この三十年間、エンタープライズセキュリティは空間的な比喩に依拠してきました。内側と外側があり、その間には堅固な境界があり、内側のトラフィックとアイデンティティはおおむね信頼できるという前提が働いていたのです。このモデルは決して完全に正しかったわけではありませんが、アプリケーションが組織自身の所有するデータセンターで動き、従業員が管理されたネットワーク上のオフィスから働き、統合の数が論理的に把握できる程度に少なかった間は、実用に足る近似でした。それらの条件はいずれも今や失われました。ワークロードは複数のクラウドと、オンプレミスに残る資産にまたがって動いています。従業員、業務委託先、そしてますます増える機械のアイデンティティが、素性の異なるさまざまなデバイスから、どこからでも接続します。システムは、パブリックインターネット越しにAPIを通じて到達する数十のサードパーティサービスから構成されます。内側と外側を分けるきれいな線は、もはや現実の何ものをも言い表していません。

その帰結は、単に境界が弱くなったということではありません。組織化の理念としての境界が、有用な働きをやめてしまったということです。首尾一貫した内側が存在しないとき、ネットワーク上の位置に依存する制御は演出にすぎなくなります。正当な利用者に不便を強いる一方で、有効な資格情報を一つ手に入れた攻撃者には資産全体を自由に動き回る余地を与えるのです。深刻な侵害の被害の多くが、初期侵入ではなく水平移動によって生じるのはこのためです。侵入者はフィッシングされたアカウントや未修正のエッジデバイスから入り込み、そして、そこにいる者は皆そこに属しているという前提のもとに設計された内部を、横へと移動していきます。

これが今まさに重要なのは、規制環境と脅威環境の双方が同時に厳しさを増したからです。欧州のNIS2やDORAといった枠組みは、レジリエンスと制御に関する説明責任を取締役会にまで、そしてサプライチェーンにまで押し上げ、それが主張ではなく実証可能であることを求めます。ランサムウェアは産業化し、初期アクセスブローカーやアフィリエイトモデルが、深刻な被害をもたらすのに要する技能水準を引き下げました。組織は、いずれの圧力に対しても、機器をもう一つ購入することで応えることはできません。設計のあり方そのものを変え、信頼が意図的に付与され、被害範囲が構造的に限定され、制御の証跡が監査直前に慌てて取りまとめる文書ではなくシステムの稼働の副産物となるようにしなければならないのです。

セキュリティアーキテクチャにおける根本的な一歩は、信頼を位置の属性として扱うのをやめ、検証可能なシグナルに基づいてリクエストごとに下される、常に取り消し可能な明示的な決定として扱い始めることです。これがゼロトラストという言葉の実質であり、この言葉は本来は設計原理であるにもかかわらず製品として売られてきたことで損なわれてきました。その原理とは、どのリクエストも、それがどこから来たかを理由に信頼されることはない、というものです。リソースへのあらゆるアクセスは認証され、ポリシーに照らして認可され、文脈の中で評価されます。誰が、あるいは何が要求しているのか、リクエストを行うデバイスやワークロードの状態、リソースの機微性、そしてその操作のリスクです。信頼は決して恒久的ではありません。目的のために狭く付与され、そして失効します。

その原理からは、いくつかの原理がある程度の厳密さをもって導かれます。アイデンティティが第一の制御平面となります。位置がもはや信頼を伝えないのであれば、誰が要求しているのかこそ、しっかりと確立しなければならないものだからです。これは人と同じく、ワークロード、サービス、自動化にも当てはまります。機械のアイデンティティは今や大半の資産で人間のそれを数で上回っており、寛大にプロビジョニングされ、めったにローテーションされないために、しばしば最も弱い環となっています。最小権限はスローガンであることをやめ、設計上の制約となります。アイデンティティはその機能に必要な最小限の権限のみを付与され、機微な操作への恒常的なアクセスは、可能な限り、時間制限があり記録されるジャストインタイムの権限昇格に置き換えられます。

