現在、ほとんどの企業がネットワークを介した外部からの悪意ある侵入、攻撃に対して、ファイアウォール、VPN、許可されたユーザ認証といった手段を講じている。
いずれも、入口から入ることに対してのチェックであり、一旦接続や侵入に成功さえすれば内部ではやりたいほうだいというケースが多い。
最近、ゼロトラストという言葉を聞く。
これは、全てのアクセスに対して信用しないという考え方に基づくものらしい。
つまり、ネットワークを介して別のネットワークやPC、サーバーに接続する場合、それは信頼できないアクセスとしてみなすので、都度安全な接続であることを証明しないといけないということらしい。
現実問題、結局はこの時点で認証が必要になり、パスワードや生体認証、2要素認証などの認証が行われるのだと思っている。
例えば、全ての外部サーバごとにパスワードを設定するとして、そのパスワードを管理する人がバラバラのパスワードにすることなどあり得ない。
定期的にパスワード変更が必要ならば尚更、パスワードは使い回しされるだろう。
ゼロトラストが現実的なアプローチに基づくようになれば、普及するとは思うが、まだまだ先の話だと思うのは自分だけだろうか。