ネットワークセグメンテーションとは
ネットワークセグメンテーションは、企業ネットワークを分離されたゾーンに分割し、トラフィックの流れを制御し、アクセスを制限し、セキュリティ侵害を封じ込めます。攻撃者が単一のエンドポイントを侵害すると、数分以内に高価値ターゲットをスキャンし始めます。セグメンテーションがなければ、マーケティング部門の侵害されたノートパソコンから財務データベース、顧客記録、産業制御システムにアクセスできてしまいます。適切なセグメンテーションがあれば、ラテラルムーブメントは境界で止まります。
NIST Special Publication 800-207によると、このアプローチは「企業プライベートネットワーク全体が暗黙の信頼ゾーンと見なされる」という考えを否定しています。すべての侵害されたデバイスが全てにアクセスできるフラットなネットワークではなく、攻撃者が個別に突破しなければならない複数のセキュリティ境界を作成します。
ゼロトラストの原則とともに実装することで、ネットワークセグメンテーションは攻撃者に各境界で再認証・再認可を要求します。各セグメントを越えるたびに新たな認証情報、新たなエクスプロイト、新たな手法が必要となり、侵入を発見する機会が増えます。
.jpg)
ネットワークセグメンテーションとサイバーセキュリティの関係
NIST SP 800-207は「いかなるネットワークロケーションも暗黙の信頼を与えない」と定めており、すべてのリソース境界で継続的な検証を要求しています。ネットワークセグメンテーションおよび マイクロセグメンテーションは、攻撃者が企業ネットワーク内部で悪用する不正なラテラルムーブメントを阻止するリソース中心の保護を実現します。
ネットワークセグメンテーションは、NISTが「空間的な被害制限」と呼ぶものを提供します。攻撃者が1つのセグメントを侵害しても、適切な分離により他のセグメントへのラテラルムーブメントを防ぎます。これは ランサムウェアの拡散、 ソーシャルエンジニアリング攻撃、境界型ネットワークセキュリティだけでは防げないIDベースの攻撃に直接対応します。その分離をどのように実現するかは、選択するセグメンテーション手法によって異なります。
ネットワークセグメンテーションの種類
組織は、環境やセキュリティ要件に応じて複数の異なるアプローチでネットワークセグメンテーションを実装できます。多くの企業導入では、物理的および論理的手法を組み合わせて、セキュリティと運用の柔軟性のバランスを取っています。
- 物理セグメンテーション: 物理セグメンテーションは、専用のハードウェア、スイッチ、ルーター、ケーブル、ファイアウォールを使用して、完全に分離されたネットワークセグメントを作成します。セグメント間のトラフィックはファイアウォールやゲートウェイデバイスを通過する必要があり、強力な分離を提供します。 CISAのセグメンテーションガイダンスでは、物理セグメンテーションをOT（運用技術）とIT（情報技術）ネットワークを分離するための基本的なアプローチとしています。デメリットはコストと柔軟性の低さであり、物理セグメンテーションは各セグメントごとに専用インフラが必要で、ビジネスニーズの変化に迅速に対応できません。
- 論理セグメンテーション: 論理セグメンテーションは、VLANやサブネットなどの技術を用いて、物理的ではなく仮想的にネットワークを分割します。VLANタグ付け（IEEE 802.1Q）は、同じ物理スイッチを共有していてもレイヤ2でトラフィックを分離します。 NIST SP 800-125Bは仮想化環境での論理セグメンテーション構成ガイダンスを提供しています。論理セグメンテーションは物理分離より柔軟かつコスト効率が高いですが、VLANの誤設定によりVLANホッピングやトランクポートの誤設定を通じてセグメント間でトラフィックが漏れる可能性があります。
- ファイアウォールベースのセグメンテーション: ファイアウォールを内部境界に配置し、ゾーン間のトラフィックを検査・フィルタリングすることでセグメンテーションを実現します。このアプローチは、セグメント境界を越えるプロトコルやアプリケーションを細かく制御できます。内部ファイアウォールはDMZの作成や異なる信頼レベルの環境分離に特に有効です。課題はルール管理であり、企業のファイアウォールポリシーは数千ルールに膨れ上がり、監査や保守が困難になります。
- ソフトウェア定義セグメンテーション: ソフトウェア定義ネットワーキング（SDN）は、セグメンテーションを物理インフラから切り離し、集中管理や動的なセグメント作成を可能にします。SDNコントローラーは、分散環境全体でセグメンテーションポリシーをプログラム的に作成・変更・適用できます。このアプローチは、ワークロードがホスト間を移動しIPアドレスが頻繁に変化する クラウドセキュリティアーキテクチャに不可欠です。
