理対象外のデバイスを保護します。アクセスポリシーは、ドメインネームシステム（DNS）またはルーティング制御によって適用されます。デプロイメントが容易になり、柔軟性が向上したエージェントレス ZTNA は、請負業者、パートナー、および Bring Your Own Device (BYOD) シナリオに最適です。

セキュリティベンダーの中には、エージェントベースのZTNAとエージェントレスZTNAを組み合わせたハイブリッドソリューションを提供しているところもあり、組織はユーザーのデバイスに応じてアクセス制御の適用方法をカスタマイズできる。例えば、管理対象デバイスにはエージェントベースのZTNAを、その他のデバイスにはエージェントレスのZTNAを使用するといった方法です。これにより、エージェントの強化された ZTNA パフォーマンスと、デプロイメントの容易化およびエージェントレス ソリューションのより広い範囲のバランスがとれます。

#3. ZTNAプラットフォームのコアセキュリティ機能

ZTNAプラットフォームを評価する際は、従業員とワークフローを保護するために必要なコアセキュリティ機能に焦点を当ててください。これらには以下が含まれます。

• きめ細かなZTNAポリシーの適用：最小権限の原則を適用し、攻撃対象領域を最小限に抑えるために、特定のロールベースアクセス制御（RBAC）を適用する機能。きめ細かなZTNAポリシーの適用においては、デバイス、場所、時間帯などの状況データも考慮に入れ、リスクに基づいた動的な調整を行うべきである。例えば、日常業務で典型的なアクセスパターンに従っているユーザーは、リスクが低いと言えるでしょう。しかし、もし彼らの行動が突然変わり、新しいデバイスを使用したり、通常の勤務時間外に情報にアクセスしようとしたりしたらどうなるでしょうか？その場合、彼らの要求は拒否されるか、より厳格な認証プロセスによる本人確認を求められる可能性があります。
• ZTNA MFA：強力なユーザー認証を保証するために、ネイティブまたは統合された多要素認証を提供するソリューション。これには、あなたが知っているもの（パスワード、PINなど）、あなたが持っているもの（ハードウェアセキュリティトークン、ワンタイムパスワード、メールコード、プッシュ通知などを受信する登録済みデバイスなど）、またはあなた自身（顔認証などの生体認証）といった、さまざまな要素が含まれる可能性があります。
• ID統合ZTNA：シームレスな統合を実現する、IDアクセス管理（IAM）ツールまたはIDプロバイダー（IdP）との互換性。オープンで堅牢な標準規格をサポートし、オンプレミスのディレクトリとクラウドのIDサービスの両方に対応するID統合ソリューションを探しましょう。さらに、将来の運用や、アイデンティティ統合ZTNA機能を継続的に進化させているベンダーについても考慮してください。
• ZTNA デバイスのポスチャ評価:アクセスを管理するために、セッション前およびセッション中にエンドポイントを継続的にチェックします。 これには、 OSパッチ、ウイルス対策ステータス、暗号化、構成コンプライアンスなどのデバイス要素が含まれます。 ZTNA デバイスの状態評価により、侵害されたデバイスまたは非準拠のデバイスによるビジネス リソースへのアクセスを防止します
• データ漏洩防止 (DLP) 機能:データ アクセスを追跡し、不正アクセスのリスクを最小限に抑える DLP ポリシーを適用します。 これには、セキュアなプロトコルに基づく暗号化の強制や、不審なアクティビティを特定しアクセスを制限するためのユーザーおよびエンティティ行動分析（UEBA）などが含まれます。
• ネットワークのマイクロセグメンテーション:きめ細かな ZTNA ポリシーの適用と最小権限アクセスを組み合わせて、ネットワークをより小さなサブセットにセグメント化することで横方向の移動を制限し、侵害されたアカウントの影響を最小限に抑えます。 システムを分離し、システム間を移動しようとするユーザーに対して厳格なセキュリティ制御を適用することで、最初の侵害が深刻なインシデントに発展するのを防ぐことができます。

#4. 可視性とレポート機能

これらのセキュリティ対策の多くは、ZTNAの強力な可視性およびレポート機能によって強化または有効化されます。ZTNA（不正アクセス防止）対策は、従業員全体を対象とし、アクセス要求を監視し、分析やコンプライアンス監査のための詳細なログを提供する必要があります。すべてのユーザーセッションをリアルタイムで可視化し、ZTNAポリシーの適用状況に関する詳細なレポートを返すソリューションを探してください。

ネットワークアクセスを詳細に可視化することは、適応型制御、UEBA、およびその他多くの高度なセキュリティ機能にとって不可欠です。これは、ポリシーを微調整し、保護を最適化するために必要な情報を提供する。

#5. デプロイメントモデルとスケーラビリティ

ソリューションを選択する際のもう 1 つの重要な考慮事項は、新しいビジネス ニーズに合わせたデプロイメント モデルとその結果として得られる ZTNA スケーラビリティです。 デプロイメント モデルの観点から見ると、最新のゼロトラスト アクセスの選択は次のようになります。

• クラウドベース:ハイブリッド ワークフォースに最適なクラウド ベースのソリューションは、ZTNA のスケーラビリティと柔軟性を提供し、簡単なアップデートで新しい脅威に適応し、ビジネスの成長に合わせて容量を増やすことができます。

• オンプレミス：より厳格で厳格な データ所在地の要件がある高度に規制された業界により適しています

• ハイブリッド:両方を組み合わせてクラウドベースのソリューションの利点を提供しながら、より厳しいデータ要件に対応するオンプレミスのデプロイメントを維持します。

貴社にとって最適な選択肢は、コンプライアンス要件、ネットワーク環境、および従業員の配置状況によって異なります。スケーラブルなクラウドベースのデプロイメントを検討する場合は、ユーザーの数や分布に関係なく、強力な ZTNA パフォーマンスを確保するためにグローバルなポイント オブ プレゼンス (PoP) を維持するベンダーを探してください。

#6. ユーザーエクスペリエンスとパフォーマンス

ZTNAプラットフォームは、堅牢なセキュリティを確保しつつ、ユーザーエクスペリエンスに大きな影響を与えないようにバランスを取る必要がある。主な要因は以下のとおりです。

• 最適化されたルーティングとグローバル PoP ネットワークによる低遅延接続
• アプリケーション間でのアクセスを効率化するシングルサインオン（SSO）
• デバイスの状態チェックや多要素認証のプロンプト実行時の中断を最小限に抑える

ZTNAのパフォーマンスやユーザーエクスペリエンスが低いと、従業員がシャドウITなどの回避策を探すようになる可能性がある。ユーザーがセキュリティチームを迂回して、承認されていないアプリと機密データを共有することは、ZTNAソリューションの導入を阻害する。

#7. より広範なセキュリティスタックとの統合

ZTNAはユーザーがアクセスできるものを制御し、攻撃対象領域を最小限に抑えます。しかし、これは包括的なフレームワークではなく、より幅広い機能を提供する広範なセキュリティスタックの中に導入されるべきである。したがって、特定のZTNAソリューションが、さまざまなツールやテクノロジーとどのように統合され、包括的なセキュリティ対策を提供できるかを検討する必要があります。

ZTNAの一般的な実装は、 SASEアーキテクチャの主要コンポーネントとして、フレームワークをネットワークおよびセキュリティツールの完全なスイートに統合するものです。これには以下が含まれます。

• ソフトウェア定義型広域ネットワーク（SD-WAN）
• セキュアWebゲートウェイ（SWG）
• サービスとしてのファイアウォール（FWaaS）
• Cloud Access Security Broker（CASB）