ニュース
ISR、SSO製品「CloudGate UNO」のゼロトラストモデルを7月にリリースへ
米国大統領令の発令を受けゼロトラストアーキテクチャに関する説明会を実施
2021年6月2日 11:25
株式会社インターナショナルシステムリサーチ（以下、ISR）は1日、米国バイデン大統領がサイバーセキュリティの新基準を示す大統領令を発令したことを受け、ゼロトラストアーキテクチャに関する説明会を開催した。
今回の説明会では、ゼロトラストアーキテクチャへのシフトを含む大統領令のポイントについて解説するとともに、7月にリリースを予定しているシングルサインオン（SSO）製品「CloudGate UNO」のゼロトラストモデルの新機能を紹介した。
SolarWinds事件の教訓を生かすための対策
バイデン大統領が5月12日に発令した大統領令では、サイバーセキュリティの向上に関して、「ゼロトラストアーキテクチャへのシフト」、「クラウド環境への移行」、「多要素認証（MFA）の採用」、「暗号化の採用」などを新しいセキュリティ基準として打ち出した。
特に、「ゼロトラストアーキテクチャへのシフト」では、発令から60日以内に、政府機関のシステムおよびシステムを提供するベンダーのシステムは、可能な限りゼロトラストアーキテクチャを導入することが求められている。
この背景について、ISR 代表取締役のメンデス・ラウル氏は、「ゼロトラストアーキテクチャへのシフトは、SolarWinds事件におけるサプライチェーンに対する大規模サイバー攻撃をきっかけに、これを防ぐことが発令の目的とされている。また、クラウド環境への移行は、SolarWinds事件やMicrosoft Exchange Serverへの攻撃において、オンプレミスADFS認証サーバーの脆弱性が明らかになったことがきっかけとなっている。そして、多要素認証と暗号化の採用については、5月8日にコロニアルパイプラインへのランサムウェア攻撃が発生したことをきっかけに、ランサムウェア攻撃やパスワードの弱い認証からのフィッシング攻撃を防止するために発令された」と説明した。
こうした米国の状況を踏まえて、ラウル氏は、「日本も早期にサイバーセキュリティの近代化を図る必要がある。米国では大統領令の発令によって、政府機関に情報システムを提供するクラウドベンダーは、ゼロトラストアーキテクチャと多要素認証への対応が必須となった。これは日本にとっても重要な展開であり、国内におけるランサムウェア被害が拡大している中で、日本企業もまたサイバー攻撃対策の優先度を上げるべき時がきている」と訴えた。
ゼロトラストモデルを採用した「CloudGate UNO」をリリース予定
そこで、同社では、日本におけるゼロトラストアーキテクチャおよび多要素認証の導入拡大を促進するため、シングルサインオン製品「CloudGate UNO」のゼロトラストモデルを7月3日にリリースする予定だ。
ISR プロダクトマネージメント部 部長の柴田一人氏は、「従来の『CloudGate UNO』では、シングルサインオンに入るための認証情報を1回入力すれば、連携しているクラウドサービスに自由にアクセスすることができた。セキュリティルールについても、1つのルールですべてのサービスが利用可能となっていた。これに対して、ゼロトラストモデルでは、各サービスにアクセスするごとに認証チェックを行うアプローチに変更する。また、セキュリティルールについても、サービスごとに設定できるようにした」という。
ゼロトラストモデルを採用したシングルサインオンの考え方については、「シングルサインオンに入った際に、認証状態保持期間を設け、その期間であれば各サービスに自由にアクセスできるようにした。保持期間が過ぎたら再度認証を行う。また、多要素認証については、どの認証要素の利用を許可するのかを会社のポリシーによって決定し、それぞれの認証状態保持期間とユーザーによる登録解除を許可するかを設定できるようにした」（柴田氏）と説明した。
「さらに、セキュリティルールについても、従来は7つの認証要素から選択していたが、『パスワード認証』『多要素認証』『パスワードレス認証』の3つの認証方式に集約し、セキュリティプロファイル（ユーザー）のアクセスルール単位で決定する仕組みとした」（柴田氏）とし、デモを交えながらゼロトラストモデルの新たなアクセスコントロール機能を紹介した。