- マイクロセグメンテーション: マイクロセグメンテーションは、ネットワーク境界ではなく個々のワークロード単位でセキュリティポリシーを適用します。 CISAのゼロトラスト・マイクロセグメンテーションガイダンスによると、このアプローチは「他のポリシー制御メカニズムと連携し、より詳細な認可ポリシーを実現」します。ゼロトラストアーキテクチャ内で、マイクロセグメンテーションの境界はワークロードの挙動やアクセス要件に応じて動的に変化し、最も細分化され適応性の高いネットワークセグメンテーションとなります。
これら各種のネットワークセグメンテーションは、セグメント境界でアクセス制御と信頼検証を行う共通の強制技術群に依存しています。
ネットワークセグメンテーションの主要コンポーネント
どのセグメンテーションタイプを導入する場合でも、強制アーキテクチャは複数のコンポーネントが連携してアクセス制御と脅威封じ込めを実現します。
ゼロトラストアーキテクチャのコンポーネント
最新のネットワークセグメンテーションは、複数のゼロトラスト技術が連携して機能します。
- ソフトウェア定義広域ネットワーク（SD-WAN）は、分散環境全体で動的なポリシー強制によるネットワークレベルのセグメンテーションを実現します。
- ゼロトラストネットワークアクセス（ZTNA）は、厳格に定義された アクセス制御ポリシーに基づき安全なリモートアクセスを提供します。 CISAのネットワークアクセスセキュリティガイダンスに準拠しています。
- セキュアアクセスサービスエッジ（SASE）は、SD-WAN、SWG、CASB、NGFW、ZTNAなどのネットワークおよびセキュリティ機能を統合し、ゼロトラスト原則に沿った統一的なセグメンテーションとセキュリティ制御を実現します。
これらのコンポーネントは、オンプレミス、クラウド、リモート環境全体で一貫したセグメンテーションポリシーを強制します。
ワークロードレベルの強制
アプリケーション層では、ソフトウェア定義ペリメータがリソースを個別セグメントに配置し、ワークロードレベルの分離を実現します（ NIST SP 1800-35参照）。Cloud-Native Application Protection Platform（CNAPP）、Cloud Workload Protection Platform（CWPP）、Web Application Firewall（WAF）は、個々のワークロードやアプリケーションへのセグメンテーション強制を拡張します。
これらのコンポーネントが強制レイヤーを形成します。次のステップは、これらが実際にどのように機能し、ラテラルムーブメントを阻止し侵害を封じ込めるかを理解することです。
ネットワークセグメンテーションの仕組み
ネットワークセグメンテーションは、各境界での継続的な検証によりラテラルムーブメントを阻止します。 NIST SP 800-207は運用原則として「すべての通信はネットワークロケーションに関係なく保護される」「個々の企業リソースへのアクセスはセッションごとに付与される」と定めています。攻撃者が1つのエンドポイントを侵害し初期認証情報を得ても、セグメントをまたいで持続的なアクセスを維持できません。
- ポリシー強制アーキテクチャ: ポリシー決定ポイント（PDP）は、企業ポリシー、デバイスの健全性、ユーザー認証情報、外部脅威インテリジェンスに基づき認可判断を行います。ポリシー強制ポイント（PEP）は、その判断に従いリソースへのアクセスを制御します。財務セグメントのワークステーションが運用セグメントの産業制御システムに接続しようとする場合、PDPは認可、デバイス準拠、行動の一貫性、最新の脅威インテリジェンスを確認し、PEPが接続を許可またはブロックします。
- 侵害封じ込めメカニズム: 継続的監視の原則により、すべての所有・関連資産の整合性とセキュリティ状態を追跡します（ NIST SP 800-207参照）。これは、セグメント内外のトラフィックパターンを分析し、偵察活動、認証情報の収集、異常なセグメント間アクセス試行など ラテラルムーブメントの兆候を検出することを意味します。
これらのメカニズムが欠如または不十分な場合、攻撃者はその隙間を突いて甚大な被害をもたらします。
実際の攻撃例：ネットワークセグメンテーションの重要性
