ゼロトラストモデル（用語）

IDアクセス管理One Identityがライバル、エンドユーザー向けセキュアサインオンのOneLogin買収

サイバーセキュリティの世界では、IDとアクセスの管理の分野で企業を支援するサービスを中心に、さらなる統合が進んでいる。システムへの「ゼロトラスト」アクセスを管理するツールや、ログ管理その他のガバナンスサービスを企業に提供するOne Identity（ワンアイデンティティ）は現地時間10月4日、OktaやPingなどのエンドユーザー向けセキュアサインオンサービス分野の競合企業であるOneLogin（ワンログイン）を買収したと発表した。

10月1日に正式に完了したこの買収の諸条件は非公表だが、TechCrunchは引き続き情報を探っている。

背景を少し説明する。One Identityは現在、プライベートエクイティファンドのFrancisco Partnersが株式を保有するQuest Softwareの一部となっている。それ以前は、Dell（デル）の一部だった。Dellの合理化の際、Francisco PartnersはElliottと提携し、DellからQuestとその関連資産を2016年に買収した。当時の取引額は約20億ドル（約2200億円）だったと言われている。One Identityは約7500社の法人顧客を抱え、約2億5000万件のIDを管理しているという。

一方、OneLoginは2019年に最後の資金調達を公表した。PitchBookのデータによると、1億ドル（約110億円）のシリーズDで3億3000万ドル（約363億円）と評価された（PitchBookデータには、それに続く資金調達が掲載されているが、日付も金額も明記されていないことに留意されたい）。OneLoginは、Airbus、Stitch Fix、AAA、Pandoraなど約5500社の顧客を抱えている。QuestのCEOであるPatrick Nichols（パトリック・ニコルズ）氏はTechCrunchのインタビューで、両社合わせて約2億9000万件のIDを管理することになると語った。この数字には「人」だけでなくシステム上のM2Mのノードも含まれるという。

今回のM&Aは、セキュリティ業界が大きく変化するなかで行われた。Dellが資産を売却し、OneLoginが資金を調達してから数年が経過したが、クラウドサービスへの移行が進み、人々や企業がビジネスをデジタルで行うようになり、サイバーセキュリティの脅威は増大する一方だ（OneLoginは、IBMのデータを引用して、情報漏えいのコストが平均で386万ドル［約4億2830万円］に上ると推定しているが、これには企業の評判やユーザーの信頼に関する巨額のコストは含まれていない）。

こうした大きな流れの中で、ID管理は、それは得てして誤った管理だが、特に脆弱な分野となっている。悪意のあるハッカーは、高度な技術とヒューマンエラーの両方を利用し、さまざまな手法でシステムに侵入する。

今日の市場に存在するさまざまな脅威が向かう先を検討すると「そのうちの70％は、不十分なID管理が直接の原因となっています」とVerizon（ベライゾン）の調査結果を引用しながらニコルズ氏は話した。エンドポイントの数が急速に増加しているために、脅威は深刻になっている。ネットワークに接続する人が増えたのではなく、接続されるデバイスが増えているのだ。システム上のエンドポイントの半分は、特定の個人ではなくデバイスであることが一般的で「いったん侵入されてしまうと、パスワードを盗むのと同じことになってしまいます」。

同時に、長年にわたってサイバーセキュリティ戦略のさまざまな側面にポイントソリューションを使用してきた企業は、複数の機能を扱えるプラットフォームや大規模なツールセットを求めるようになっている。システムの活動をより統合的に把握し、複数の異なるサイバーセキュリティツールが意図せず競合するリスクを低減するためだ。

これは業界内で統合が進むことを意味する。One Identityの場合、エンドユーザー向けのツールを追加することで、社内のネットワーク管理を支援できるだけでなく、より充実したサービスを顧客に提供できると考えているようだ。同様に、OneLoginの顧客は、サイバー戦略を単一のプラットフォームに集約することに興味を持つかもしれないと考えている。

