ゼロトラストを「ゼロ」が付く似た用語と見分ける
情報セキュリティマネジメント試験 令和7年度 問3 ／ セキュリティ › 情報セキュリティ対策
過去問にチャレンジ
ゼロトラストの説明として，最も適切なものはどれか。
- ア
機器やソフトウェアの脆弱性のうち，開発元から対策方法，修正プログラムなどが提供されていない脆弱性が残っている状態のこと
- イ
内部ネットワークであっても必ずしも安全ではないことを前提として対策を講じる考え方のこと
- ウ
秘密情報そのものは明かさずに，自分が秘密情報を知っていることを相手に知らせる方法のこと
- エ
マルウェア定義ファイルを用いず，PCの振る舞いからマルウェア感染を検知する手法のこと
会話形式の解説
講師今回はゼロトラストの説明を選ぶ問題です。選択肢には名前に「ゼロ」が付く別の用語の説明も混ざっています。それぞれの選択肢がどの用語の説明なのかを特定していきましょう。
受験者ゼロトラストは「信頼がゼロ」という意味だと思うので、内部ネットワークでも安全とは限らないことを前提に対策する、という説明が近いと考えました。
講師その読み方で合っています。ゼロトラストは「何も無条件には信頼しない」という考え方で、社内ネットワークの内側にあることも安全の根拠にしません。内部にも脅威があるものとして扱い、アクセスのたびに利用者や端末の情報を使って妥当性を確かめます。
受験者社内だから安全、という前提を置かないのですね。ただ、開発元から修正プログラムが提供されていない脆弱性が残っている状態という説明も、「ゼロ」が付く用語のような気がして迷いました。
講師それはゼロデイ脆弱性の説明です。対策が出る前の脆弱性が残っている「状態」を指す言葉で、信頼についての考え方を表すゼロトラストとは別物です。
受験者状態を表す言葉か、考え方を表す言葉か、という違いで区別できそうです。もう一つ、定義ファイルを使わずにPCの振る舞いから感染を見つける手法も、何も信用しないという点ではゼロトラストに近いように見えました。
講師そこは紛らわしいところです。それは振る舞い検知の説明です。マルウェア定義ファイル、つまり既知のマルウェアの特徴をまとめたデータを使わずに、動作や通信の異常をもとに感染を判断する検知技術です。具体的な検知の手法であって、ゼロトラストの説明ではありません。
受験者秘密情報そのものは明かさずに、知っていることを相手に示す方法というのは、暗号の話のように見えます。これも「信頼しない」ことと関係があるのでしょうか。
講師それはゼロ知識証明の説明です。これも「ゼロ」が付きますが、ゼロトラストとは別の概念です。暗号技術の手法の一つで、ゼロトラストの説明には当たりません。
受験者整理すると、ゼロデイ脆弱性は脆弱性の状態、ゼロ知識証明は暗号技術の手法、振る舞い検知は検知技術で、ゼロトラストは内部も含めて無条件に信頼しない考え方、ということですね。
講師そのとおりです。補足すると、ゼロトラストでは付与する権限を必要な範囲に絞り、実装には多要素認証や継続的な監視が使われます。境界防御、つまり社内と社外の境目で守る方法だけでは内部の脅威への対処に限界がある、というのが求められる背景です。
受験者では、ゼロトラストを導入したら境界防御はなくすべきなのですか。
講師必ずなくすことを求める考え方ではなく、境界防御と組み合わせて使われることもあります。試験では名前の響きで選ばず、説明の中身がどの用語に当たるかで判断するようにしましょう。
まとめ
ゼロトラストは、ネットワークの内側か外側かにかかわらず、何も無条件には信頼しないという考え方です。内部ネットワークであっても安全とは限らないことを前提に、アクセスのたびに利用者や端末の情報で妥当性を確かめます。誤りの選択肢は、ゼロデイ脆弱性（修正プログラムが提供されていない脆弱性が残る状態）、ゼロ知識証明（秘密を明かさずに知っていることを示す暗号技術の手法）、振る舞い検知（定義ファイルを使わず動作から感染を見つける技術）の説明です。ゼロトラストは境界防御を必ずなくす考え方ではなく、組み合わせて使われることもあります。
解答・解説
正解はイです
この問題のテーマ
ゼロトラストの考え方を、名前に「ゼロ」が付く用語や似た用語と区別して正しく選べるかを問う問題です。
解き方の考え方
ゼロトラストは「何も無条件には信頼しない」という意味です。社内ネットワークの内側にあることも安全の根拠にしない、という点が核になります。各選択肢がどの用語を説明しているかを特定すれば、ゼロトラストに当たるものは一つだけだと分かります。
選択肢ごとの解説
- ×ア 機器やソフトウェアの脆弱性のうち，開発元から対策方法，修正プログラムなどが提供されていない脆弱性が残っている状態のこと開発元から修正プログラムなどが提供されていない脆弱性が残っている状態の説明は、ゼロデイ脆弱性のことです。脆弱性の状態を指す言葉で、信頼についての考え方を表すゼロトラストとは別物です。
- ○イ 内部ネットワークであっても必ずしも安全ではないことを前提として対策を講じる考え方のこと内部ネットワークであっても安全とは限らないことを前提に対策する考え方は、ゼロトラストの説明そのものです。内部にあるという条件だけでは安全とはいえず、内部にも脅威があるものとして扱います。そのため、アクセスのたびに利用者や端末の情報を使って妥当性を確かめます。
- ×ウ 秘密情報そのものは明かさずに，自分が秘密情報を知っていることを相手に知らせる方法のこと秘密情報そのものは明かさずに、それを知っていることを相手に示す方法の説明は、ゼロ知識証明のことです。暗号技術の手法であり、ゼロトラストの説明ではありません。
- ×エ マルウェア定義ファイルを用いず，PCの振る舞いからマルウェア感染を検知する手法のことマルウェア定義ファイルを使わずに、PCの振る舞いから感染を見つける手法の説明は、振る舞い検知のことです。動作や通信の異常をもとに判断する検知技術であり、ゼロトラストの説明ではありません。
補足
この問題では、ゼロデイ脆弱性やゼロ知識証明など、名前に「ゼロ」が付く用語が誤りの選択肢として並んでいます。名前の響きで選ばず、中身で区別することが大切です。また、ゼロトラストは境界防御を必ずなくすことを求める考え方ではなく、境界防御と組み合わせて使われることもあります。
POINT
- ゼロトラストは、ネットワークの内側か外側かにかかわらず、暗黙の信頼を置かないという考え方です。
- アクセスのたびに、利用者や端末の情報を使って妥当性を確かめます。
- 付与する権限は必要な範囲に絞ります。実装には多要素認証や継続的な監視が使われます。
- 境界防御だけでは内部の脅威への対処に限界があることが、ゼロトラストが求められる背景です。