2021年のColonial Pipeline ランサムウェア攻撃は、ネットワークセグメンテーションが失敗した場合に何が起こるかを示しました。攻撃者は侵害されたVPN認証情報からアクセスし、ITシステムからOTネットワークへラテラルムーブメントを行いました。同社は440万ドルの身代金を支払い、米国東部で大規模な燃料不足が発生しました（ 司法省記録参照）。ITとOTネットワーク間の適切なネットワークセグメンテーションがあれば、初期侵害を封じ込められた可能性があります。
2020年のSolarWinds サプライチェーン攻撃では、CISAのインシデント分析によると、悪意あるソフトウェアアップデートを通じて約18,000組織が侵害されました。攻撃者は発見まで数か月間、被害組織のネットワーク内をラテラルムーブメントしました。適切にセグメント化され継続的監視が行われていた組織は、フラットなネットワークアーキテクチャの組織よりも早期に侵害を発見し、被害範囲を限定できました。
これらの事例は、構造化された段階的なセグメンテーションアプローチが、場当たり的な導入よりも不可欠である理由を強調しています。
ネットワークセグメンテーション導入戦略
成功する導入には、 NIST SP 800-207や CISAのゼロトラスト成熟度モデルに基づく段階的アプローチが必要です。CISAは「一度に全体を導入しようとせず、時間をかけて部分的に移行する」ことを推奨しています。
- フェーズ1：評価とベースライン
まず、現在のネットワークアーキテクチャをマッピングし、すべてのワークロード、アプリケーション、データ分類を文書化します。セグメンテーションポリシー実装前に、データフローマッピングと監視機能を環境全体に展開します。
- フェーズ2：ポリシー定義と監視
ビジネス要件に基づき、最小権限アクセス制御によるセグメンテーションポリシーを定義します。CISAのマイクロセグメンテーションガイダンスによれば、まず監視・ログモードでポリシーを実装し、正当な業務への影響を把握します。広範囲な導入ではなく、まず高価値資産から開始します。
- フェーズ3：技術導入と強制
ソフトウェア定義ネットワーキング機能を活用し、VMレベルのネットワークポリシー、ゼロトラストに沿った自律的セキュリティ、タグベースのセグメンテーションによる動的ポリシー強制を行います。まず監視・ログモードで強制を有効化し、段階的に本格運用へ移行します。
- フェーズ4：継続的最適化
セグメンテーションは完了したプロジェクトではなく、継続的な運用プロセスとして扱います。模擬攻撃による定期的なテストで設計上の弱点を特定し、効果を検証します。ネットワークセグメンテーションのベストプラクティスでは、この検証サイクルを年次ではなく継続的に行うことが推奨されています。
この段階的アプローチにより、セキュリティ、コンプライアンス、ビジネス運用全体で測定可能な効果が得られます。
ネットワークセグメンテーションの主なメリット
ネットワークセグメンテーションは、侵害封じ込めを超えた価値を提供します。適切に実装すれば、コスト削減、規制要件の遵守、組織全体のセキュリティ体制強化につながります。
定量化された侵害封じ込め
IBMおよびPonemon Instituteの調査によると、データ侵害の世界平均コストは 2025年に4.44百万ドルに達しました。侵害を早期発見・封じ込めた組織はコストを大幅に削減し、平均侵害ライフサイクルは過去9年で最低の241日となりました。ネットワークセグメンテーションは、迅速な封じ込めと被害範囲の縮小によりこれらのコストを削減します。適切な分離により、攻撃者はネットワーク全体を暗号化できず、単一セグメントに影響が限定されます。
コンプライアンス要件の達成
複数の規制フレームワークがネットワークセグメンテーションを義務付けまたは強く推奨しています。
- PCI DSS 要件1は、セグメント化ゾーン間のトラフィック制御のためのファイアウォールおよびルーター構成を義務付け、要件11.3および11.4は分離検証のためのペネトレーションテストを要求しています。
- HIPAAは、電子的保護健康情報へのアクセスを制限するためのセーフガードを要求しています。
- NISTサイバーセキュリティフレームワーク、SOX、GDPR、ISO規格も、セグメンテーションをコアコントロールとして含んでいます。
規制要件に加え、サイバー保険会社は 多要素認証や IDベースのアクセス制御とともにネットワークセグメンテーションを補償条件とすることが一般的です。
ランサムウェア対策
ネットワークセグメンテーションは、ネットワークゾーン間のラテラルムーブメントを制限することでランサムウェアの拡散を阻止します。1つのセグメントでエンドポイントが侵害されても、適切な分離によりバックアップ、ドメインコントローラー、プロダクションシステムを含む他のセグメントへの拡大を防ぎます。境界が増えるほど、攻撃が拡大する前に発見・阻止できる可能性が高まります。
