security-architecture

セキュリティアーキテクチャ（Zero Trust & MCRA）

セキュリティアーキテクチャでは、組織を保護するために、ID、エンドポイント、データ、アプリ、インフラストラクチャ、ネットワークの各制御をどのように組み合わせるかを定義します。基盤となるのは Zero Trust と Microsoft Cybersecurity Reference Architectures（MCRA） であり、Cloud Adoption Framework Secure methodology の導入用の枠組みと、Well-Architected Framework Security pillar のワークロードレベルの厳密さも取り入れています。

使用する場面

エンドツーエンドのセキュリティ目標状態を設計するとき、広く認知されたフレームワークに沿って複数年のロードマップを策定するとき、または大規模なプログラムに着手する前にアーキテクチャのギャップを確認するときに使用します。

次の用途にはこのスキルを使用しないでください：

• 個別の製品設定（defender-xdr、sentinel など、製品固有のスキルを使用してください）
• SOC ツールのアーキテクチャのみ（unified-secops-platform を使用してください）
• 単一ワークロードのコードレビュー（threat-modelling を使用してください）

会話に適したフレームワークを選ぶ

質問	使用するフレームワーク	出力
3年間のセキュリティ目標状態はどのようなものか？	MCRA + CAF Secure	ケイパビリティマップ + ロードマップ
ID／エンドポイント／データ／アプリ／インフラ／ネットワークをカバーするケイパビリティは何か？	Zero Trust の6つの柱	柱ごとの成熟度ヒートマップ
プログラムをどのように遂行するか（戦略 → 運用）？	CAF Secure methodology	ワークストリーム計画
単一ワークロードは安全に設計されているか？	Well-Architected Security pillar	ワークロードレビュー
特定の設計にはどのような脅威があるか？	STRIDE / SDL（threat-modelling を使用）	脅威モデル
規制ベースラインに準拠しているか？	Microsoft Cloud Security Benchmark	コンプライアンスの証跡

目安： Zero Trust は原則のレイヤーです。MCRA はケイパビリティのレイヤーです。 CAF Secure は導入のレイヤーです。Well-Architected はワークロードのレイヤーです。実際の アーキテクチャでは4つすべてを使用します。それぞれを別のものの代わりにしようとしないでください。

アプローチ

1. まずゼロトラストの原則を軸にします — 明示的に検証する、最小権限のアクセスを使用する、侵害を前提とする。以降のすべての判断は、これらのいずれかに結び付けられる必要があります。 検証：設計に含まれるすべての制御を、3つの原則のいずれかにひも付けられること。ひも付けられない場合は、なぜ存在するのかを問い直します。
2. ゼロトラストの6つの柱をマッピングします — ID、エンドポイント、データ、アプリ、インフラストラクチャ、ネットワークを対象とし、すべての柱にわたって可視性／分析と自動化を組み込みます。柱ごとに現在の成熟度（Traditional／Advanced／Optimal）を評価し、ギャップが最も大きい領域に投資します。 検証：柱のヒートマップに明確な差が示されていること。投資対象とする上位2つの柱を挙げられること。
3. IDが主要な制御プレーンであることを確認します — IDが脆弱であれば、ほかの柱で補うことはできません。ネットワーク、データ、エンドポイントの柱に大規模な投資を行う前に、MFAの適用範囲、特権アクセスの設計（PIM、PAW）、条件付きアクセスの態勢を確認します。 検証：フィッシング耐性のあるMFAで保護されている人間のアカウントの割合と、PIMに登録されている特権アカウントの割合について、ベースラインを確立し、ロードマップを策定していること。
4. 機能をMCRAにひも付けます — Microsoft Cybersecurity Reference Architecturesを使用して、Microsoft製品（Defender、Sentinel、Entra、Purview、Intune、Defender for Cloud）を、それぞれが担う機能にマッピングし、機能の欠落や重複がないことを確認します。 検証：MCRAのポスターに現在および予定している製品を重ねたとき、対象範囲内に未対応の機能がないこと。
5. 多層防御を構築します — 予防、検知、対応の制御を重ね、単一の制御の失敗が侵害につながらないようにします。資産クラスごとに、少なくとも1つの予防制御と1つの検知制御を挙げます。 検証：いずれか1つの制御を取り除いても、検知制御または補完する制御が残ること。
6. リスクと依存関係に基づいてロードマップの順序を決めます — 柱ごとに現状から目標状態への道筋を設定し、前提条件を先に整えます（例：データ分類の前にIDの衛生管理、XDRの前にログの取り込み、自動化の前に態勢管理）。 検証：ロードマップに、担当者とリスクを明記した順序付きのマイルストーンが示されていること。単なる未着手項目の一覧ではないこと。
7. 監視と対応を後付けではなく、設計に組み込みます — SIEM／XDRアーキテクチャは設計の一部であり、後続プロジェクトではありません。ログソース、保持期間、対応の引き継ぎを確認します。 検証：すべての柱が、文書化された検知パイプラインにシグナルを送ること。

