ゼロトラストとは

この記事は約 2 分で読めます

ゼロトラストとは、ネットワークの内部・外部を問わず、すべてのアクセスを信頼せず検証するセキュリティモデルです。従来の境界型セキュリティが「社内ネットワークは安全」という前提に立っていたのに対し、ゼロトラストは「何も信頼しない、常に検証する (Never Trust, Always Verify)」を基本原則とします。リモートワークの普及やクラウドサービスの拡大を受けて、2020 年代には「境界の内側は安全」という前提そのものが企業のセキュリティ設計から外されていきました。ただし全社の認証・端末管理・ネットワークをまとめて作り替える取り組みになるため、掲げてはいるが段階的に移行中、という組織が多いのが実情です。

歴史的背景

ゼロトラストの概念は 2010 年に Forrester Research のアナリスト、ジョン・キンダーバグが提唱しました。当時は境界型セキュリティ (城と堀モデル) が主流でしたが、内部犯行や APT (Advanced Persistent Threat) による境界突破が相次ぎ、「内部は安全」という前提の限界が明らかになりました。 2020 年のコロナ禍でリモートワークが急拡大すると、社内ネットワークの境界自体が曖昧になり、ゼロトラストの採用が加速しました。 2021 年には米国政府が連邦機関にゼロトラスト導入を義務付ける大統領令を発令しています。

基本原則

ゼロトラストの核心は 3 つの原則にあります。第一に、すべてのリソースへのアクセスは場所やネットワークに関係なく認証・認可を必要とします。第二に、最小権限の原則に基づき、ユーザーやデバイスには必要最小限のアクセス権のみを付与します。第三に、すべてのトラフィックを検査・記録し、異常な振る舞いを検知します。これらの原則により、内部からの脅威や横方向の移動 (ラテラルムーブメント) を効果的に防止できます。

現場での使用例

企業でゼロトラストへ移る場合、単年で完了する話にはなりにくく、複数年の計画として段階を切るのが一般的です。よくある順序は、まず社内網へ入るための VPN を ZTNA (Zero Trust Network Access) に置き換えてアクセス単位の認可に寄せ、次に社内網の中を細かく区切るマイクロセグメンテーションへ進む、という流れです。逆順にすると、境界の内側に入れば広く動ける状態が残ったまま内部の区切りだけ増えることになり、運用の手間に対して得られる効果が小さくなりがちです。個人の利用でも考え方は同じで、「このネットワークにいるから安全」ではなく、その都度の認証と端末の状態で判断する習慣が近い発想にあたります。

アーキテクチャ概念図

実務での実践と落とし穴

ゼロトラストの導入でよくある誤解は「製品を買えば実現できる」という考えです。ゼロトラストは特定の製品ではなくセキュリティの設計思想であり、多要素認証、マイクロセグメンテーション、継続的な監視など複数の技術を組み合わせて実現します。個人レベルでもゼロトラストの考え方は応用できます。すべてのサービスに固有の強力なパスワードを設定し、二段階認証を有効にすることは、「常に検証する」原則の個人版です。サービスごとに異なるランダムパスワードを生成し、VPN を使用して通信を暗号化することで、個人レベルでもゼロトラスト的なセキュリティ態勢を構築できます。