ゼロトラストとは
社内ネットワークの内側も含めて「何も信頼しない」ことを前提に、すべてのアクセスをその都度検証するセキュリティの考え方。
ゼロトラストとは
ゼロトラスト（Zero Trust）とは、「社内ネットワークの内側だから安全」とは考えず、すべてのアクセスを毎回確認してから許可するセキュリティの考え方です。2010年に米国の調査会社Forrester Researchのアナリストが提唱し、2020年に米国国立標準技術研究所（NIST）が「SP 800-207 Zero Trust Architecture」として体系化しました。日本でもデジタル庁が政府情報システム向けにゼロトラストの適用方針を示しています。
従来の「境界型防御」との違い
従来のセキュリティは、社内と社外の間にファイアウォールやVPNという「壁」を作り、壁の内側は信頼する考え方でした（境界型防御）。
ところが、クラウドサービスの利用やテレワークが当たり前になり、守るべきデータも働く場所も壁の外に出ていきました。さらに、一度VPNを突破されると社内のサーバーに自由にアクセスされてしまう弱点もあります。警察庁の統計では、ランサムウェアの侵入経路の多くをVPN機器とリモートデスクトップが占めています（詳しくはランサムウェアを参照）。
ゼロトラストでは、壁の内側か外側かに関係なく、「誰が」「どの端末で」「何にアクセスしようとしているか」をその都度確認します。
ゼロトラストを構成する主な要素
- ID管理と認証の強化: 多要素認証（MFA）やシングルサインオンで、本人確認を確実にする
- 端末の状態確認と監視: OSが最新か、不審な動きがないかを確認する。EDRはこの役割を担う代表的な仕組み
- 最小権限: 業務に必要な範囲だけアクセスを許可する
- ログの記録と分析: 誰がいつ何をしたかを記録し、異常を早く見つける
中小企業はどこから始めるか
ゼロトラストは製品の名前ではなく「考え方」です。大企業のように専用製品を一式そろえる必要はありません。中小企業なら、次の順番で進めると無理がありません。
具体例
社員20名の設計事務所では、図面データを社内のファイルサーバーに置き、外出先からはVPNで接続していました。VPN機器の更新が後回しになっていたため、図面をクラウドストレージに移し、多要素認証と端末の登録制を導入しました。VPN自体を廃止できたことで、機器の保守費用も減りました。
中小企業のセキュリティ対策の全体像は中小企業のセキュリティ対策ガイドで解説しています。
関連サービス
Swaaabでは、クラウドやAIツールの利用を前提にした社内のセキュリティ設計をAIセキュリティ対策支援としてご相談いただけます。製品の導入や診断が必要な場合は、提携する専門事業者と連携して進めます。