ゼロトラストは情シスの仕事を増やす話だよ

役所の情報システム部の人が、三層分離ネットワーク（多層型境界防御）を批判しつつゼロトラストについて言及しているのだが、近年のランサムウェア事件などを見ると多層型境界防御は有効であるし、ゼロトラストと併用できるしすべきものなので、対比的に扱うのはミスリーディングだ。

ゼロトラストはセキュリティー専門家のJohn Kindervag氏が提唱した概念が原点で、①あらゆる通信の暗号化（と認証）、②ロールベースのアクセス制御を厳格に定め運用、③すべてのトラヒックを検査・ログを記録（さらに自動防御）が基本コンセプトとなっている。境界防御では不十分だと指摘しているが、境界防御があるからと言って危険性が増すと言う話ではない。

ローカルネットワークであってもTSLで暗号化しろ、社内LANであってもActive Directory–KeyCloak連携で多要素認証しろ、社内設置のサーバーでも紛失などに備えてドライブ暗号化しろ、システムエンジニアのサーバーアクセスもアクセス制御をしっかりしろ、退職や異動時にロールの変更を忘れるな、ホスト型とネットワーク型の不正侵入検知/防御システム（IDS/IPS）を設置・設定しろ、設定は常時更新しろ…というようなゼロトラスト化はセキュリティーの大きな強化になる。

だが近年のランサムウェア事件を見ていくと、境界防御、とくに多層型はなお有効だ。VPN機器の脆弱性をついて、もしくはリアルタイム・フィッシングで多要素認証を突破して、組織内のインターネットと接続しているLANに侵入、そこからKerberoastingしてサーバーを攻略していくと言う流行りの攻撃パターンは、ゼロトラストでも防げない。IDS/IPSに引っかかりそうだが、報道された事件では機能しなかった。一方、多層型境界防御があれば、業務アプリケーションのサーバーに被害は及ばなかったはずだ。閉鎖ネットワークでもUSBメモリーでマルウェアが侵入することがあるという意見もあったが、データの破壊はできてもアップロード先がないので、情報漏えいさせることは困難だ。

多層型境界防御とゼロトラストは併用されるものなので、ゼロトラストは情シスの仕事を増やす話となる。多層型境界防御の廃止、ゼロトラストの導入で、セキュリティーの向上、情シスの作業量軽減、働き方改革（リモートワーク）を実現というような話になっているように感じたのだが、残念ながらそうはならない。地方公共団体における情報セキュリティポリシーに関するガイドラインを読む限りは、現在でも多層型境界防御かつゼロトラストになっているはずだ。現在の役所の一人情シスは作業が多くて大変らしいが、それがゼロトラスト導入の結果である。