『ゼロトラスト』をベースにした セキュリティシステムに 堅牢性の高いSMSでの二段階認証を実装

『ゼロトラストネットワーク』に基づく新しいセキュリティ対策

株式会社onetap代表の武田義基氏は、これからの時代に求められるセキュリティ対策について次のように語ります。

「働き方改革が推奨される中、新型コロナウイルス感染拡大の影響もあり、場所を選ばない働き方の構築が加速しています。緊急事態宣言中には急場しのぎでテレワークを導入した企業も多く、セキュリティ対策が十分でないまま業務を継続していたり、特定の帯域が使われすぎて業務効率が悪化してしまったりといったトラブルが散見されています。この労働環境の劇的な変化に合わせ、あらゆる場所、デバイス、ユーザーからのアクセスに対して、適切な認証と、柔軟なアクセス権限を同時に提供するセキュリティサービスが必要です。」

『LOCKED』は『ゼロトラストネットワーク』という考え方をベースにしたクラウド型のセキュリティサービスです。ファイアウォールで隔てた「社内」「社外」という境界を基準とし、境界内部からのみ情報アクセスを許可する従来のペリメタモデルは、社内にいない働き方にフィットしているとはいえません。社内ネットワークをVPNなどで無理やり拡張させる必要があり、またそもそも内部からの故意的な情報漏洩リスクを回避することが困難だからです。これに対し『ゼロトラストネットワーク』は、あらゆるネットワーク、デバイス、ユーザー、アプリケーションを信頼せず、攻撃されることを前提としたアプローチです。ユーザーがアクセスしている状態から、不審な振る舞いがないかどうかをAIが総合的に判断していくため、社内外を問わず不正なログインを検知することができます。それは同時にログイン環境やアクセス権限に柔軟性を持たせることも可能にするのです。

Twilioで実現したSMSでの二段階認証

「『LOCKED』は「どのような環境で」「どこから」「どのように」サービスを利用しているのかを記録し、AIがこれらを比較、トリガーとなるログインが発生した場合に二段階認証を求め、本人確認を行います。その際にメールやサードパーティのアプリ等ではなく、社用携帯のSMSを使用してほしいというクライアントからのご要望があり、SMSによる二段階認証機能の開発がスタートしました。」

携帯電話番号を利用するSMS。発行にキャリア審査が必要な携帯電話番号は、不正取得が難しく、また端末を持っている本人しか受信できないことから、セキュリティ的に強いという側面を持っています。そのため『LOCKED』へのSMSによる二段階認証の実装は、いずれ必要になると考えていたそうです。「エンジニアとしての視点からすると、Twilioは様々なプログラミング言語のサポートがあり、ディベロッパー向けの資料も豊富で、開発がしやすい環境が整っている点は他にない魅力でした。世界各国の80以上のキャリアと連携しているため、グローバルな展開において柔軟性が高いというのもポイントです。現在中国をはじめ、アジア圏でのSMS二段階認証機能の公開も予定しています。事業責任者として最も重視したのは、信頼性です。世界的かつ大規模なサービスでの導入実績が豊富で、高い稼働率を誇っているということもあり、選択肢はほぼTwilioのProgrammable SMS一択という状態でした。」

「わずか数日で実装が完了し、プロダクションへのリリースまで2週間というスピードからも、Twilioがディベロッパーフレンドリーであることを感じました。実際に自社でも同システムを導入していますが、メールと比較してもSMSの到達率は高く、ユーザーとしても快適に利用することができています。」

時代に合わせセキュリティリスクの最小化を目指す

「中長期的なテレワークの導入などを見越した企業からの問合せは毎月倍増しており、『ゼロトラストネットワーク』の認知が徐々に広がっていることを実感しています。「コロナウイルスで激変するセキュリティ対策」というホワイトペーパーは約3,000人以上の方にご覧頂き、大きな反響を呼んでいます。セキュリティインシデントは大企業や官公庁でも発生しており、その補填が数億円単位になることも珍しくありません。ですが、費用対効果が見えにくく、必要なコストを算定しづらいこともあり、適切なセキュリティ対策を講じられていないケースは決して少なくないのが現状です。リスクが拡大している現状に対し、『LOCKED』を活用した、安全で運用コストの低いインフラ構築をサポートしていきたいです。」