ゼロトラストアーキテクチャとネットワーク

ゼロトラストは、「社内のネットワークだから安全」と考えず、すべてのアクセスを信用せずに、毎回確認するというセキュリティの考え方です。

■ 試験で押さえるポイント

• 誰がアクセスしているか（ID）と、端末が安全な状態かを、要求のたびに確認します。

• 必要な資源だけにアクセスを許可し（最小権限）、ネットワークを細かく分けます。

• アクセスの後も、継続して監視します。

■ 過去問での着眼点

ネットワークの内側にいることを信頼の根拠にしない点がポイントです。特定の製品の名前ではありません。

例: 社内からでも、多要素認証と端末の状態の確認に合格したときだけ、業務システムへのアクセスを許可します。

■ 継続的な評価と権限・セッションの管理

• 利用者、端末の状態、対象資源、要求する操作、環境を根拠にアクセスを判断する。社内IPやVPN接続済みという位置情報だけで信用しない。初回ログインで確認するだけでも不十分である。

• 継続的な評価は、通信の全パケットで毎回パスワードを入力する意味ではない。端末侵害、権限変更、リスク変化を検知し、方針に沿ってセッションの再評価・制限・失効を行う。

• 最小権限、認可の実施点、監査、障害時の判断を組み合わせる。単一製品の導入やMFAの成功だけで、すべての操作が正当だとみなさない。