「企業は現在、サイバーセキュリティのプラットフォームプレイヤーが統合に向かうことに二重のメリットがあると考えています」とニコルズ氏はいう。1つは「効率性の向上」だが、もう1つは「法規制」だと指摘する。企業のサイバーセキュリティ課題への取り組み状況について規制当局が監視を強めるなか、システムのレジリエンスを高めることが求められている。

「One Identityに加わることで、当社の成長をさらに加速させ、両社の顧客にさらなる価値を提供することができます」とOneLoginのCEOであるBrad Brooks（ブラッド・ブルックス）氏は声明で述べた。「CIAM（顧客IDとアクセス管理）と企業で働く人の両方に対応したOneLoginの強固な統一プラットフォームと、One IdentityのPAM（特権アクセス管理）ソリューションを含む一連の製品を組み合わせることで、新規・既存の顧客のいずれも、世界規模で、この市場における唯一の統合IDセキュリティプラットフォームを利用できるようになります」。

この分野でM&Aの動きが今後も続くかどうかに注目したい。Oktaはこれまで非常に多くの買収を実行してきたが、市場には、IDに関する課題のさまざまな側面をカバーする独立系の企業が数多く存在している（Jumioはその一例だ）。

統合後の両社は、PAM、IGA（IDガバナンスと管理）、アクティブディレクトリ管理およびセキュリティ、そして今回のIAM（IDとアクセス管理）など、数多くのサービスをカバーする予定だ。

「人と機械のID増加、クラウド化の進展、リモートワークの増加にともない、IDは新たな先端領域となりつつあります」とOne Identityの社長兼ゼネラルマネージャーであるBhagwat Swaroop（バグワット・スワループ）氏はいう。「OneLoginを当社のポートフォリオに加え、当社のクラウドファーストの統合IDセキュリティプラットフォームに組み込むことで、顧客がすべてのIDを一括管理し、重要な資産へのアクセスを許可する前にすべてを検証し、疑わしいログインをリアルタイムに可視化できるようになります。IDを核とすることで、顧客は柔軟なゼロトラスト戦略を導入し、全体的なサイバーセキュリティの態勢を劇的に改善することができます」と述べた。

画像クレジット：DKosig / Getty Images

［原文へ］

（文：Ingrid Lunden、翻訳：Nariko Mizoguchi）

【コラム】サイバーセキュリティ分野における次の11兆円市場とは

編集部注：本稿の著者Kara Nortman（カラ・ノートマン）氏はUpfront Venturesのパートナー。

ーーー

筆者は1999年、Battery Ventures（バッテリーベンチャーズ）のアソシエイツとして、Red Herring、InfoWorld、The Industry Standard、および筆者のお気に入りのStorageWorld、Mass High Techなど（他のVCアソシエイツでこの2誌を読んでいる人はほとんどいなかった）の紙媒体雑誌に毎晩目を通してマーカーを付けていた。

23才のとき、自分よりはるかに年配のIBM、EMC、Alcatel（アルカテル）、Nortel（ノーテル）といった企業のCEOたちの名前を丸で囲んで、彼らが何をしているのかを詳しく学んだ。これらの企業は、メインフレームからサーバーへの複製テクノロジー、IPスイッチ、そして最上層に当時まだ登場したばかりのウェブ / セキュリティサービスを構築していた。

あれから22年が経過したが、ある意味、何も変わっていない。インターフェイスは、コマンドラインからGUI、そしてAPIへと革新的変化を遂げてきた。しかし、私達のインターフェイスに対する要求は終わることなく、今まで以上にさまざまなタイプの人たちの、さまざまなタイプのデバイスで動作するインターフェイスが求められている。OSIスタックの話をしているのではない。今は分散ブロックチェーンスタックの時代だ。昔はメインフレーム上で実行されていた計算、データ・ストレージ、分析も、今はクラウド上ですべてが実行される。

課題と機会は昔も今もほとんど変わらないが、市場と機会の規模ははるかに大きくなった。AWSとAzureのクラウドビジネスだけで2020年のランレート収益は230億ドル（約2兆5530億円）増となっており（AWSが32％増、Azureが50％増）、すでに巨大規模となっている市場で高い成長率を達成している。

