ゼロトラストセキュリティ（ぜろ とらすと せきゅりてぃ）

概要

ゼロトラストセキュリティは、従来のネットワークセキュリティにおいて主流であった「境界防御型モデル」に代わる新しいアプローチです。かつてのセキュリティは、組織のネットワーク内部を「安全」、外部を「危険」と峻別し、境界線上で防壁を築くことを主眼としていました。しかし、クラウドサービスの普及やモバイル利用の拡大により、ネットワークの境界が曖昧化した現在、このモデルは限界を迎えています。

この概念の核となるのは、「ネットワークの内側にいようが外側にいようが、決してデフォルトで信頼しない」という考え方です。すべてのアクセス要求に対し、ユーザー、デバイス、コンテキストなどの情報を基に厳格な検証を行い、最小権限の原則に基づいて必要なリソースへのアクセスのみを許可します。これにより、万が一侵入を許した場合でも、被害を最小限に抑える「被害の極小化」を実現します。

主な特徴・機能

• 常時検証：すべての通信に対して、認証・認可をアクセスごとに動的に実行する。
• 最小権限原則：業務上必要な最小限のリソースへのアクセスのみを許可し、横方向への移動（ラテラルムーブメント）を制限する。
• デバイス識別：アクセス元の端末の状態（OSパッチの有無、セキュリティソフトの稼働状況等）を常に監視する。
• 分散防御：境界ではなく、データ、アプリケーション、資産ごとに個別のセキュリティ対策を適用する。
• 可視化と分析：全トラフィックを継続的に監視・分析し、異常な振る舞いをリアルタイムで検知する。

歴史・背景

ゼロトラストという概念自体は、2010年に調査会社フォレスター・リサーチのアナリストであるジョン・キンダーバーグによって提唱されました。当初は概念的な提唱に留まっていましたが、2010年代後半からクラウド移行の加速やリモートワークの常態化に伴い、急速に注目を集めるようになりました。2020年には米国立標準技術研究所（NIST）がSP 800-207を発行し、ゼロトラストの標準的なアーキテクチャ定義を提示したことで、世界中の企業や政府機関における導入基準としての地位を確立しました。

社会的影響・応用事例

1. 公的機関のDX推進：米国政府の「ゼロトラスト戦略」をはじめ、各国政府が標的型攻撃やランサムウェア対策として導入を義務化・推奨している。
2. ゼロトラストネットワークアクセス（ZTNA）：従来のVPNに代わり、クラウドアプリケーションへのアクセスをより安全かつ柔軟に提供するソリューションとして多くのグローバル企業で採用されている。
3. サプライチェーンセキュリティ：委託先や関連会社を含めた広範なエコシステムにおいて、特定の境界に依存しない安全なデータ連携基盤として活用されている。

関連概念

• アイデンティティ基盤（IdP）：ユーザーの属性やアクセス権を一元管理する中核技術。
• SASE（サシー）：ネットワークセキュリティとSD-WANを統合したサービスモデル。ゼロトラストを実現するためのインフラ基盤として位置づけられる。
• 多要素認証（MFA）：パスワードに加え、生体認証やワンタイムパスワード等を組み合わせ、認証強度を向上させる手法。

参考リンク

ゼロトラストに関する実態調査

総務省

→