SCSKセキュリティ、リスク起点で全体最適を図る「ゼロトラストアーキテクチャ設計サービス」

　SCSKセキュリティ株式会社は23日、リスクを起点に企業のゼロトラスト実現を支援するサービス「ゼロトラストアーキテクチャ設計サービス」の提供を開始したと発表した。

　「ゼロトラストアーキテクチャ設計サービス」は、複数のクラウドや既存のセキュリティ製品を利用しており、対策の全体最適化や投資の優先順位付けに課題を抱える企業を対象に、経営判断に活用できるリスク評価と段階的な実行計画を提供するサービス。特定のベンダーや製品の導入を前提とせず、必要な防御能力から対策要件を整理する点が特徴で、SCSKセキュリティがSSE/SASEやゼロトラスト関連ソリューションの導入・運用を通じて培った知見を踏まえ、既存の製品も含め、製品を横断した全体最適なゼロトラストアーキテクチャを設計する。

　具体的には、まず、攻撃者が利用する戦術・技術・手法を体系化したナレッジベースであるMITRE ATT&CKなどを用いて顧客のIT環境を分析し、攻撃者視点でリスクシナリオを整理して、事業影響と合わせ優先的に低減すべきリスクを明確化する。ここでは、SCSKセキュリティがセキュリティアセスメントやインシデント対応などの実案件で得た知見も活用し、リスク、必要な防御能力、アーキテクチャ設計を一連のロジックで結び付けるという。

　続いては、製品の有無ではなく、CISA Zero Trust Maturity Modelで定義される5つの中核領域（Identity、Device、Network、Application & Workload、Data）と3つの横断機能（Visibility & Analytics、Automation & Orchestration、Governance）の観点から、防御能力を体系的に評価。リスクシナリオとの関係を確認し、対策の過不足と優先順位を整理する。

　そして、リスクと事業影響、それらの低減に必要な施策をひも付け、「何を」「なぜ」「いつ実施するのか」を明確化する。こうして、優先順位を付けた改善施策と中長期を含む実行ロードマップを提示することにより、経営層には投資判断や予算配分の判断材料を、現場には実装に落とし込める具体策を、それぞれ提供するとのこと。

　このように、理想的なゼロトラストアーキテクチャを設計するだけでなく、既存環境、運用体制、予算、人材状況などの現実的な制約を踏まえた段階的な実行計画を策定。通常3～6カ月程度の支援を通じ、既存のシステムやセキュリティ対策も活かしながら、防御能力の再配置や役割の再定義を行い、必ずしも新規製品導入を前提としない実行可能なロードマップを策定するとした。