[情報処理安全確保支援士]ゼロトラストの概要と実現方式[対策講座]

2023年11月26日2024年4月9日

今回は情報処理安全確保支援士で問われるゼロトラストについて学習します。

アカリ

セキュリティの用語でゼロトラストって言葉があるらしいけど、「信用できない」ってこと？

トモル

まさにラクのことみたいだね！

ラク

んだと！？

1. ゼロトラスト
2. ゼロトラストまとめ

ゼロトラスト

クラウドサービスやテレワークの普及によって、ゼロトラストと呼ばれるセキュリティモデルが注目されています。

ゼロトラストそのものの概要や、ゼロトラストの実現方式について確認していきましょう。

ゼロトラストの概要

ゼロトラスト（ゼロトラストモデル・ゼロトラストセキュリティ）は、2021年にアメリカのForrester Research社のJohn Kindervag氏によって提唱された概念モデルです。

ゼロトラストを直訳すると「何も信頼しない」となります。意味するところとしては、組織の情報システムを構成する各種機器やアプリケーション・ネットワーク・端末において、「いずれも安全でない可能性がある」といった考えに基づいてセキュリティ対策を行うことです。

キュー

例えば、ユーザがアプリケーションに対して何かのリクエストをするごとに、端末やユーザの信頼性を都度確認することやで

ゼロトラストの考え方に対して、従来からの考え方は組織の内部ネットワークが「トラスト」で、組織外のインターネットなどは「アントラスト」であるといった考え方です。

トラストとアントラストの境界をファイアーウォールやVPN機器で隔離する従来の考え方は、境界防御モデルと呼ばれます。

境界防御モデルでは、IDCなどに設置されたオンプレミスによる情報システムが大半で、端末もユーザも大半が社内ネットワークの内側にいる時は有効です。

しかし、昨今のクラウドサービスやテレワーク環境では境界防御モデルでは対応が困難です。また、境界が万が一突破されると内部ネットワーク全体に被害が拡大する恐れがあります。

一方でゼロトラストでは、分散化が進んだ情報システム環境上なので内部感染が進みにくいといった点も注目されています。

NIST ZTAの概要

NIST（National Institute of Standards and Technology：米国国立標準技術研究所）では、ゼロトラストに基づいた企業におけるサイバーセキュリティアーキテクチャのガイド文章として、SP 800-207：Zero Trust Architecture（ZTA）を公開しました。

ZTAはサイバー攻撃によるデータ侵害を防止し、ラテラルムーブメントを制限するように設計されており、以下7つの原則・論理コンポーネント・導入する場合のアプローチやユースケースが示されています。

ゼロトラスト7原則