Tomorrow.io、1PasswordとZTNAの統合で本番環境への常設のアクセスを解消

Tomorrow.ioは、1PasswordとZTNA（ゼロトラストネットワークアクセス）の製品を統合し、本番環境への常設のアクセスを、必要なときに必要な範囲だけ付与するジャストインタイムのアクセスに切り替えました。同社は宇宙技術、生成AI、独自のモデルを活用して気象インテリジェンスを提供し、世界のリーダーが気候の課題に直面するなかで、影響の予測、リスクの軽減、業務のレジリエンスを実現できるよう支援しています。

導入前：ZTNAだけでは権限を絞り切れない

ZTNAのようなネットワーク単位のアクセス制御は、範囲が広く持続的になりやすく、厳格な最小権限のジャストインタイムのアクセスを徹底するには粒度が足りません。ZTNAのツールは、特定のリソースや操作ではなく、アプリケーションやシステム全体へのアクセスを許可します。その結果、過剰な権限やセキュリティーの抜け穴が生じるおそれがあります。

クラウドインフラストラクチャーディレクターのMoshe Belostotsky氏は、1Passwordの導入前は、本番環境への常設のアクセスを制御できていなかったと振り返っています。

解決策：ネットワークと権限の両面で最小限に

同社は1PasswordとZTNAの製品を組み合わせ、特定のアプリケーションや環境への一時的なアクセスを安全に付与しながら、最小権限の制御を徹底しています。常設の特権をなくし、攻撃対象領域を大幅に縮小しました。Belostotsky氏によると、この統合によって、ジャストインタイム（JIT）のアクセス、必要最小限のアクセス（JEA）、必要最小限の接続（JEC）を環境全体で実現できています。

エンドツーエンドの最小権限

ネットワークとパーミッションの制御をそろえ、利用者が必要なものだけにアクセスできるようにしています。必要最小限の接続と必要最小限のアクセスを組み合わせることで、過剰な露出を防ぎます。

期限付きのアクセス

アクセスのパーミッションとネットワークの接続は、必要なときだけ一時的に付与され、自動で取り消されます。露出を限定し、コンプライアンスのリスクも減らせます。

アクセスと接続を一元的に可視化

誰がアクセスを申請し、どのパーミッションが付与され、どこに接続したかを追跡できます。アクセスの承認からリアルタイムのシステムの操作まで、エンドツーエンドで監査できる状態です。

導入効果

Belostotsky氏は、1PasswordとZTNAの統合によって、多層的できめ細かな制御が実現したと評価しています。エンドツーエンドで最小権限を徹底し、攻撃対象領域を縮小し、必要に応じたアクセスを効率化する包括的なゼロトラストの仕組みになったというのが同氏の見方です。ジャストインタイムのアクセスによって本番環境を必要なときに的確に制御できるようになり、セキュリティーと運用の効率がともに高まったと述べています。

この導入事例からの学び

同社の事例から読み取れるのは、ZTNAとジャストインタイムのアクセスを、置き換えではなく補い合う関係として扱っている点です。ZTNAが担うのはネットワークの接続で、1Passwordが担うのはリソースと操作の単位のパーミッションです。その両方を必要なときだけ一時的に付与することで、どこにつながるかと何ができるかの両面から、アクセスを最小限に絞っています。

ZTNAを導入済みの組織にとっては、接続を制御できていても、本番環境に常設のアクセスが残っていないかを点検することが次の確認事項になります。

出典：1Password