第二の第一原理は比例性です。すべてが同じ制御を要するわけではなく、そのふりをすることは無駄を生むと同時に、逆説的により弱いセキュリティをもたらします。労力が、リスクが現実に存在するところに集中されるのではなく、薄く広く分散されてしまうからです。健全なアーキテクチャは、組織が実際に守っているもの、すなわち最重要のデータ、失われれば事業が停止するシステム、パートナーへと伸びる統合について、正直な地図を描くことから始まり、侵害された場合の帰結に制御を合わせます。ここでリスクとは、委員会を安心させるためにヒートマップ上で選ばれた色ではなく、発生可能性と影響の弁明可能な積を意味します。比例した制御こそが、セキュリティを負担可能なものにし、そして決定的に重要なことに、デリバリーチームとの接触に耐えて生き残らせるものです。現実の重みに明らかに見合った制御は、人々が回避せずに守り続けるものだからです。

現在の最も明確なトレンドは、インフラとしてのアイデンティティの産業化です。組織は、分断されたアイデンティティストアを首尾一貫したファブリックへと統合し、パスキーやハードウェアに裏づけられた資格情報に基づく強力でフィッシング耐性のある認証を拡大し、人間以外のアイデンティティを人間のそれと同じガバナンスのもとに置きつつあります。興味深い最前線はワークロードアイデンティティです。サービスや関数に発行される、短命で暗号的に証明された資格情報が、長年にわたってリポジトリや設定ファイルから静かに漏洩してきた長寿命の秘密情報や静的な鍵に取って代わります。ワークロードが自らが何であるかを証明し、その瞬間に限定されたスコープのトークンを受け取るシークレットレスのパターンは、先進的な実践から基本的な期待水準へと移行しつつあります。

第二の変化は、セキュリティの意思決定が左へ、そして下へと移動していることです。左とは設計と構築の段階へ、下とはプラットフォームへです。ポリシーアズコードによって、アクセス規則、ネットワークのセグメンテーション、構成のガードレールを、他のソフトウェア成果物と同様に記述し、バージョン管理し、テストすることが可能になり、それらはパイプラインの中で、そしてランタイムへの受け入れ時に自動的に強制されます。これは、セキュリティを定期的な検査から、デリバリーシステムの継続的な性質へと変えます。この鏡像である、検知と対応をワークロードへ近づける動きも成熟しつつあり、パケットを検査するだけでなくコンテナや関数の挙動を理解するクラウドネイティブな制御が登場しています。

第三に、継続的検証の実践が時点ベースの保証に取って代わりつつあります。年次のペネトレーションテストと定期的な制御の証明ではなく、成熟した組織は、アタックサーフェス管理や侵害・攻撃シミュレーションを通じた自らのエクスポージャーの継続的な検証と、制御フレームワークに紐づいた自動的な証跡収集を通じた制御の継続的な検証の双方を実施します。正直に名指しすべき最後のトレンドは、人工知能の両刃性です。それは攻撃者を鋭くし、説得力のあるフィッシングのコストを下げ、脆弱性の発見を加速させると同時に、守るべき真に新しい資産をもたらします。モデル、それを訓練するデータ、そしてエージェントが到達できるプロンプトやツールです。セキュリティアーキテクチャは今や、AIシステムを、とりわけ行動する権限を持つエージェントを、前面にチャットボックスを備えた普通のアプリケーションとしてではなく、脅威モデリングと最小権限の第一級の対象として扱うことを期待されています。

脅威モデリングは、セキュリティを意見から工学へと変える実践であり、それは設計の終わりではなく始まりに属します。その手法は地味ですが効果的です。システムが何をし、データがその中をどう流れるかを記述し、権限の異なる当事者間でデータや制御が受け渡される信頼境界を印づけ、そして各境界で何が起こりうるかを体系的に問うのです。STRIDE、すなわちなりすまし、改ざん、否認、情報漏洩、サービス拒否、権限昇格といった構造化された観点は、チームがさもなければ飛ばしてしまうカテゴリーの検討を強制することで、分析を誠実に保ちます。その出力はそれ自体を目的とする文書ではありません。特定の、もっともらしい脅威がそれを正当化するがゆえに存在する、優先順位づけされた制御の集合であり、それはまさに比例性が要求するものです。

