ディフェンス・イン・デプス

Defense in Depth（深層防衛）とは、ITセキュリティ戦略の一つであり、個々の防御的なセキュリティ対策では十分な保護が得られず、リスクを効果的に軽減するためには防御的なセキュリティ対策を重層化する必要があることを主張するものである。深層防護の原則はITセキュリティにとどまらず、悪意のある攻撃や自然災害から守るあらゆる種類のセキュリティ対策に適用される。

深層防御のアプローチは、相互に依存し合うハードウェアとソフトウェアで構成される複雑なIT環境におけるサイバーセキュリティ・リスクを全体的に低減することを目指すものである。Defense in Depth は、1つまたは複数のコンポーネントが侵害された場合でも、機密性、完全性、可用性に対して回復力のある IT セキュリティ・アーキテクチャを提供しようとするものです。

ネットワーク・トポグラフィは通常、非武装地帯（DMZ）を含むネットワーク境界によって区切られた内部ネットワーク・ゾーンと外部ネットワーク・ゾーンとして概念化される。DMZは、パブリック・インターネット経由の不正アクセスから内部ネットワーク・リソースを保護すると同時に、正規のアクセスを許可する役割を担っています。境界防御は、次世代ファイアウォールや侵入検知防御システム（IDPS）などのセキュリティ・アプライアンスによってサポートされる。しかし、Defense in Depthは、ネットワーク境界防御によるセキュリティにもかかわらず、内部リソースが本質的に脆弱であることを前提としています。 

ネットワーク・セキュリティに対する「深層防御」のアプローチを形成するために、しばしば組み合わされるITセキュリティ管理には、次のようなものがある：

1. すべての社内システムおよびクラウドシステムとデータに、強力な認証と厳格な最小特権権限を適用する。
2. 内部ネットワークをVLANで分離し、機密性の高いシステムやデータを別のネットワークドメインに隔離する。
3. 各デバイスにインストールされた証明書を必要とする公開鍵基盤（PKI）を使用するエンタープライズレベルの認証メカニズムを適用する。
4. ファイアウォール、MACアドレスのアクセプトリスト、静的IPアドレス、IDSやIPS、コンテンツフィルタリング、URLブロック技術などのネットワークセキュリティのベストプラクティスを使用して、きめ細かい内部ネットワークセキュリティを実現する。
5. 社内外のネットワークを通過するデータの機密性を保護するために暗号化を使用する。
6. IT環境全体のセキュリティ上の弱点を検出し、特定された脆弱性を可能な限り速やかに緩和するために、継続的な脆弱性管理活動を維持する。
7. 各エンドポイント上のアプリケーションとサービスを必要なものだけに制限し、エンドポイントに到達した攻撃を検出して対応するために、エンドポイントセキュリティ製品をインストールして構成する。