Zero Trust のためのネットワークセキュリティポリシー管理

Zero Trust のネットワークセキュリティポリシー管理とは、firewall、cloud security group、SASE、SD-WAN、セグメンテーション基盤といったネットワーク上のすべての enforcement ポイントにわたり、最小権限アクセスを定義し、検証し、証明する取り組みを指します。FireMon はこれを正規化された単一のポリシーモデルから実行するため、Zero Trust のルールはベンダーをまたいでも一貫性を保ち、ネットワークが変化しても維持されます。

いいえ。Zero Trust Network Access (ZTNA) はユーザーからアプリケーションへのアクセスを制御し、firewall やセグメンテーション基盤はトラフィックを制御します。FireMon は、これらのツールがワークロード、アプリケーション、インフラ全体で適用するネットワークセキュリティポリシーを統制します。既存の enforcement 基盤を置き換えるのではなく、それらと連携して機能します。詳しくは次をご覧ください: ZTNA とは

はい。firewall は North-South トラフィックおよびゾーン間トラフィックの enforcement ポイントであり続けており、そのルールベースにはネットワーク内で最も広範なアクセス許可が残っていることが少なくありません。Zero Trust では、これらのルールを最小権限の状態にし、その状態を維持する必要があります。FireMon は過剰に許可されたルールや未使用のルールを特定し、変更を展開前に検証し、ルールオーナーとともにアクセスを再認証します。詳しくは次をご覧ください: Zero Trust の時代にも firewall は重要なのか

多くのチームが直面するのは、同じ 5 つの課題です。ベンダーやクラウドを横断してポリシーを一元的に把握できないこと、ルールを厳格化するとアプリケーションが停止するのではないかという懸念、初回展開後のポリシーの逸脱、プラットフォームごとに異なるポリシー形式、そして監査人に最小権限を証明するための手作業です。いずれもポリシーガバナンスの問題です。詳しくは次をご覧ください: Zero Trust 導入における 6 つの課題。

ポリシーは計画された段階を踏んで変更し、各段階の影響を事前に把握します。FireMon では、提案されたルール変更が何を許可し何をブロックするかをモデル化し、コンプライアンスとリスクの観点で検証し、承認へ回し、展開後に結果を検証できます。再認証で誰も必要性を主張しなかったルールは、スケジュールに沿って削除されます。詳細は以下をご覧ください: ネットワークを壊さずに Zero Trust を取り入れる方法。

ポリシーを一元的に統制し、エンフォースメントは現在の場所に残します。FireMon は、オンプレミスのファイアウォール、AWS、Azure、Google Cloud のセキュリティグループ、Zscaler などの SASE プラットフォーム、さらに次のようなセグメンテーションプラットフォームのポリシーを正規化します: Illumio と Akamai Guardicore。これにより、環境全体のポリシーを 1 か所から検索、レポート、変更できます。FireMon は 15,000 台を超えるデバイスと 2,500万件のルールをサポートする認定を取得しています。

Zero Trust は、攻撃者があるシステムから別のシステムへ移動するために利用できる経路を制限します。その効果を証明するには、どの経路が依然として存在するかを示す必要があります。FireMon は、ファイアウォール、クラウド、セグメンテーションの各ポリシーを横断して到達可能な攻撃経路をモデル化し、それを許可しているルールを明らかにし、ルールの変更に伴うエクスポージャーの推移を追跡します。East-West の詳細については、以下をご覧ください: マイクロセグメンテーションのポリシー管理。

NIST SP 800-207 は Zero Trust アーキテクチャを定義し、ポリシーの決定とポリシーのエンフォースメントを分離しています。CISA の Zero Trust Maturity Model は Networks の柱にネットワークセグメンテーションを含めており、CISA は マイクロセグメンテーションのガイダンス を 2025 年 7 月に公開しました。FireMon はそのいずれについても準拠を認証するものではありません。FireMon が提供するのは、各チームが進捗を測るために用いるポリシーの可視性、変更の検証、そして証跡であり、ネットワーク制御を次のようなフレームワークにマッピングします: NIST 800-53。

FireMon は、ファイアウォール、クラウド、SASE、SD-WAN、マイクロセグメンテーションのポリシーを単一のエンジンで統制し、クラウドはアーキテクチャに組み込まれています。変更前の検証は追加ライセンスなしで基本プラットフォームに含まれ、SiQL はプラットフォームのあらゆる領域をリアルタイムに検索でき、15,000 台を超えるデバイスと 2,500万件のルールをサポートする認定を取得しています。詳細は以下をご覧ください: FireMon vs. Tufin vs. AlgoSec。

はい。多くの場合、まずデバイスとクラウドアカウントを接続し、FireMon が現在のポリシーを正規化できる状態にします。その後は、FireMon チームとともに範囲を定めた移行として計画し、レポート、コンプライアンスチェック、変更ワークフローを Zero Trust プログラムに適した順序で移していきます。

はい。FireMon は、Illumio や Akamai Guardicore を含むサポート対象のマイクロセグメンテーションプラットフォームを、ファイアウォールやクラウドの制御と同じポリシーモデルに取り込みます。詳細は以下をご覧ください: マイクロセグメンテーションのポリシー管理。