多層防御は、どの単一の制御も十分であると信頼されることはない、という原則です。あらゆる制御はいずれ失敗するか回避されるからです。層状の、独立した制御は、一つの失敗が攻撃者に目的を手渡すことがないことを意味します。これを適用する上での要諦は、同じ種類の冗長な制御を積み重ねてそれを深さと呼ぶのではなく、層が真に独立しており、それぞれが正当化されていることを確かめることです。密接に関連するのが、セグメンテーションによる被害範囲の封じ込めです。資産は、一つのゾーンでの侵害が自由に伝播しないように分割されます。ワークロード間のマイクロセグメンテーション、ネットワーク内部での厳格な東西方向のポリシー、そしてデプロイできるアカウントが監査ログを消去することもできないようにする環境と職務の分離です。

さらに二つの原則が、あまりにも頻繁に軽視されているがゆえに強調に値します。第一は、セキュアで安全なデフォルトです。システムは静止状態においてセキュアであるべきであり、開くのではなく閉じる方向で失敗し、保存データと転送データを当然のこととして暗号化し、準拠した構成を特別な労力なしに得られるものとすべきです。第二は、すべてが設計上、証跡を生み出すということです。包括的で改ざんの検知できるロギングとテレメトリは、運用上の後付けではなくアーキテクチャ上の要件です。記録しなかったものについては、検知も、調査も、コンプライアンスの実証もできないからです。可観測性と制御が一体として設計されるとき、運用者にシステムを稼働させることを可能にするのと同じテレメトリが、防御者に侵入を捉えることを、そして監査人に制御を確認することを可能にします。これこそが、比例したセキュリティを持続可能にする経済性そのものです。

後付け症候群は、最も一般的で最も高価な失敗です。セキュリティはアーキテクチャが固まった後で関与するため、端に制御を付け加えることしかできません。ここにゲートウェイ、あそこにスキャンの工程、というように。これらの制御は現実の労力であり現実のコストですが、設計の内側ではなく外側に位置するため、症状に対処し、構造的な弱点、すなわち平坦な内部ネットワーク、共有されたサービスアカウント、誰も引かなかった信頼境界を見逃します。組織は多額を費やしながら、その支出が防ぐはずだったまさにその水平移動にさらされたままとなります。

コンプライアンスをセキュリティと取り違えることは、地図を領土と取り違える失敗です。通過したフレームワークと壁に掛けられた証明書は、定められたスコープに対してある時点で存在した制御を記述しています。それらは、組織が実際に侵害しにくいかどうかを記述してはいません。レジリエンスのためではなく監査のために最適化するチームは、印象的な証跡と脆いシステムを生み出し、フレームワークがたまたまカバーしていなかった隙間を侵害がまっすぐ通り抜けるとき、しばしば驚くことになります。

比例性を無視した一律の制御は、投資不足とは逆の方向に失敗します。至るところに最も重い制御を適用することは、予算と忍耐を使い果たし、デリバリーチームを摩擦を回避する影の経路の構築へと駆り立て、真に重要な資産を些末な資産より少しもよく守られない状態に置きます。リスクに合わせて調整されていないセキュリティは、よりセキュアなのではありません。それは単により高価で、より恨まれるだけであり、恨みはそれ自体がセキュリティの問題です。回避策を生み出すからです。

アイデンティティの氾濫と恒常的な特権は、誰も見直さない過剰な権限を持つアカウント、放置されたサービス資格情報、恒久的な管理者アクセスの静かな蓄積です。それが初期侵害の原因であることはまれで、侵害が惨事となった理由であることがほとんど常です。関連する失敗が前提とされた信頼境界であり、そこでは図がゾーン間のきれいな線を示すものの、稼働中のシステムにはそれを横切る半ダースもの文書化されていない経路が存在し、設計が依拠したセグメンテーションが実際には存在しないのです。これらの失敗はいずれも一つの根を共有しています。描かれたアーキテクチャと、構築され運用されるアーキテクチャとの間の隙間です。その隙間を埋め、モデルと現実を時とともに対応させ続けることこそが真の仕事であり、これがセキュリティアーキテクチャが成果物ではなく継続的な実践である理由です。

Nashuaはセキュリティとリスクを、検査し異議を唱えるために現れる独立した保証機能としてではなく、より広範なエンタープライズアーキテクチャの実践に統合されたアーキテクチャの専門分野として扱います。取り組みは、実際に何が重要かを確立することから始まります。すなわち、組織の重要資産、露出すれば現実の害をもたらすデータ、失われれば事業が停止するシステム、そして設計を制約する規制上および契約上の義務についての、地に足のついた理解です。その基盤から、意思決定を駆動するに足るほど弁明可能なリスク像を築き上げ、後に提案するあらゆる制御が、それが防ぐために存在する帰結までたどれるようにします。

