多くの銀行は今日でも、”城と堀” アプローチ (別名 “境界セキュリティ”) でデータを悪意ある攻撃から守ろうとしています。石垣、堀、門で守られた中世の城のように、境界セキュリティを採用する銀行はネットワーク境界の強化に多額の投資を行い、ファイアウォール、プロキシ サーバー、ハニーポット、その他の侵入防止ツールで要塞化しています。境界セキュリティでは、ネットワークへの入り口と出口を防御するために、組織のネットワークに出入りするデータ パケットとユーザーのアイデンティティを検証しますが、この検証後は、防御を強化した境界の内側で行われるアクティビティは比較的安全であるとみなします。 しかし、有能な金融機関は今、このパラダイムの先を行き、サイバーセキュリティへのモダンなアプローチを採用しています。それが、ゼロ トラスト モデルです。ゼロ トラスト モデルの中心的な教義は、既定では誰も信頼しない (内部か外部かを問わず) というものであり、アクセスを許可する前にすべての人とデバイスを厳密に検証するというものです。 城の境界は引き続き重要ですが、石垣をもっと頑丈に、堀の幅をもっと広くするための投資を増やす代わりに、ゼロ トラスト モデルではよりきめ細やかなアプローチでこの仮想の城内でのアイデンティティ、データ、デバイスへのアクセスを管理します。したがって、内部の人物が悪意を持って、あるいは不注意で行動を取ったときも、正体不明の攻撃者が城壁を突破してきたときも、データへのアクセスが自動的に許可されることはありません。 “城と堀” アプローチの限界 現代の企業のデジタル資産を保護することに関して、城と堀のアプローチには致命的な限界があります。それは、サイバー脅威の出現によって防御と保護の意味が変わったためです。銀行のような大組織では、データとアプリケーションのネットワークが分散しており、従業員、顧客、パートナーが行内から、またはオンラインでアクセスします。このことが、城の境界保護をさらに難しくしています。そして、堀が効果を発揮して敵の侵入を防いだとしても、ユーザーの身元情報を盗まれた場合や、城壁の内側に潜むその他の内部的な脅威にはあまり役に立ちません。 次のようなことはどれも、露出の原因を作るものですが、セキュリティに関して城と堀アプローチに頼っている銀行ではよく行われていることです。 アプリケーションへのスタッフのアクセス権のレビューが年 1 回だけである。 アクセス権ポリシーがあいまいで矛盾があり、マネージャーの裁量に任されていて、スタッフが異動したときのガバナンスも不十分である。 管理者特権アカウントを IT 部門が過剰に使用している。 顧客データが複数のファイル共有に保存されており、誰がアクセスしているかがほとんどわからない。 ユーザー認証に関してパスワードへの依存度が高すぎる。 データ分類と報告の機能が欠落しているため、どのデータがどこにあるかを理解できない。 機密性の高いデータが含まれるファイルを移動するときに USB フラッシュ ドライブが頻繁に使われている。 ゼロ トラスト モデルはどのように銀行と顧客の力になるか ゼロ トラスト アプローチの利点は明確に文書化されており、巧妙化したサイバー攻撃をこのアプローチで防ぐこともできた実世界の例も増えています。しかし、今日でも多くの銀行は、ゼロ トラストの原則からかけ離れたやり方に従っています。 ゼロ トラスト モデルの採用は、銀行のセキュリティ態勢強化に役立ち、従業員と顧客により高い柔軟性を与えるようなイニシアティブを安心してサポートできるようになります。たとえば、顧客と接する従業員 (リレーションシップ マネージャーやファイナンシャル アドバイザーなど) が自席だけでなく、銀行の外でも顧客と会えるようにしたいと銀行が考えているとします。現在では多くの金融機関が、このような地理的な俊敏性を可能にする手法としてアナログ ツールに頼っており、たとえば助言内容を紙に印刷したものを持参しています。しかし、銀行員も顧客も、リアルタイム データを使用した、より動的なエクスペリエンスを期待するようになっています。 セキュリティについて城と堀アプローチに頼る銀行は、データを物理ネットワークの外に分散させることに消極的です。そのため、実証済みで規範に従った投資戦略の動的なモデルを銀行員やファイナンシャル アドバイザーが活用できるのは、顧客との面談を行内で行う場合に限られます。 これまで、銀行員やファイナンシャル アドバイザーが訪問先でリアルタイムにモデルを更新して見せたり、他の行員やトレーダーと積極的にコラボレーションしたりするのは簡単ではなく、少なくとも
