概要

ゼロトラスト（Zero Trust）は「ネットワークの内側だからといって信頼しない」という原則に基づくセキュリティモデルです。クラウドの普及・テレワークの拡大・APT攻撃の高度化により、従来の境界防御（ペリメータセキュリティ）モデルでは対応が困難になったことを背景に注目されています。SC試験では近年の午後問題への登場が増加しています。

仕組みと動作原理

境界防御モデル vs ゼロトラストモデル

観点境界防御（ペリメータ）モデルゼロトラストモデル
基本思想内側は信頼できる・外側は危険内外を問わずすべてを検証
信頼の根拠ネットワーク上の場所（社内LAN）アイデンティティ・デバイス・コンテキスト
内部不正への対応弱い（内部は信頼されている）強い（内部でも常に認証・認可）
クラウド・テレワーク対応困難（VPNで社内に接続が前提）容易（どこからでも同じポリシー）
侵害後の横展開起きやすい（内部ネットは広い信頼）限定的（マイクロセグメンテーション）

ゼロトラストの7原則（NIST SP 800-207）

  1. すべてのデータソース・サービスをリソースとみなす
  2. ネットワークの場所に関わらず通信はすべて保護する
  3. リソースへのアクセスはセッションごとに許可する
  4. リソースへのアクセスはポリシーで動的に決定する
  5. すべての資産のセキュリティ状態を監視・測定する
  6. 認証・認可を厳格に実施し、アクセスを許可する前に実施する
  7. ネットワーク・インフラ・通信の情報を収集し、改善に活かす

ゼロトラストの主要コンポーネント

コンポーネント役割
IAM（Identity and Access Management）ユーザ・デバイスのアイデンティティ管理
IDaaS（Identity as a Service）クラウド型のID管理・MFA・SSO。Okta・Azure ADなど
マイクロセグメンテーションネットワークを細かく分割して横展開を阻止
PEP（Policy Enforcement Point）アクセスリクエストを実際に許可・拒否するゲートウェイ
PDP（Policy Decision Point）アクセスの許可・拒否を判断するエンジン
デバイス管理（MDM/EDR）デバイスの健全性（パッチ適用状況・マルウェア検知状態）を確認

SASE（Secure Access Service Edge）

SD-WANとネットワークセキュリティ機能をクラウドから提供する統合フレームワークです。ゼロトラストを実現するためのアーキテクチャとして位置付けられます。

SASEの主要コンポーネント：

機能説明
SD-WANソフトウェア定義WANによる経路最適化
CASBクラウドアプリへのアクセスを可視化・制御
SWG（Secure Web Gateway）Webアクセスのフィルタリング・マルウェアスキャン
ZTNA（Zero Trust Network Access）VPN代替。アプリ単位で最小権限アクセスを提供
FWaaS（Firewall as a Service）クラウド上で提供するファイアウォール機能

ZTNA（Zero Trust Network Access）

従来のVPNとZTNAの主な違い：

観点従来のVPNZTNA
アクセス範囲ネットワーク全体に接続アプリケーション単位で許可
信頼の前提VPN接続後は内部ネットとして信頼接続後も継続的に認証・認可
横展開リスク高い（内部ネット全体にアクセス）低い（許可されたアプリのみ）

SC試験での頻出ポイント

  • ゼロトラストへの移行の背景：クラウド移行・テレワーク普及・内部不正・APTへの対応
  • 「決して信頼せず、常に検証する（Never Trust, Always Verify）」：ゼロトラストの基本原則
  • マイクロセグメンテーションの効果：ランサムウェア等の横展開を限定的なセグメントに封じ込める
  • ZTNAとVPNの違い：VPNはネットワーク全体への接続、ZTNAはアプリ単位の最小権限アクセス
  • SASEの5機能：SD-WAN・CASB・SWG・ZTNA・FWaaSの組み合わせ

よくある誤問・ひっかけパターン

誤り① 「ゼロトラストを導入したらVPNは不要になる」→ 状況次第。ZTNAでVPNを代替できますが、一部の用途（拠点間接続等）では VPN が継続して有効な場合もあります。

誤り② 「ゼロトラストは外部ネットワークからのアクセスのみを対象にする」→ 誤。ゼロトラストは内部ネットワークからのアクセスも含めて、すべての通信を検証します。

誤り③ 「ゼロトラストは製品を導入すれば実現できる」→ 誤。ゼロトラストはアーキテクチャ・思想・戦略であり、特定製品だけで実現するものではありません。IAM・ネットワーク・エンドポイント・ポリシー管理を組み合わせた継続的な取り組みです。

関連用語

重要キーワード

用語説明
ゼロトラストネットワークの内外を問わず常に認証・認可を行うセキュリティモデル
マイクロセグメンテーションネットワークを細かく分割して横展開を阻止する手法
SASESD-WANとネットワークセキュリティをクラウドから提供する統合フレームワーク
ZTNAアプリケーション単位で最小権限アクセスを提供するVPN代替技術
CASBクラウドアプリへのアクセスを可視化・制御するブローカー
IDaaSクラウド型のID管理・MFA・SSOを提供するサービス