ガードレール

• アーキテクチャはビジネスリスクとデータの機密性に基づいて設計します — 製品の一覧、ベンダーからの圧力、「すでに所有しているもの」を基準にしません。脅威と資産から始め、そのうえで制御を選びます。
• IDは妥協できません。 MFA、特権アクセス、条件付きアクセスが脆弱であれば、ゼロトラストアーキテクチャは機能しません。まずこの柱を改善します。
• 可視性と自動化はすべてに関わります — これらは7つ目の柱ではなく、6つすべての柱の前提条件です。ログの取り込みとオーケストレーションを最初から設計します。
• 費用をかけるだけでなく、多層防御を実現します — 各層が異なる種類の障害を検知またはブロックする場合にのみ、多層防御として機能します。SIEMを2つ導入しても、多層防御にはなりません。
• 担当者のいないロードマップは、ただの願望リストです。 すべてのマイルストーンに、明確な担当者と測定可能な完了基準が必要です。
• 毎年ベースラインを見直します。 MCRA、CAF Secure、ゼロトラストの柱は進化します。昨年のリファレンスアーキテクチャが、今年も適切とは限りません。

よくあるアンチパターン

• 「Defender ／ Sentinel を購入したので、ゼロトラストを実現できています。」 製品はアーキテクチャそのものではありません。 原則、柱、運用モデルがなければ、使われないままの製品になってしまいます。
• ID が弱いまま、ネットワークやデータの柱に投資すること。 攻撃者は最も弱い柱を足がかりにします。ほとんどの場合、それは ID です。
• SIEM を後回しにすること。 既存の設計に後付けされた検知には、後から埋めるのに多大なコストがかかる死角があります。
• ロードマップのない 60 ページのアーキテクチャドキュメント。 順序付けのないアーキテクチャは実行に移せません。目標状態ごとに、今後 90 日間の作業を組み合わせてください。
• Well-Architected を組織全体のフレームワークとして使うこと。 WAF はワークロードレベルのものです。プログラム全体を見渡すには CAF Secure を使用してください。

プロンプトの例

• MCRA に準拠したゼロトラストセキュリティアーキテクチャを設計してください。
• Cloud Adoption Framework のセキュリティ保護手法を、3 年間のロードマップに適用してください。
• ID、ネットワーク、データ全体に多層防御を構築するにはどうすればよいですか？
• Well-Architected のセキュリティ柱に照らして、ワークロードの設計をレビューしてください。
• ゼロトラストの 6 つの柱全体で、現在の状態を評価してください。

Microsoft Learn

• ゼロトラストの概要：https://learn.microsoft.com/security/zero-trust/zero-trust-overview
• MCRA（Microsoft Cybersecurity Reference Architectures）：https://learn.microsoft.com/security/adoption/mcra
• CAF Secure の手法：https://learn.microsoft.com/azure/cloud-adoption-framework/secure/
• Well-Architected のセキュリティ柱：https://learn.microsoft.com/azure/well-architected/security/
• Microsoft Cloud Security Benchmark：https://learn.microsoft.com/security/benchmark/azure/
• ゼロトラストの導入ガイド：https://learn.microsoft.com/security/zero-trust/deploy/overview