新たな調査で判明：TLS 1.3導入を促進する要因と阻む要因

Rachael Shahシニアプロダクトマーケティングマネージャー | F5

4年前、メーガン・マークルはハリー王子と結婚しました。一方、Searsは破産を申請し、世界各地で珍しいスーパーブルーブラッドムーンが観測されました。Toys “R” Usも全店舗を閉鎖し、Appleは米国の上場企業として初めて時価総額1兆ドルに達しました。

また、2018年にはInternet Engineering Task Force（IETF）によってTLS 1.3が承認されたことも忘れてはなりません。

それ以来、組織には、導入のメリットと課題を評価する十分な時間がありました。TLS 1.3は、インターネット上のデータセキュリティとプライバシーを実現する、最も広く使用されている暗号化プロトコルの1つであり、その最新バージョンです。

企業がTLS 1.3を導入した理由、あるいはまだ導入していない理由を明らかにするため、Enterprise Management Associates（EMA）は調査レポート「TLS 1.3の4周年：導入とネットワーク監視から得られた知見」を作成しました。

F5がスポンサーを務めたEMAの調査では、テクノロジーサービス、金融、医療など、北米のさまざまな業界のテクノロジーおよびビジネスリーダーの見解を取り上げています。参加者の回答から、企業が情報セキュリティとコンプライアンス上の優先事項にどのように優先順位を付けているか、さらにデータセキュリティとプライバシーに関する規制がセキュリティ上の優先事項の方向性にどのような影響を与えているかが明らかになっています。

本レポートから得られた3つの結論をご紹介します。

1. 規制およびベンダーによる管理、データセキュリティの向上、リモートワークが導入を促進

ここ数年、データセキュリティとプライバシーに関する基準は、ビジネスおよびテクノロジーのリーダーにとって重要な課題となっています。そのため、調査参加者がTLS 1.3導入の主な推進要因として、データセキュリティとプライバシーの向上を挙げたことは驚くにあたりません。実際、回答者の85%が、TLS 1.3導入による最大のメリットとしてデータセキュリティを挙げています。

さらに、企業がCOVID-19パンデミックに適応する中、リモートワークへの移行とその定着に加え、機密データや企業の知的財産を安全に取り扱う必要性も、TLS 1.3の導入を後押ししました。図1に示すように、回答者の76%がリモート従業員の業務トラフィックにTLS 1.3を使用しています。

図1：TLS 1.3を導入済みの調査対象組織による、リモート勤務者の業務トラフィックがTLS 1.3で暗号化されているかどうかについての回答

2. 可視性と監視に関する懸念が最大の障壁

HIPAAやEU一般データ保護規則（GDPR）など、ベンダーや規制当局による管理策があるにもかかわらず、図2に示すように、多くの組織は、自社環境のセキュリティおよび監視計画への影響が予想されることから、TLS 1.3への移行を進められずにいます。さらに、この種の統合が困難になり得ることは周知の事実です。そのため、多くの組織は本格的な移行に踏み切らず、移行計画を策定するための時間を確保しつつ、TLS 1.3よりも導入が容易で既存環境への影響が少ない暫定的なソリューションを評価しています。

可視性の喪失についても、調査参加者の96%が懸念を示しています。実際、TLS 1.3を導入した回答者の44%は、トラフィックの可視性が失われたため、導入をロールバックせざるを得ませんでした。また、回答者の4分の1以上が、このプロトコルではトラフィックの可視性が不足するため、セキュリティ侵害を受けた可能性があると考えています。

図2：TLS 1.3を導入していない調査対象組織が、自組織との関連性に基づいて評価したTLS 1.3導入時の潜在的な問題

3. リソースと実装に多額のコストがかかる

図3に示すように、TLS 1.3を導入した調査対象組織の87%では、統合に対応するために何らかのインフラストラクチャ変更が必要でした。ネットワークトポロジーの更新は、多くの組織にとって受け入れがたい課題です。時間もコストもかかります。すでに余裕のないセキュリティ部門では人材が限られているうえ、競合する他のビジネスニーズと比べてビジネス価値がほとんどないと認識されているため、この規模のプロジェクトにリソースを割くことを正当化するのは困難です（81%）。

図3：TLS 1.3を導入した調査対象組織が、TLS 1.3の有効化に伴いネットワーク／セキュリティアーキテクチャの変更が必要だったかを評価

TLS 1.3の導入には今後もさまざまな要因が影響しますが、1つ確かなことがあります。データプライバシーのために推奨されるプロトコルとして、TLSは今後も利用され続けます。

現在、インターネットトラフィック全体の約90%が暗号化されており、その割合は増え続けています。見えないものが脅威となり得ます。サイバー犯罪者はTLSのバージョンにかかわらず、暗号化トラフィックを悪用して悪意のあるペイロードを常に隠しています。暗号化トラフィックを検査しなければ、組織を脆弱な状態にさらすことになります。

TLS 1.3の導入について、テクノロジーおよびビジネスのリーダーがどのように考えているか、EMAの完全版レポートで詳しくご覧ください。また、SSL/TLS暗号化トラフィックの可視化とオーケストレーション、特にTLS 1.3で暗号化されたインバウンドおよびアウトバウンドトラフィックの可視化とオーケストレーションが、今日なぜ極めて重要なのかをご確認いただけます。

著者について

Rachael Shahシニアプロダクトマーケティングマネージャー | F5

Rachael Shahのその他のブログ記事