ショーン・コネリー、ゼロトラストが連邦政府のサイバーセキュリティをいかに近代化したかを語る

サイバーセキュリティ・インフラストラクチャー・セキュリティ・エージェンシー（CISA）は、進化するサイバー脅威から米国の重要インフラを守る最前線に立っています。また、連邦政府がサイバーセキュリティを従来の境界ベースの戦略から現代のゼロトラストアプローチへと進化させる上で重要な役割を果たしてきました。

最近の「セグメント：ゼロトラスト・リーダーシップ・ポッドキャスト」のエピソードで、このゼロトラストへの移行の背後にいる第一人者を紹介しました。CISAのゼロトラスト・イニシアチブの元ディレクターであるショーン・コネリーです。彼は、連邦政府のサイバーセキュリティにおける変革的変化、ネットワーク境界の進化、そしてゼロトラストに乗り出すすべての人に実践的なアドバイスを提供しました。

私たちの議論の要約を得るために読み続けてください。

について ショーン・コネリー

ショーンは第一人者です 連邦サイバーセキュリティ過去10年間、CISAのイニシアチブを形作る上で重要な役割を果たしてきました。連邦政府の防衛戦略に不可欠なゼロトラストサイバーセキュリティモデルを推し進めました。また、最初のゼロトラスト成熟度モデルの開発を主導し、NIST ゼロトラストアーキテクチャを共同執筆しました。

今年の初めに、彼は立ち上げました CISA ゼロトラスト・イニシアティブ事務局 サイバーセキュリティ対策を強化するために必要なトレーニングとリソースを政府機関に提供すること。

CISAが連邦政府のサイバーセキュリティの近代化にどのように役立ったか

2000 年代半ば、連邦政府機関のネットワークは急速に拡大し、インターネットへのネットワーク接続は驚くべき数にまで増加しました。攻撃対象領域は拡大していました。ショーンは、連邦政府が連邦政府全体でリスクを軽減する方法を見つける必要があることを認識していました。

ショーンとCISAチームは、他の米国のサイバーセキュリティ機関と提携して、 信頼できるインターネット接続 (TIC) 2007年のイニシアチブ。目標は、政府ネットワーク上のゲートウェイの数を制限することでした。連邦政府のインターネットトラフィックはすべて、TICが承認した機関を経由する必要があります。

当初は、従来のハブアンドスポークネットワークモデルに依存していたネットワーク境界のセキュリティ保護に重点が置かれていました。しかし、時が経つにつれ、Seanのような連邦政府のサイバーセキュリティリーダーは、サイバーセキュリティの台頭に伴い、より分散化された、データに焦点を当てたアプローチが必要であることに気づきました。 雲 とモバイルテクノロジー。

「当時でさえ、シスコとジェリコ・フォーラムはディープ・ペリメタリゼーションの必要性について言及していました」と彼は説明しました。「彼らの戒めの 1 つは、『セキュリティをデータの近くに置くことができれば増えるほど、データはより良くなる』ということでした。そして、それは理にかなっていますよね？」

TICは2.0に進化し、最終的には3.0へと進化しました。これにより、政府機関は今日の複雑な脅威環境から身を守るためにクラウドサービスとゼロトラストを採用するようになりました。TIC 3.0は、以前のバージョンのTICプログラムよりも柔軟でリスクベースのアプローチに重点を置いています。

ショーンは、TIC 3.0を連邦サイバーセキュリティの「新しい旅」と呼びました。これにより、データセキュリティとネットワークセキュリティのバランスが改善されました。これはまた、連邦政府によるゼロトラストアプローチの採用における重要なマイルストーンでもありました。

CISAのゼロトラスト成熟度モデルの構築

この「新しい道のり」の重要な部分は、建築に関する実践的な情報を政府機関に提供することでした。 ゼロトラスト。ゼロトラストは政府機関の考え方を変える必要がありましたが、政府機関のリーダーはゼロトラストを実現する方法についての戦術的な詳細も必要としていました。

ショーンはCISAの創設活動を主導しました ゼロトラスト成熟度モデル (ZTMM)、2021年に公開されました。ZTMM は、連邦政府機関がゼロトラストに移行する際に使用できる最も重要なロードマップの 1 つです。

ZTMMは、連邦政府によるゼロトラスト導入の大きな目印です。これは、政府機関がゼロトラスト計画を作成する際に共通言語を提供するためです。ショーンは、ゼロトラストの構築には正確なガイダンスの必要性を認識していました。当時、ゼロトラストに対する理解は機関ごとに異なっていました。ゼロトラストが実際にどのようなものか、またそれが連邦安全保障上の義務にどのように適用されるかについて、混乱を引き起こしていました。彼は、「政策に言葉を入れることはできるが、政府機関は依然として『これが本当の意味なのか？』ということを知りたがっている」と指摘した。

最初のバージョンをリリースした後、CISAは他のサイバー機関や中小企業とともに、機関ごとにゼロトラストの進捗状況と成熟度について話し合いました。その結果、ベンダー、学界、国際政府との会議を含め、100回以上の会議が行われました。CISAは、2022年に公開されたZTMMの第2版にこのフィードバックを追加しました。

ショーンは、プレゼンテーションや記事でZTMMのマウンテングラフィックを何回見たかを振り返りながら、「共感を呼んだ」と言いました。「でも、その山の頂上に着くと、そこは本当に山脈だというのが気になると思います。」

ショーンは、ゼロトラストは決して完全なものではなく、継続的な道のりであることを強調しました。「テクノロジーが進化するにつれて、いつか旗を動かし、ゴールポストも動かします」と彼は説明しました。「ゼロトラストを構築するには、常に新しい方法を追加する必要があります。」そのためには、ZTMMはサイバーセキュリティの現状を継続的に反映すべき生きた文書だとSeanは考えています。

ゼロトラストへの5つのステップ

ショーンによると、ゼロトラストの旅を始めたばかりの人々とのミーティングに足を踏み入れるとしたら、ゼロトラストから始めることを勧めているそうです。 NSTAC ゼロトラストレポート。このガイドは一緒に作成されました ジョン・キンダーヴォーグゼロトラストの創設者であり、イルミオのチーフエバンジェリストでもある彼は、ゼロトラストプログラムを構築するための5つのステップを概説しています。

説明した5つのステップの内訳は次のとおりです。

1. 保護サーフェスの定義: 保護が必要なものを特定します。

2. トランザクションフローのマップ: システム、クライアント/サーバー、組織間のやり取りを含む、組織内のデータおよび通信フローを文書化します。

3. アーキテクチャを構築: ネットワーク、ホストデバイス、およびIDからの信号を利用して、保護対象資産に近いセキュリティ対策を備えたデータ中心のセキュリティアーキテクチャを開発します。

4. 動的ポリシーの作成: クライアントとサーバー、および組織の相互作用を考慮して、変化する状況に対応する適応可能なポリシーを確立します。

5. マニフェスト、監視、保守： ゼロトラスト環境を構築、継続的に監視、維持して、継続的なセキュリティとコンプライアンスを確保します。

「セグメント：ゼロトラスト」ポッドキャストを聴いて、購読して、レビューしてください

もっと詳しく知りたいですか？ショーンがオンになっているエピソード全体を聞いてください弊社ウェブサイト、アップル・ポッドキャスト、Spotifyまたはポッドキャストを入手できる場所ならどこでも。エピソードの全文を読むこともできます。

ゼロトラストの詳しい情報については、近日中に公開します！