Zero Trust
Zero Trust
Zero Trust（ゼロトラスト）とは
ひとことで
「社内ネットワークだから安全」とは考えず、すべてのアクセスを信頼せず、そのたびに利用者・端末・状況を確認してから必要最小限の許可を与えるという考え方。「決して信頼せず、常に検証する」と表現される。
たとえると
社員証を見せて会社の玄関に入っても、重要な部屋に入るたびに改めて本人確認と入室許可の確認がある建物のようなものです。一度中に入ったからといって、どこにでも入れるわけではありません。
現場ではこう使う
ある会社では、在宅勤務の広がりを受けて、社内ネットワークに入れば全システムを使えるという仕組みを見直しました。システムを使うたびに、多要素認証による本人確認、会社が管理する端末かどうか、修正プログラムが適用済みかを確認し、条件を満たしたときだけ業務に必要なシステムへの接続を許可するようにしました。
試験のポイント
EXAM POINT「場所（社内か社外か）で信頼しない」「アクセスのたびに検証する」「暗黙の信頼をなくす」と出てきたらゼロトラストです。境界の内側を信頼する従来型の境界防御との違いが問われます。最小権限の原則、多要素認証、マイクロセグメンテーションが実現手段としてよく一緒に出題されます。
混同しやすい用語との違い
- ZTNAゼロトラストの考え方に基づいてアプリケーションへの接続を制御する具体的な仕組み
- VPN暗号化した通信路で社内ネットワークにつなぐ仕組み。接続後は社内を広く使えることが多く、ゼロトラストとは考え方が異なる