ゼロトラスト

ゼロトラストとは

ゼロトラスト(Zero Trust)は、決して信頼せず、常に検証するを原則とするセキュリティの設計思想です。特定の製品名ではなく、考え方・アーキテクチャの名前です。

従来の考え方は「境界防御」と呼ばれ、社内ネットワークの内側は安全、外側は危険という前提に立っていました。しかしクラウド利用やリモートワークが広がり、「社内」という境界そのものが曖昧になりました。

ゼロトラストでは、社内・社外という場所を信頼の根拠にしません。アクセスのたびに、誰が・どの端末で・何にアクセスしようとしているかを検証します。

境界防御との比較

境界防御が弱いのは、いったん内部に入られたときです。攻撃者が社内を自由に動き回る「横移動」を許してしまいます。ゼロトラストはこの被害の広がりを抑えることを重視します。

5つの構成要素

ゼロトラストは複数の仕組みの組み合わせで実現します。

• 強い本人確認 — [[認証と認可]] を土台に、[[多要素認証]] でパスワードだけに頼らない
• 端末の健全性チェック — OSが最新か、資産管理された端末かを確認する
• [[最小権限の原則]] — 必要な範囲だけを、必要な期間だけ許可する
• マイクロセグメンテーション — ネットワークを細かく区切り、横移動を封じる
• 継続的な監視とログ — 誰が何にアクセスしたかを記録し、異常を検知する

アクセス判断は、これらの情報をまとめて評価する仕組み(ポリシーエンジン)が担います。「いつもと違う国からのアクセスなら追加認証を求める」といった動的な判断が典型例です。

VPNとの関係

「ゼロトラストにすると [[VPN]] が不要になる」と語られることがあります。正確には、VPN で社内ネットワーク全体につなぐ方式が見直され、アプリケーション単位で認可する方式に置き換わっていく、という話です。

VPN 接続で社内LANに入れてしまうと、そこから先は境界防御と同じ課題を抱えます。ゼロトラストでは「このユーザーはこのアプリだけ使える」と絞ります。

初学者向けポイント

• ゼロトラストは製品を1つ買えば完成するものではなく、段階的に近づける方針です。まず多要素認証から、という進め方が現実的です
• 「信頼しない」は人を疑うという意味ではなく、場所やネットワークを信頼の根拠にしないという意味です
• [[OAuth・OIDC]] のような標準的な認可の仕組みは、アプリ単位でアクセスを制御する土台になります

関連技術とのつながり

• [[認証と認可]] — 誰であるかと、何を許すかを分けて考える土台
• [[多要素認証]] — 本人確認を強くする最初の一歩
• [[最小権限の原則]] — 許可する範囲を必要最小限に絞る
• [[VPN]] — 境界型リモートアクセス。ゼロトラストでは役割が見直される
• [[OAuth・OIDC]] — アプリ単位の認可を標準的に実現する仕組み

Q: ゼロトラストの基本原則を表しているのはどれ?
- [ ] 社内ネットワークの内側は安全とみなす
- [x] 決して信頼せず、アクセスのたびに検証する
- [ ] 認証は初回ログイン時にだけ行う
解説: ゼロトラストは場所を信頼の根拠にせず、アクセスのたびに検証することを原則とします。

Q: 境界防御モデルの弱点として説明されているのはどれ?
- [x] いったん内部に侵入されると横移動を許しやすい
- [ ] 社外からのアクセスを一切遮断できない
- [ ] パスワードを保存できない
解説: 内側を信頼する前提のため、侵入後に内部を自由に移動されるリスクがあります。

Q: ゼロトラストの構成要素として本文で挙げられていないのはどれ?
- [ ] 多要素認証による強い本人確認
- [ ] ネットワークを細かく区切るマイクロセグメンテーション
- [x] すべての通信を平文に戻して保存すること
解説: 挙げられていたのは本人確認・端末チェック・最小権限・マイクロセグメンテーション・継続的な監視です。