ゼロトラストセキュリティに合う対策の見分け方
ITパスポート試験 令和8年度 問92 ／ セキュリティ › 情報セキュリティ対策・実装技術
過去問にチャレンジ
ゼロトラストセキュリティの考え方に基づいた情報セキュリティ対策の例として，適切なものはどれか。
- ア
インターネットと内部ネットワークの境界にファイアウォールを配置し，インターネットからの脅威を境界で遮断する。
- イ
内部ネットワークからであっても外部ネットワークからであっても，ネットワーク上の情報資源へのアクセスには二要素認証を利用する。
- ウ
内部ネットワークに接続するPCにインストールされたソフトウェアに脆弱性が発見されたときに，そのセキュリティパッチは公開後直ちに適用する。
- エ
内部ネットワークに接続するPCのうち，インターネットにアクセスするPCだけにマルウェア対策ソフトをインストールする。
会話形式の解説
講師今回はゼロトラストセキュリティがテーマです。ゼロトラストは、ネットワークの内側か外側かに関係なく、どのアクセスも信頼せずに毎回確かめる考え方です。各選択肢が「内部は安全」という前提に立っていないかを見ていきましょう。
受験者「トラストがゼロ」なので、何も信用しないという意味でしょうか。そうすると、ファイアウォールで外からの攻撃を防ぐ対策も当てはまりそうに思えます。
講師そこが最初の引っかけです。境界にファイアウォールを置いて外の脅威を遮断する方法は、従来の境界防御の典型です。境界防御は、境界の内側を信頼できる場所とみなす前提に立っています。内部も信用しないゼロトラストとは考え方が合いません。
受験者外は疑っても、内側は信じているということですね。では、ゼロトラストになるとファイアウォールはいらなくなるのですか。
講師いいえ、ファイアウォールそのものが不要になるわけではありません。この問題で問われているのは、その対策がゼロトラストの考え方を表した例になっているかどうかです。
受験者それなら、内部からでも外部からでも情報資源へのアクセスに二要素認証を求める対策は、内外を区別していないので合っていそうです。
講師そのとおりです。接続元が内側であることを信頼の理由にせず、アクセスのたびに利用者を確かめています。これがゼロトラストの考え方にそのまま合う正解です。二要素認証は、パスワードのような「知っているもの」とスマートフォンのような「持っているもの」など、種類の異なる要素を組み合わせる認証方式です。
受験者セキュリティパッチを公開後すぐに適用する対策も、とても大事なことなので迷いました。
講師パッチを速やかに当てることは大切ですが、これは脆弱性管理やエンドポイント管理に分類される対策です。内外を問わずアクセスを検証するという、ゼロトラストに特有の例にはあたりません。正しい対策であっても、問われている考え方に固有のものでなければ正解にはならない点に注意しましょう。
受験者インターネットにアクセスするPCだけにマルウェア対策ソフトを入れる対策は、内部だけで使うPCを安全とみなしているので、境界防御の発想ですね。
講師よく見抜けました。実際には内部のPCも感染したり、感染を広げる経路になったりします。一部の端末だけを守るのでは不十分です。
受験者まとめると、「内部だから」「インターネットに接続する端末だけ」のように内外を区別する表現があれば境界防御を疑い、内外を問わず毎回確かめる対策を選べばよいということですね。
講師そのとおりです。補足すると、ゼロトラストではアクセスのたびに利用者や端末を認証・認可し、必要最小限の権限だけを与えます。二要素認証を入れただけで完成するわけではなく、端末の状態確認や最小権限の付与なども合わせて行う点も覚えておきましょう。
まとめ
ゼロトラストセキュリティは、ネットワークの内外を問わず、どのアクセスも信頼せずに検証する考え方です。従来の境界防御は、内部ネットワークを安全とみなし、境界で外部からの脅威を防ぎます。この問題では、内部からでも外部からでもアクセス時に二要素認証を求める対策が、ゼロトラストの例として適切です。パッチ適用は大切な対策ですが、ゼロトラストに固有の対策ではありません。「内部だから」「一部の端末だけ」のように内外を区別する表現があれば、境界防御の発想を疑いましょう。
解答・解説
正解はイです
この問題のテーマ
ゼロトラストセキュリティの考え方を理解し、それに当てはまる対策を、従来の境界防御やほかの一般的な対策と見分けられるかを問う問題です。
解き方の考え方
最初に、ゼロトラストとは「ネットワークの内側か外側かに関係なく、どのアクセスも信頼せずに毎回確かめる」考え方だと押さえます。次に、各選択肢が「内部は安全」という前提に立っていないかを確認します。最後に、対策そのものが有効かどうかではなく、内外を区別せずにアクセスを検証する対策になっているかで判断します。
選択肢ごとの解説
- ×ア インターネットと内部ネットワークの境界にファイアウォールを配置し，インターネットからの脅威を境界で遮断する。境界にファイアウォールを置いて外からの脅威を遮断する方法は、従来の境界防御の典型です。境界の内側を信頼できる場所とみなす前提に立っており、内部も信用しないゼロトラストの考え方とは合いません。なお、ファイアウォールそのものが不要になるわけではありません。
- ○イ 内部ネットワークからであっても外部ネットワークからであっても，ネットワーク上の情報資源へのアクセスには二要素認証を利用する。内部からでも外部からでも、情報資源へアクセスするときは二要素認証を求めるという対策です。接続元が内側であることを信頼の理由にせず、アクセスのたびに利用者を確かめる点が、ゼロトラストの考え方にそのまま合っています。
- ×ウ 内部ネットワークに接続するPCにインストールされたソフトウェアに脆弱性が発見されたときに，そのセキュリティパッチは公開後直ちに適用する。セキュリティパッチを速やかに適用することは大切ですが、これは脆弱性管理やエンドポイント管理に分類される対策です。内外を問わずアクセスを検証するというゼロトラストに特有の例にはあたりません。
- ×エ 内部ネットワークに接続するPCのうち，インターネットにアクセスするPCだけにマルウェア対策ソフトをインストールする。インターネットにつながるPCだけにマルウェア対策ソフトを入れる方法は、内部だけで使うPCは安全だとみなす境界防御的な発想です。実際には内部のPCも感染したり、感染を広げる経路になったりするため、一部の端末だけを守るのでは不十分です。
補足
ウのパッチ適用のように、セキュリティ対策として正しい内容でも、問われている考え方に固有の対策でなければ正解にはなりません。二要素認証は、パスワードのような「知っているもの」とスマートフォンのような「持っているもの」など、種類の異なる要素を組み合わせる認証方式です。ただし、二要素認証を導入しただけでゼロトラストが完成するわけではなく、端末の状態確認や最小権限の付与なども合わせて行います。
POINT
- ゼロトラストは、ネットワークの内外を問わず、どの通信やアクセスも信頼せずに検証する考え方です。
- 従来の境界防御は「内部ネットワークは安全」という前提に立ち、境界で外部からの脅威を防ぎます。
- ゼロトラストでは、アクセスのたびに利用者や端末を認証・認可し、必要最小限の権限だけを与えます。
- 選択肢に「内部だから」「インターネットに接続する端末だけ」のように内外を区別する表現があれば、境界防御の発想を疑いましょう。