その地図を手にして、私たちは設計のレベルで作業します。重要なアーキテクチャに対して脅威モデリングを実施し、信頼境界を印づけ、システムを所有するチームとともに失敗のカテゴリーを推論することで、結果として生じる制御が押しつけられるのではなく理解され所有されるようにします。私たちは目標状態の信頼モデルを定義します。制御平面としてのアイデンティティ、最小権限とジャストインタイムアクセス、被害範囲を限定するセグメンテーション、真に独立した層による多層防御であり、そのできる限り多くを、デリバリープラットフォームの中に生きるポリシーとガードレールとして表現します。全体を通じての狙いは、安全な道がデフォルトの道となることであり、エンジニアが警戒を働かせることによってではなく、パターンに従うことによって健全なセキュリティを得られるようにすることです。

私たちが最も避けたい失敗の様態は、現実から乖離した美しいモデルであるため、Nashuaはアーキテクチャと運用の間のつながりに投資します。私たちは証跡を設計に組み込みます。すなわち、同じ源から検知、調査、コンプライアンスに資するテレメトリとロギングであり、そして時点ベースの保証よりも、エクスポージャーと制御の双方の継続的検証を選びます。私たちは比例性について率直です。組織が必要とする制御を強く主張するのと同じくらい進んで、必要としない制御に反対します。デリバリーチームからの信頼こそが、アーキテクチャ全体を生き残らせるものだからです。そして私たちは、理想化された更地のためではなく、あるがままの資産、すなわちハイブリッドで、マルチクラウドで、移行の途上にある資産のために設計します。そこにこそ現実のリスクと現実の仕事があるからです。

Nashuaがもたらす違いは、通常は異なるサプライヤーの間で分断され、それゆえその隙間に落ち込んでしまう二つのものを、一つに保つ能力です。すなわち、信頼、アイデンティティ、データが資産全体をどう流れるかを見るアーキテクチャの視点と、制御が実際に強制されているのか単に文書化されているだけなのかを決するデリバリーの現実です。多くの組織はセキュリティ戦略を作成でき、多くは製品を導入できます。図の上の信頼モデルが本番で稼働している信頼モデルであり、資産が変化してもそれが保たれることを確かにできる組織は、はるかに少ないのです。意図と現実のその対応、時とともに維持され、真のリスクに比例したその対応こそ、アーキテクチャ上のセキュリティが勝ち取られるか失われるかの分かれ目であり、それこそ私たちが提供しようと臨む固有のものです。

また、仕事が何を前提としてよいかを変える実際的な帰結もあります。取り組みがまだ存在しない能力を必要とするとき、それは調達サイクルやベンダーのロードマップを待つ必要はありません。enterprise platformは、ほぼあらゆる機能を迅速に取り込めるように構築されています。エージェンティック・エンジニアリングを通じて、必要なものが平易な言葉で記述され素早く生成されますが、それは常に確固たるアーキテクチャ原則の内側で、そして厳格な品質保証のもとで行われるため、速さが首尾一貫性、セキュリティ、制御を犠牲にすることは決してありません。その効果は単に便利というより戦略的です。それは内製か購入かの線を動かし、選択肢を安く保ち、戦略が棚にたまたまあったものに屈するのではなく、アーキテクチャが戦略に従うことを可能にします。

これが組織にもたらすのは、デリバリーの障害となることなくリスクを減らすセキュリティ、リハーサルではなく本物であるがゆえに規制当局に耐える制御、そしてアイデンティティ、セグメンテーション、証跡が、表面に不安定に付け足されたものではなく設計の耐荷重部分であるアーキテクチャです。成功の尺度は、展開された制御の数や通過したフレームワークの数ではありません。それは、何かがうまくいかなくなったときのより小さな被害範囲、それを検知し封じ込めるまでのより短い時間、そして組織が有していると信じるセキュリティと実際に運用しているセキュリティとの間の、実証可能で正直な対応です。Nashuaの役割は、その対応を最初から設計に組み込み、事業とその脅威が動き続ける中でそれを真であり続けさせることです。