ソフトウェアが世界を席巻し、より多くの人たちが地球上のどこにいても（さらに近い将来には、宇宙からでも）イスに座ってコンピューターを操作できるようになっているため、サイバーセキュリティの市場規模は飛躍的に拡大している。

この数カ月間、筆者と同僚のSpencer Calvert（スペンサー・カルバート）は、この市場の機会がこのように急速に拡大している理由について、マルチクラウド環境の台頭、誰も追いつけない速さで生成され格納されるデータ、組織の事実上すべての機能に利用されているSaaSアプリケーション、政治力と戦略的責任におけるCISO（最高情報セキュリティ責任者）の台頭など、何本か記事を書いた。

これらの要因をすべて考慮すると、控えめに見積もっても、2025年までに新しく生まれる市場価値だけで1000億ドル（約11兆500億円）に達し、市場全体の規模は2800億ドル（約30兆9500億円）に達する。

言い換えると、サイバーセキュリティ分野では莫大なビジネス価値が創造される機が熟している。この分野で多くのユニコーン企業が誕生すると思われ、市場はまだ初期の段階だが、当社が投資先として考えている分野がいくつか（および開発中の大局的な分野が1つ）ある。アップフロントでは以下の分野で基盤を構築している企業を積極的に探している。

データセキュリティとデータ抽象化
ゼロトラストの広範な適用
サプライチェーン

データセキュリティとデータ抽象化

データは新しいテーマではないが、筆者は初期のサイバーセキュリティという視点から見たデータスタックの変化を目の当たりにしてワクワクしている。セキュリティをスタックの上層部または側面部のアプリケーションとしてではなく、基盤部分にあるものとして見るとどのような機会が生まれるだろうか。

画像クレジット：Upfront Ventures

例えばデータは拡大速度が速過ぎて保護が追いつかない。我々は今、データ（構造化および非構造化）の存在場所、データの格納場所をまず認識し、セキュリティに関する方針を確認し、最も重要な問題を適切な速度で修正することを優先する必要がある。

これを規模を拡大して実施するには、賢明な受動的マッピングと、ますますデータが豊富になる（ノイズが増える）世界でノイズから信号を抽出するためのヒューリスティックとルールが必要になる。当社のポートフォリオ企業であるOpen Raven（オープンレイブン）は、構造化、非構造化を問わずデータをクラウド環境全体で大規模に検出および保護するためのソリューションを構築している。データセキュリティの分野では、制御ポイントがネットワーク層からデータ層に移行するにつれて、新しい大規模プラットフォーム企業が登場するだろう。

当社はオープンレイブンがこの分野でリーダー的存在になり、新しい世代の「アウトプット」、つまりこれから投資対象となるアプリケーション企業に推進力を与えることになると確信している。こうした企業はSalesforce（セールスフォース）やWorkday（ワークデイ）と同じ規模で、最初から異なる方法で抽象化および管理されたデータで構築される可能性がある。

作成または検出された時点のセキュリティデータを目を向けると、オープンレイブンのような新しいプラットフォームは、まったく新しいアプリエコシステムの登場につながる可能性がある。このエコシステムの範囲は、オープンレイブンによって構築される可能性が最も高いコンプライアンスワークフローなどの社内製アプリから、昔から我々が使用してきたアプリ（人材管理システム、CRM、製品分析、マーケティング属性ツールなど）を再構築するまったく新しい企業まで、幅広い。

セキュリティ最優先の基本方針を持って業界をリードするプラットフォームは、顧客エンゲージメント層つまり「アウトプット」層という一点に集中し、データカタログ作成、オピニオン編入データモデル、データアプリケーションなどを、データマッピング、セキュリティ、コンプライアンスを処理するサードパーティーに一任することで、新世代のアプリケーション企業に推進力を与える潜在性を備えている。

画像クレジット：Upfront Ventures

簡単に言えば、フルスタックのアプリケーション地球を構成する層に見立てると、UXは地殻に相当する。下層の基盤水平企業が個人識別情報やGDPR（GDPR対応は、現在至る所にデータを保持している企業に押し付けられている）などのすべての要件に対応するようになると、その地殻部分が拡充され、分厚くなる。これにより、新興アプリケーション企業は、自社の創造的な人材を、人間対ソフトウェアエンゲージメント層に重点的に配置する時間的な余裕が生まれ、既存のあらゆるカテゴリで人間の能力を超えるアプリを構築できるようになる。

