ゼロトラストセキュリティ

よみがな: ぜろとらすとせきゅりてぃ

英語名称・略称: Zero Trust Security Architecture

1行要約（本質）

「社内ネットワークだから安全」という境界防御を捨て、「決して信頼せず、常に厳格に検証せよ」を前提とするセキュリティ思想。

3つの重要ポイント

テレワーク普及やクラウド移行により、社内と社外を分ける境界（ファイアウォール・VPN）が崩壊したことで誕生。

アクセス要求ごとに「誰が（ID認証）」「どの端末から（ポスチャ診断）」「どのリソースへ」アクセスするかを動的に検証・認可する。

ITストラテジストは、IDaaS、SASE、マイクロセグメンテーションを統合した全社ゼロトラスト移行計画を策定する。

構造・プロセスの図解

図従来の境界防御 vs ゼロトラストセキュリティ

社内ネットワークへの盲信から動的常時検証への変革

従来の境界防御（城と堀）崩壊した境界

社内＝安全 / 社外＝危険

ファイアウォールとVPNで社内を守る。VPN突破や社内端末のマルウェア感染で内部データが全滅する脆弱性。

ゼロトラストアーキテクチャ常時検証・最小権限

場所を問わず『常に検証』

社内Wi-Fiも公衆網と同等に疑う。アクセスごとにユーザーID・端末健全性・コンテキストを判定し最小権限付与。

概要・背景・本質

従来の「境界防御モデル（キャッスル＆モート：城と堀）」は、一度堀（ファイアウォール）を突破されると城内（社内網）の全サーバーに自由にアクセスできる致命的欠陥がありました。ゼロトラスト（NIST SP 800-207準拠）は、ネットワークの場所（社内/社外）を一切信用せず、すべての通信を暗号化し、最小特権の原則に基づいて厳格にアクセス制御します。

コア概念と着眼点

コア原則：決して信頼するな、常に検証せよ（Never Trust, Always Verify）
アイデンティティ（ID）が新たな境界：IDaaS（Okta, Entra ID）による多要素認証（MFA）とコンテキストベース認可
デバイス健全性（ポスチャ）：最新OSパッチが当たっているか、EDRが正常稼働しているかを検疫チェック
SASE（Secure Access Service Edge）：ネットワーク機能（SD-WAN）とセキュリティ機能（SWG, CASB, ZTNA）をクラウド上で統合提供

ITストラテジスト試験（午後I記述・午後II論文）での論述ポイント

午前II・午後I・午後IIの全分野で圧倒的な最重要テーマ！午後II論文では『VPN装置の脆弱性を突いた不正アクセスとランサムウェア感染の危機に対し、VPNを廃止してSASEおよびゼロトラストアーキテクチャへの全面刷新を主導した』という論述が最高の評価を得る。