ゼロトラストとは

ゼロトラストとは

ゼロトラスト(Zero Trust)は「何も信頼しない、常に検証する(Never Trust, Always Verify)」を原則とするセキュリティモデルだよ。従来の「社内ネットワーク内は安全」という前提を捨て、すべてのアクセスに対して継続的に認証・認可を行うアプローチなんだ。

従来モデルとの違い

城と堀モデル(従来)

社内ネットワーク(城)の外に強固な防壁(堀)を作り、内部は信頼するという考え方。一度侵入されると内部を自由に動き回れる弱点がある。

ゼロトラスト

ネットワークの内外に関係なく、すべてのアクセスを検証する。クラウド化・リモートワーク普及に伴い、「内側」という概念自体が崩れてきたことが背景にあるよ。

ゼロトラストの原則

1. 最小権限の原則: 業務に必要最小限のアクセス権だけを付与
2. 明示的な検証: ユーザー・デバイス・場所・時刻などを毎回確認
3. 侵害を前提とした設計: 侵害されても被害を最小化できる構造

パスワードとの関係

ゼロトラスト環境ではMFAが必須要件になることが多いよ。パスワードだけでは「明示的な検証」として不十分とみなされるんだ。パスキー・WebAuthnなどのより強力な認証手段と組み合わせることで、ゼロトラストの原則に沿ったセキュリティが実現できるね。

日本企業での採用

テレワーク普及後、日本でもゼロトラスト移行を検討・実施する企業が増えてきたよ。VPNを廃止してクラウドベースの認証基盤に移行するケースが典型的だね。