ゼロトラスト

ゼロトラストは2010年に最初に登場した造語だが、アプリケーションは未だに、この考え方で検出されており、大企業はこの考え方を基盤に構築されている。ご存じない方に説明しておくと、ゼロトラストとは、自身のシステム、デバイスなどにアクセスしてくる者はすべて信頼しないという前提を指す。

いささか被害妄想気味に思えるかもしれないが、前回みなさんが大手テック企業を訪ねたときのことを思い出して欲しい。受付とセキュリティを来客用の入場許可証や名札なしで通過できただろうか。絶対にできないはずだ。仮想スペースや仮想アクセスでも同じことだ。筆者がゼロトラストセキュリティに深い関心を持つようになったのはFleetsmith（フリートスミス）に関わるようになったのが最初だった。筆者は2017年にフリートスミスに投資した。当時のフリートスミスはアップル製デバイスをビジネスに活用していた組織向けにアプリ、設定、セキュリティ設定を管理するためのソフトウェアを開発していた若いチームだった。フリートスミスにとってのゼロトラストとはデバイスの設定とアクセス許可についてのことだった。フリートスミスは2020年半ばにアップルに買収された。

ちょうどフリートスミスが買収された頃、筆者はArt Poghosyan（アート・ポグホスヤン）とそのチームにBritive（ブリティブ）で会った。このチームはクラウドで動的なアクセス許可を実現するためにゼロトラストを導入していた。ブリティブは、ゼロトラストのジャスト・イン・タイム（JIT）アクセスを前提として構築されている、この方法では、ユーザーは、従来の「チェックアウト」および「チェックイン」資格情報の代わりに一時的なアクセス許可を動的に付与される。

ブリティブでは「常時オン」の資格情報の代わりに一時的な特権アクセスを付与することで、過剰特権アカウントにともなうサイバーリスク、特権アクセスとワークフローの管理に要する時間を大幅に軽減することができるため、マルチクラウド環境における特権アクセス管理を簡素化できる。

ゼロベーストラスト（ZBT）の次には何が登場するのだろうか。社員は作業によってデバイスと位置を変えるため、当社はデバイスとアクセス権が新しい境界になると考え、最初はフリートマン、今はブリティブに投資している。しかし、ZBTが日常的なプロセスに浸透するにはまだまだやらなければならないことがたくさんあると考えている。パスワードは、（自分が誰であるかを毎回証明する必要があるため）理論上はゼロトラストであるが、パスワードだけでは十分というにはほど遠い。

画像クレジット：David Ulevitch on Twitter

パスワードを盗むフィッシング詐欺は、データ漏洩の最も一般的な原因だ。しかし、ユーザーに、パスワードマネージャーを使用させたり、パスワードを定期的変更させたち、2要素認証、さらにはパスワードなしのソリューションを採用させるにはどうすればよいだろうか。当社は、ZBT要素を一般的なワークフローに組み込むというシンプルでエレガントなソリューションを支持する考えだ。

サプライチェーン

最近のソフトウェアはサードパーティーやオープンソースのコンポーネントを使用して組み立てられている。この公開コードパッケージとサードパーティー製APIによる組立ラインはサプライチェーンとして知られている。この組立ラインをターゲットとした攻撃はサプライチェーン攻撃と呼ばれる。

一部のサプライチェーン攻撃は、Snykなどの既存のアプリケーションセキュリティツールやオープンソース依存性をチェックするその他のSCAツールで低減できる。具体的には、セキュリティエンジニアリングを自動化し設定ミスを修正するBridgecrew（ブリッジクルー）やセキュリティスキャンを実施するVeracode（ベラコード）などがある。

しかし、その以外の脆弱性を検出するのは極めて困難になることが多い。サプライチェーン攻撃が注目を集めた2020年のSolarWindsハックでは、SolarWindsアップデートの小さなコード片が変更され、1万8000社に拡散してしまった。これらの企業はすべて、ネットワークの監視やその他のサービスにSolarWinds製のソフトウェアを導入していた。

