境界型の防御がなぜ立ち行かなくなったのかを整理し、ゼロトラストの原則（要求ごとの検証・最小権限・すべてを記録する）を解説。導入で何から手を付けるか、情報処理安全確保支援士試験での問われ方まで。
ゼロトラストは、製品の名前ではなく考え方です。「社内にいるから信用できる」という前提を置かず、どこから来た要求であっても、その都度、利用者と端末を確かめてから通す。この一点に尽きます。境界を無くすという意味ではありません。境界だけに頼らない、という意味です。
従来は、外と中を分けて、その境目に防御を集めていました。この前提が崩れた理由は三つあります。第一に、業務システムがクラウドへ移り、「中」に置かれなくなったこと。第二に、在宅勤務や外出先からの利用が当たり前になり、利用者が「中」にいなくなったこと。第三に、標的型攻撃で一台が乗っ取られれば、そこから内部は自由に動けてしまうと分かったことです。
三つ目が特に重い問題です。境界型では、内部の通信は基本的に信用されるため、横展開を検知しにくくなります。入られた時点で、内部の広い範囲が見えてしまう構造でした。
| 原則 | 意味 | 具体的な手立て |
|---|---|---|
| 明示的に検証する | 要求ごとに利用者・端末・文脈を確かめる | 多要素認証、端末の状態確認、条件付きアクセス |
| 最小権限で与える | 必要な範囲・必要な期間だけ許す | 役割ごとの権限、期限付きの昇格、都度の承認 |
| 侵害を前提に設計する | 入られても広がらないようにする | 細かい分割、通信の暗号化、すべての記録と監視 |
「端末の状態確認」は、ゼロトラストで新しく重みを増した観点です。利用者が正しくても、その端末が更新されていない、マルウェア対策が止まっている、というなら通さない。人だけでなく、そこで使われている機器も判断材料にします。
一気に全部を作り替えることはできません。実際には、影響の大きいところから順に置き換えていきます。まず認証を集約して多要素にする。次に、VPN で「入ったら全部見える」状態になっている部分を、アプリケーション単位のアクセスに置き換える。並行して、端末の管理状況を把握できるようにし、記録を一箇所に集めて見られるようにする。この順序が現実的です。
「ゼロトラストを導入したからファイアウォールは不要」というのは誤りです。境界での防御は依然として有効で、その上に、内部でも検証する層を重ねる、という関係になります。多層防御の考え方そのものは変わりません。
もう一つ、「製品を買えば実現する」というのも誤解です。認証基盤、端末管理、アクセス制御、記録の集約——複数の仕組みを組み合わせ、権限の設計を見直す取り組みになります。設問でも、「ゼロトラストの考え方に沿った対策はどれか」という形で、単一の製品導入ではないことを確かめる出題が見られます。
実装は複数の要素の組み合わせになります。利用者を認証する基盤、端末の状態を把握する仕組み、アプリケーションごとに到達を制御する仕組み、外向きの通信を検査する仕組み、そして記録を集めて相関を見る仕組み。これらが連携して初めて、要求ごとの判断が成り立ちます。どれか一つを導入しただけでは、判断に使える材料が揃いません。
段階的に進めるときに気をつけたいのが、途中の状態です。新しい経路を作ったものの、古い経路を残したままにすると、緩い方が使われ続けます。移行のたびに、旧経路を閉じるところまでを一つの作業として扱う。閉じられない事情があるなら、その経路に限って監視を厚くし、期限を切って再検討する——という進め方になります。
また、利用者の体験が悪くなりすぎると、抜け道を探されます。都度の認証を求めすぎれば、パスワードを紙に書く、承認を機械的に押す、といった行動を招きます。判断の材料を増やして、条件を満たすときは追加の認証を求めない、という設計にすることで、厳しさと使いやすさを両立させます。
午前Ⅱでは、ゼロトラストの定義（場所で信用を決めない）、境界型との違いが問われます。午後では、在宅勤務やクラウド利用が増えた組織の構成を示して「境界型のどこが弱いか」「どう変えるか」を書かせる形が出ます。答えるときは「信用しない」という抽象論で止めず、要求ごとに何を確かめるのか（利用者・端末・権限）を具体的に書きます。
IPA 公式 PDF：令和6年度 秋期 午前Ⅱ問題 ↗本文はこの公式 PDF でご覧ください（アプリ内には転載していません）。