ゼロトラスト移行で見落とされる4つの罠——「美しい構成図」の裏にある、現場のリアル

この記事は、社内ネットワークを本社集中型(ハブアンドスポーク)からゼロトラスト構成へ移行するプロジェクトを任され、ベンダーの提案資料は美しく整っているのに、どこか腑に落ちない違和感を抱えているIT部門の担当者・PMのための記事です。

リード文

「Zscalerを導入して、ゼロトラストを実現します」。この一文だけを聞くと、もう安心していい気になる。だが、20年間、いろいろな現場の構成図をレビューしてきて思うのは、提案書が美しいほど、現場で起きる泥臭いリスクが隠れやすいということだ。この記事では、ゼロトラスト移行の提案でよく見落とされる4つの罠を、構造として整理する。

プロローグ

正直に言う。

ある社内ネットワーク刷新プロジェクトのレビューを頼まれたとき、提示された構成図はとてもよくできていた。本社集中型のハブアンドスポークを廃止し、各拠点や在宅の端末から直接クラウドへ抜ける。ZIA(Zscaler Internet Access)で通信を検査し、ZPAで社内システムへゼロトラストアクセスする。TeamsやZoomのような重い通信は、Zscalerを経由させずに直接インターネットへ逃がす、いわゆるローカルブレイクアウト(LBO)で速度を確保する。

「これで本社の回線は解放されるし、セキュリティも上がる。文句のつけようがない」。そう思っていた。

だが、レッドチーム(攻撃者視点での検証)の目でもう一度読み直すと、この美しい構成図の裏に、静かに口を開けている落とし穴がいくつも見えてきた。

ゼロトラスト移行で見落とされる4つの罠——「美しい構成図」の裏にある、現場のリアル

第一章 「信頼できる通信だから」がいちばん危ない

問題提起

ローカルブレイクアウトの設計思想は、「Microsoft や Zoom の通信は信頼できるから、検査せずに直接流してよい」というものだ。これは、一見まったく正しい。

具体例

だが、攻撃者の視点に立つとどうなるか。もし社内の端末が何らかの形で侵害された場合、攻撃者は検知を避けるために、まさにこの「バイパスされている経路」を悪用する。TeamsやOneDriveのAPIを通じて、社外の——それも、攻撃者が用意した個人のMicrosoft 365テナントへ、データをそのまま持ち出すことができてしまう。IPアドレスが「Microsoftのものだから」バイパスしているだけで、その先が本当に自社の契約テナントかどうかまでは、区別されていない。

構造分析

「信頼できる送信元だから検査を省く」という判断と、「その送信元を使った、信頼できない宛先への持ち出しを防げているか」という判断は、まったく別の問題だ。多くの提案書は、前者だけを説明して、後者を語らないまま終わっている。

気づき

速度のためにバイパスさせるなら、バイパスさせた通信の「宛先」まで制御する仕組み(テナント制限)を、セットで設計しなければならない。片方だけを整えて「対策済み」と呼ぶのは、玄関に鍵をかけて勝手口を開けたままにしているのと同じだ。

第二章 「見えないもの」を守ると約束しない

問題提起

情報漏洩防止(DLP)の機能は、多くのセキュリティ製品の目玉として語られる。「マイナンバーや個人情報を検知してブロックします」という説明を聞くと、それだけで安心してしまいがちだ。

具体例

だが、Webの通信の多くは暗号化(HTTPS)されている。この中身を検査するには、通信をクラウド上で一度復号する、SSL/TLSインスペクションという処理が必要になる。ところが現場では、「プライバシーへの配慮」や「端末の動作が重くなる懸念」を理由に、このSSL復号をオフにしたまま運用してしまうケースが少なくない。

構造分析

SSL復号をしていないということは、暗号化された通信の中身を、そもそもシステムが読めていないということだ。読めていないものを「検知してブロックする」ことは、原理的にできない。つまり、DLPという機能名だけが存在し、実質的には何も守っていない状態が生まれる。

気づき

機能が「入っている」ことと、その機能が「効いている」ことは、別の話だ。DLPを謳うなら、それを機能させる前提条件(SSL復号の範囲)まで、セットで確認しなければならない。

第三章 「コストが下がる」という報告の危うさ

問題提起

こうした刷新プロジェクトの社内説明では、「本社のネットワーク機器や回線費用が削減できます」という言葉が、よく使われる。

具体例

確かに、本社のルーターやVPN機器の保守費用、拠点間を結ぶ専用回線の費用は、削減または撤廃できる。だが、その代わりに、Zscalerのライセンス費用、端末ごとのEDR(CrowdStrike や Microsoft Defender for Endpoint など)のライセンス、Intune のようなMDMの費用、各拠点でのローカルブレイクアウト用の回線費用が、新しく発生する。

構造分析

削減できる費用だけを取り上げて「コストが下がる」と説明すると、後になって、増えた費用の存在が発覚したときに、「話が違う」という信頼の損失につながる。これは技術の問題というより、説明の設計の問題だ。

気づき

「コストが下がる」ではなく、「費用の中身が付け替わる。その上で、セキュリティ強度と業務効率が上がる投資である」と説明したほうが、後から追及されない。正直に費用の内訳を見せることが、結果的にプロジェクトを守る。

エピローグ

美しい構成図を見せられると、人はつい安心してしまう。だが、本当に信頼できる設計とは、美しさではなく、「攻撃者だったら、どこを突くか」を先に自分で問い、答えを持っている設計のことだと思う。

ゼロトラストという言葉自体が、本来「何も無条件に信頼しない」という思想のはずだ。その思想を、自分たちの提案書に対しても、同じように向けてみる。それだけで、見落としの多くは防げる。

優しいまま、壊れない。

関連記事

▼ 境界型セキュリティの限界と、ゼロトラスト再設計の「構造」を捉える
境界型セキュリティは、もう守れない——三つの別々の問題が、実は一つの構造だった日
https://note.com/quiet_emu2080/n/n4a5b6c7d8e9

▼ セキュリティ（SOC）・ISMS・クラウド移行の実務アセットを一括インストールする
なぜ「教科書通りのPM」は現場で討ち死にするのか？ 20年で辿り着いた「実務完全インデックス」の思考法
https://note.com/quiet_emu2080/n/nd22c7c98908c

▼ 「コスト削減」ではなく「投資」として経営層・関係者の心に言葉を届ける
正解を言っても人は動かない。20年PMが反省する「正論で関係を壊す人」と「言葉が届く人」の違い
https://note.com/quiet_emu2080/n/n2a8b9c0d1e2

構造学。──人を責めず、構造を見る。
問題は、人ではない。構造が、人をそう動かしている。