画像クレジット：Upfront Ventures

自社のセキュリティオンボーディングにすべて合格した信頼できるベンダーのバージョンアップデートに悪意のあるコードが隠されているとしたら、一体どのようにして自社を保護すればよいだろうか。サプライチェーン全体の可視性を維持するにはどうすればよいだろうか。このように今は答えよりも疑問のほうが多い状態だが、当社は、サードパーティー製ベンダー、モジュール、API、その他の依存性を入念に検査し、導入、監視、削除を実行する大企業が出現すると予測している。

上記のいずれかの領域やその関連領域で起業を考えている読者は、当社までご連絡いただきたい。当社は、サイバーセキュリティの分野が急速に変化していることは十分に認識している。本記事の内容について、ご意見、反論などあれば、ご連絡いただきたい。

カテゴリー：セキュリティ

タグ：コラム、Open Raven、ゼロトラスト

画像クレジット：guirong hao / Getty Images

［原文へ］

（文：Kara Nortman、翻訳：Dragonfly）

オンライン本人確認・eKYCサービスとデジタル身分証アプリを提供するTRUSTDOCKが13億円調達

あらゆる業法に対応するKYC（Know Your Customer・本人確認）プラットフォームとデジタル身分証アプリを提供するTRUSTDOCKは6月24日、第三者割当増資による総額13億円の資金調達を実施したと発表した。引受先は、グロービス・キャピタル・パートナーズ、STRIVE、Sony Innovation Fund by IGV、三菱UFJキャピタル、みずほキャピタル、SMBCベンチャーキャピタル。調達した資金により、eKYC（electronic KYC）の持続的な社会インフラになるべく、コンプライアンス・ガバナンスを含む組織体制の強化と拡大、大量のKYC処理を実現する開発への投資、ゼロトラスト前提のセキュリティ投資など、社会インフラとしての基盤整備に、より一層尽力する。

TRUSTDOCKは、業法を問わず、オンラインで完結するeKYCによる身元確認をはじめ、マイナンバーの取得、AML（マネロン防止・資金洗浄防止）リスク確認、法人eKYCなど、様々なKYC業務を「機械＋人」で処理するKYCプラットフォーム。事業者側は、同社提供の業務APIを自社オンラインサービスに組み込むだけで、必要なKYC業務プロセスを構築可能。またユーザー側は、事業者のサービスサイトにおいてガイダンスに従うだけで、その手続に必要な本人確認が完了する。企業規模を問わず、24時間365日稼働するオンラインサービスに、最適化したKYCプロセスを提供可能としている。

オンライン本人確認・eKYCサービスとデジタル身分証アプリを提供するTRUSTDOCKが13億円調達

カテゴリー：セキュリティ

タグ：KYC / eKYC（用語）、ゼロトラストモデル（用語）、TRUSTDOCK、テロ資金供与対策 / CFT（用語）、マネーロンダリング防止 / 資金洗浄防止 / AML、資金調達（用語）、日本（国・地域）

「ゼロトラストモデル」のおかげでスタートアップ企業もパスワードレスに

「時が経てば、人々がパスワードに頼らなくなることは間違いありません【略】パスワードは、本当に安全性を確保したい場合の課題を満たしていません」と、Bill Gates（ビル・ゲイツ）氏は言った。

今から17年前のことだ。パスワードはいくらか魅力を失ったものの、これまで何度も死滅の危機を乗り越えてきた。

高額な費用と厄介な実行という認識から、一部の中小企業はパスワードの廃止に踏み切れないでいる。しかし、パスワードに代わるものは、手頃な価格で簡単に導入でき、より安全であることが、Extra Crunchが収集した業界の洞察で明らかになった。ゼロトラストのシステムに移行することが、それを促進させる要因となる。

まずは基本的ことから説明しよう。ゼロトラストは「どこにいるか」ではなく「誰であるか」に焦点を当てたものだ。ゼロトラストモデルでは、企業はネットワークにアクセスしようとする試みを決して信用せず、ネットワーク内部からのログインであっても、毎回検証することが求められる。パスワードレス技術は、ゼロトラストモデルの重要な要素である。