戦略的ビジネス価値
Gartnerの2024年CEO調査によると、CEOの85%がサイバーセキュリティをビジネス成長に重要と回答しています。ネットワークセグメンテーションは、運用リスクを低減し、顧客・パートナー・規制当局に成熟したセキュリティ体制を示すことでこれを支援します。
ただし、これらのメリットを得るには、多くの組織が過小評価しがちな実装上の課題を乗り越える必要があります。
ネットワークセグメンテーションの課題と限界
ネットワークセグメンテーションは実際のセキュリティ価値をもたらしますが、導入には計画すべき障害があります。
- エンタープライズ規模での複雑さと管理負荷
- 環境全体でルールセットが増大することによるポリシースプロール
- 最新のゼロトラスト要件とのレガシーシステムの互換性
- ハイブリッド・マルチクラウドインフラ全体での可視性のギャップ
これらの課題は、対策しなければセグメンテーション施策を停滞・形骸化させる要因となります。
- 複雑さと管理負荷 : SANS Instituteの調査によると、境界デバイスはエンタープライズ規模でのセグメンテーション実装時にリソース制限によるスケーラビリティ問題に直面します。多くの組織がセグメンテーションプロジェクトを開始しますが、運用の複雑さから中断したり、「any-to-any」ポリシーを残したままになることがよくあります。
- ポリシースプロールとルール管理: エンタープライズ導入では、開発・ステージング・本番環境全体でセグメンテーションポリシーや東西ファイアウォールを適切に設定できないことが、 セキュリティギャップとなり、攻撃者に悪用されることが明らかになっています。
- レガシーシステムの互換性: レガシーシステムは、最新のゼロトラスト実装が要求する動的ポリシー環境に対応できないため、特有の課題をもたらします。これらのシステムは最新のアクセス制御やパッチが不足していることが多く、ネットワークセグメンテーションが必要な補完的コントロールとなりますが、設計されていないシステムへの適用は困難です。
- ハイブリッド環境での可視性ギャップ: ハイブリッド環境ではツールの乱立が一般的な課題です。セキュリティチームはAWS、Azure、オンプレミスネットワークごとに個別の監視ツールを導入し、サイロ化した可視性となります。この断片化は、可視化できないものを強制できないため、セグメンテーションの有効性を直接損ないます。
これらの課題の多くは、回避可能な実装ミスによってさらに悪化します。よくある失敗例を理解することで、他組織が既に経験した失敗を回避できます。
ネットワークセグメンテーションのよくあるミス
ネットワークセグメンテーションのベストプラクティスに従っていても、回避可能な落とし穴に陥ることがあります。最も頻繁な失敗は、初期計画不足、東西トラフィック監視の不十分さ、ドキュメント不備、動的環境への不適切なアプローチ、テスト不足、IAM統合の弱さの6つに分類されます。
- 初期計画の不十分さ: カーネギーメロン大学ソフトウェア工学研究所は、基礎的な計画失敗として「組織は実装前にネットワークの現状、利用可能な機能、目標達成に必要な事項を把握する必要がある」と指摘しています。
- 東西トラフィック監視の不十分さ: エンタープライズ導入では、開発・ステージング・本番環境全体で東西ファイアウォールポリシーを一貫して適用できない場合にリスクが生じます。これらの不整合が攻撃者によるラテラルムーブメントの隙間となります。
- ドキュメント不備によるポリシードリフト: セグメンテーションの意思決定を文書化しないと、例外が蓄積します。新しいチームメンバーはポリシーの理由を理解できず、セグメンテーションアーキテクチャと連携せずにポリシー変更が行われます。カーネギーメロン大学ソフトウェア工学研究所は、セグメンテーションを「一度きりのプロジェクトではなく継続的なプロセス」として扱うべきだと強調しています。明確なドキュメントがそれを可能にします。
- 動的環境への対応不足: 組織はしばしば静的なセグメンテーション手法を動的インフラに適用します。従来のVLANやファイアウォール手法は、ワークロードが短命でIPアドレスが絶えず変化するクラウドやコンテナ環境には対応できません。最新のクラウドセキュリティアーキテクチャには、環境変化にリアルタイムで適応する動的かつ自律的なセグメンテーション手法が必要です。
- テスト・検証の不十分さ: セキュリティ実務者は、模擬攻撃による定期的なセグメンテーションテストを推奨しています。多くの組織はポリシーが機能していると仮定して導入しますが、実際のインシデント時にギャップが発覚します。
