ゼロトラストセキュリティとは?基礎知識を整理

ゼロトラストは、社内ネットワークの中にあるというだけで安全だという前提を捨てることから始まります。

ゼロトラストとは何か

従来のセキュリティモデルは、ファイアウォールに守られた社内ネットワークの内側にあるものはすべて信頼できると仮定し、内部トラフィックを比較的緩く扱っていました。ゼロトラストはこの前提を完全に捨て、ユーザーが社内ネットワークにいるか外部から接続しているかに関わらず、あらゆるリクエストごとにIDと権限を再検証しなければならないという立場から出発します。

「決して信頼せず、常に検証する」

ゼロトラストを一言で表すこの原則では、アクセスの可否はネットワーク上の位置ではなく、個々のリクエストのIDと文脈に基づいて判断されます。この原則のもとでは、社内Wi-Fiに接続しているという事実そのものには、何の信頼の根拠もありません。

最小権限アクセス

一度ログインすれば内部システム全体に広くアクセスできるようにするのではなく、ゼロトラストは各ユーザーやサービスに対し、必要な資源だけを、必要な期間だけ許可します。目的は、万が一1つのアカウントが乗っ取られた場合に、攻撃者が動ける範囲(攻撃対象領域)を最小限に抑えることです。

マイクロセグメンテーション

従来のネットワーク設計では、1つのシステムに侵入した攻撃者が、比較的自由にサーバーや部門間を移動できてしまうことがありました(ラテラルムーブメント)。マイクロセグメンテーションはネットワークを小さな独立した区域に分割し、区域間の通信にもそれぞれ認証とポリシーチェックを課すことで、侵害が1つの区域内にとどまり広がらないようにします。

ID・デバイスベースのアクセス制御

ユーザー名とパスワードだけでなく、ゼロトラストは多要素認証(MFA)を重ね、さらに接続元のデバイスが最新のパッチを適用しているか、会社が管理するデバイスか、普段と異なる挙動を示していないかまで評価したうえで、アクセスを許可するかブロックするかを判断します。

従来の境界型セキュリティとの違い

境界型セキュリティは城壁のように機能します——ファイアウォールが内側と外側を分け、いったん中に入れば比較的自由に動き回れます。ゼロトラストは、リモートワークやクラウドサービス、外部パートナーのアクセスによって内側と外側の境界があいまいになった現実を反映し、個々の資源の前にそれぞれ検問所を設ける方式を取ります。

導入時に考慮すべきこと

ゼロトラストは導入すれば完了する単一の製品ではなく、ID管理・デバイスセキュリティ・ネットワーク分割を組み合わせた長期的な戦略に近いものです。すべてのアクセスを厳密に検証するため、ログインやアクセスの手順が増えてユーザーの負担が大きくなることがあり、多くの組織は重要度の高いシステムから段階的に導入し、セキュリティと使い勝手のバランスを取っています。

ゼロトラストはファイアウォールやVPNを完全に置き換えるものではない

従来のVPNは、一度接続すれば内部ネットワークに広くアクセスできるという仕組みでした。ゼロトラスト環境では、VPN接続(今も使われている場合)は単なる身元確認の材料の1つに過ぎず、その先にある各資源には依然として個別の検証が必要です。ファイアウォールも引き続き重要な要素であり、ゼロトラストはネットワークレベルの制御を取り除くのではなく、その上にID・文脈ベースの検証層を重ねるものです。

業務を止めずに段階的に導入する

ゼロトラストはID管理システム、デバイス管理、ネットワーク分割のすべてに同時に関わるため、多くの組織は一気に切り替えるのではなく、財務データやソースコードなど価値の高いシステムから段階的に導入し、そこから範囲を広げていきます。より厳格で頻繁な検証は最初は余計な手間に感じられることがあるため、シングルサインオンやデバイス信頼ツールと組み合わせることで、ログインの壁のように感じさせない工夫が有効です。

よくある質問

ゼロトラストを導入すればVPNは不要になりますか?

完全に不要になるわけではありません。VPNが引き続き役割を果たすこともありますが、従来のVPNが接続後に内部ネットワークへ広くアクセスを許可していたのに対し、ゼロトラスト環境ではVPN接続後も各資源ごとに個別の検証が求められるのが一般的です。

企業だけでなく個人もゼロトラストの考え方を取り入れられますか?

はい、小規模な形であれば可能です。多要素認証を使う、アプリやアカウントに必要最小限の権限だけを与える、使わなくなったアクセス権限を定期的に見直して取り消す——こうした習慣はいずれもゼロトラストの発想に基づくもので、個人のアカウントにも十分応用できます。