パスワードに代わるものには、以下のような方法がある。

生体認証：スマートフォンの指紋リーダーや建物の物理的な認証ポイントとして広く利用されている
ソーシャルメディア認証：Google（グーグル）やFacebook（フェイスブック）のIDを利用して、第三者のサービスで本人を認証する方法
多要素認証：信頼できるデバイスを使用したトークン認証など、デバイスやサービスを使用してより多くの認証レイヤーを追加したもの
グリッド認証カード：組み合わせたPINを使用してアクセスを提供する
プッシュ通知：通常、ユーザーのスマートフォンや暗号化されたデバイスに送信される
デジタル証明書：マシンやデバイスにローカルに保存されている暗号ファイル

フィンランド発のフードデリバリーサービス「Wolt（ウォルト）」は、パスワードレス化の一例だ。

「ユーザーは、メールアドレスまたは電話番号を入力して登録します。アプリへのログインは、ユーザーの受信箱にある一時的なリンクをクリックすることで行われます。ユーザーの携帯電話内のアプリは認証Cookie（クッキー）を設置し、これによってユーザーはさらなる認証を受けることなく、そのデバイスから続行することができます」と、F-Secure（エフセキュア）のCISO（最高情報セキュリティ責任者）であるErka Koivunen（エルカ・コンヴネン）氏は述べている。

この場合、サービス提供者は認証を完全にコントロールすることができ、有効期限の設定、サービスの取り消し、不正行為の検出が可能になる。サービス提供者は、ユーザーがパスワードを管理するという約束を当てにする必要がない。

パスワードレス技術は、本質的にコストが高くなるわけではないが、調整が必要な場合もあると、マネージドサービスプロバイダのDatto（ダット）でCISOを務めるRyan Weeks（ライアン・ウィークス）氏は説明する。

「多要素認証には、簡単にアクセスできて投資を必要としないオープンソースの代替手段がたくさんあるので、金銭的な出資という意味では、必ずしもコストが高いわけではありません」と、ウィークス氏はいう。しかし、パスワードレス技術が、従業員の生産性に摩擦を与えるのではないかと懸念する企業もある。

コンヴネン氏はまた、ゼロトラストモデルはスタートアップ企業が手を出せるものではないという説を否定する。

「ゼロトラストは、ユーザーに秘密にしておくべきものを提示して認証を強いることの無意味さを認識し、その代わりに、コンテクストアウェアを考慮した方法でユーザーのアイデンティティを確立することが望まれます」と、同氏はいう。

ゼロトラストは、ユーザーを認証するだけでない。ユーザーとそのデバイスも含む。

「ゼロトラストの観点には、信頼発生の継続的な認証または再検証という考え方があります。それゆえに、ゼロトラストモデルにおけるパスワードレスは、ユーザーにとってより簡単で、より安全になる可能性があります。『あなたが何を持っているか』と『あなたが何者であるか』という要素を組み合わせることで、より攻撃が難しくなるからです」と、Dattoのウィークス氏は述べている。

Microsoft（マイクロソフト）やGoogle（グーグル）などの大企業は、すでにゼロトラスト技術を提供している。しかし、投資家は、成長中の企業向けにゼロトラストを提供する中小企業にも注目している。

遠隔地にいる従業員が会社のネットワークにアクセスできるようにするためのゼロトラストを提供するAxis Security（アクシス・セキュリティ）は、2020年3200万ドル（約35億2000万円）を調達した。Beyond Identity（ビヨンド・アイデンティティ）は、2020年12月に7500万ドル（約82億5000万円）の資金を調達。また、イスラエルのID検証スタートアップであるIdentiq（アイデンティク）は、2021年3月にシリーズAラウンドで4700万ドル（約51億7000万円）を調達している。

カテゴリー：セキュリティ

タグ：パスワード、個人認証、ゼロトラストモデル

画像クレジット：Mary Ne / Getty Images

［原文へ］

（文：Chandu Gopalakrishnan、翻訳：Hirokazu Kusakabe）