- IAM統合の不十分さ: IDおよびアクセス管理（IAM）技術は、オンプレミスネットワークでユーザーを認証情報に基づき細かく識別・追跡しますが、クラウド環境では同等の制御ができず、ハイブリッドインフラ全体でセキュリティの不整合が生じます。
これらの課題に対処し、ミスを回避するには、ワークロードの実行場所に関係なくすべてのセグメントを統合的に可視化できるプラットフォームが必要です。
効果的なネットワークセグメンテーションのベストプラクティス
強固なネットワークセグメンテーションは、技術だけでなく運用上の規律にも依存します。以下のベストプラクティスは、実際の攻撃下でも機能し、環境の拡大に対応できるセグメンテーション構築に役立ちます。
- すべての境界で最小権限アクセスを適用する: 各ユーザー、デバイス、ワークロードに必要最小限のアクセス権のみを付与します。セグメントごとに役割やビジネスニーズに基づきアクセスポリシーを定義し、広範なネットワークロケーションではなく個別に制御します。開発者ワークステーションがステージング環境のみ必要な場合、ポリシーは本番データベースや財務システム、ドメインコントローラーへの接続をデフォルトでブロックすべきです。
- 最も重要な資産から優先的に保護する: ドメインコントローラー、バックアップインフラ、財務システム、顧客データストアなど、最も価値の高いターゲットを中心にセグメンテーションを開始します。これらの資産を先に分離することで、最大のリスクエクスポージャを削減し、環境全体への拡張を進めます。 CISAのゼロトラスト成熟度モデルもこの段階的アプローチを推奨し、重要リソースの優先保護を勧めています。
- 東西トラフィックを継続的に監視する: 境界監視だけでは内部セグメント間のラテラルムーブメントを見逃します。セグメント内外のトラフィックを追跡できる可視化ツールを導入し、偵察活動、認証情報の悪用、不正アクセス試行を検出できるようにします。継続的監視により、セグメンテーションは静的コントロールから能動的防御へと進化します。
- 可能な限りポリシー強制を自動化する: エンタープライズ規模では手動ルール管理は破綻します。ワークロードの変化、新規資産の導入、ユーザーの役割変更に応じて自動調整されるソフトウェア定義セグメンテーションやタグベースポリシーを活用します。自動化により設定ミスを減らし、実際の環境に即したポリシーを維持できます。
- 模擬攻撃で定期的にセグメンテーションをテストする: セグメント境界を標的としたペネトレーションテストやレッドチーム演習を実施します。認証情報窃取、VLANホッピング、セグメント間の権限昇格など、現実的な攻撃シナリオで分離が維持されるか検証します。年次テストでは不十分であり、主要インフラ変更ごとに継続的な検証サイクルとしてください。
- すべてのポリシーと例外を文書化する: 各セグメンテーションルールや例外のビジネス上の根拠を記録します。このドキュメントはポリシードリフトを防ぎ、コンプライアンス監査を支援し、新しいチームメンバーがセグメンテーションアーキテクチャを維持するためのコンテキストを提供します。
これらの実践により、環境に適応し、攻撃者が境界を試す際にも機能するセグメンテーションを構築できます。ハイブリッドインフラ全体でこれらの実践を大規模に強制するには、統合的な可視性と自律的な対応が必要です。
重要なポイント
ネットワークセグメンテーションは、企業ネットワークを分離されたゾーンに分割し、トラフィックの流れを制御し、アクセスを制限し、侵害を封じ込めます。物理的分離からマイクロセグメンテーションまで複数のタイプがあり、最新の実装はNISTやCISAが定めるゼロトラスト原則に従い、マイクロセグメンテーションを基盤的なセキュリティとして侵害封じ込め時間の大幅短縮を実現します。
セグメンテーションは、PCI DSS、HIPAA、GDPR、NIST サイバーセキュリティフレームワーク、SOX、ISO規格などのコンプライアンス要件にも対応します。成功する導入には、高価値資産から始め、強制前に監視を行い、セグメンテーションを一度きりのプロジェクトではなく継続的な運用として扱う段階的な実装が必要です。SentinelOneのSingularity PlatformおよびPurple AIは、ハイブリッド環境全体でネットワークセグメンテーションを強化するために必要な統合的な可視性と自律的な対応を提供します。
よくある質問
ネットワークセグメンテーションは、企業ネットワークをより小さく分離されたゾーンに分割し、トラフィックの流れを制御し、アクセスを制限し、セキュリティ侵害を封じ込める手法です。各ゾーンは独自のアクセス制御ポリシーを適用するため、あるセグメントで侵害されたデバイスが他のリソースに自由にアクセスすることはできません。
このアプローチはNISTによって確立されたゼロトラストの原則に従い、すべてのネットワーク境界を認証および認可が必要なセキュリティチェックポイントとして扱います。
ネットワークセグメンテーションは、VLAN、ファイアウォール、サブネットを使用して部門や機能ごとに広範なゾーンを作成し分離します。マイクロセグメンテーションは、ワークロードレベルでのきめ細かな分離を実現し、個々のアプリケーション、データベース、またはコンテナを固有のセグメントに配置します。
NIST SP 1800-35によると、Software-Defined Perimeterアプローチは、リソースをワークロードレベルで保護するために固有のセグメントに配置します。最新の自律型機能により、マイクロセグメンテーションはゼロトラスト実装の基盤となる有効なコントロールとなっています。
クラウドプラットフォームは、ゼロトラストの原則に沿ったネイティブなセグメンテーション制御を提供しますが、実装方法はプロバイダーごとに異なります。AWSは、ネットワークアクセスコントロールリスト（NACL）とセキュリティグループを使用して多層的なネットワーク制御を実現しています。
Azureは、ネットワークセキュリティグループおよびアプリケーションセキュリティグループを用いてアプリケーション中心のセグメンテーションを実装しています。GCPは、エンタープライズ規模の導入向けに階層型ポリシーを持つVPCファイアウォールルールを提供します。これらの環境全体で一貫したポリシーを維持するには、統合された可視性とポリシー管理が必要です。
ネットワークセグメンテーションは、ネットワークゾーン間のラテラルムーブメントを制限することでランサムウェアの拡散を防ぎます。ランサムウェアが1つのセグメント内のエンドポイントを侵害しても、適切な分離によりバックアップやドメインコントローラー、本番システムを含む他のセグメントへの到達を防ぎます。
各セキュリティ境界は攻撃者に新たなエクスプロイトや認証情報の取得を強いるため、攻撃が拡大する前に検知・阻止できる可能性が高まります。
ゼロトラストアーキテクチャはネットワークセグメンテーションを基盤としています。NIST SP 800-207は「エンタープライズのプライベートネットワーク全体は暗黙の信頼ゾーンとは見なされない」と定めており、この原則を実現するためにセグメンテーションが必要です。
ゼロトラストは、継続的な検証、セッションごとの認可、セグメント境界での動的なポリシー適用を要求します。
セグメント間の境界を越えたラテラルムーブメントの試行をシミュレートする定期的なペネトレーションテストを通じて、セグメンテーションの有効性を検証します。分離されているべきセグメント間でエンドポイントが正常に通信した場合のポリシー違反を監視します。セグメント間のトラフィックパターンや挙動の異常を可視化できるエンドポイントレスポンスプラットフォームを導入します。
PCI DSS 要件11.3および11.4では、セグメンテーションがカード会員データ環境を他のネットワーク領域から効果的に分離していることを検証するため、定期的なペネトレーションテストが求められています。
ネットワークセグメンテーションは、侵害を分離されたゾーン内に封じ込め、攻撃者が単一の侵害後にインフラ全体を自由に移動することを防ぐため、重要です。セグメンテーションがない場合、1つのエンドポイントが侵害されるだけで、攻撃者はドメインコントローラー、財務システム、バックアップ、顧客データにアクセスできてしまいます。
セグメント化された環境では、攻撃者は各境界を個別に突破する必要があり、セキュリティチームが侵入を発見し阻止するための時間を稼ぐことができます。セグメンテーションは、PCI DSS、HIPAA、NISTなどのコンプライアンス要件も満たし、サイバー保険会社によってもますます求められています。
はい。NIST SP 800-207は、ネットワークセグメンテーションをゼロトラストアーキテクチャの中核要素として位置付けています。ゼロトラストはネットワーク上の位置に基づく暗黙の信頼を排除し、あらゆるリソース境界で継続的な検証を要求します。
ネットワークセグメンテーション、特にマイクロセグメンテーションは、リソースをゾーンごとに分離し、すべてのアクセス要求に対して認証、認可、検証を必須とすることでこの原則を強制します。CISAのゼロトラスト成熟度モデルでは、マイクロセグメンテーションをゼロトラスト実装のネットワーク分野における主要なコントロールとして特定しています。
