【IT用語解説】ゼロトラストとは？「信用しない」ではなく毎回確認するセキュリティを初心者向けに解説

ゼロトラストとは、社内・社外という「場所」だけで信用せず、アクセス要求ごとに本人・端末・状況を確認し、必要な範囲だけ許可するセキュリティの考え方です。

名前だけを見ると「社員も端末も、何も信用しない仕組み」に聞こえます。しかし、ゼロトラストの目的は人を疑うことではありません。システムが、根拠のない信用を続けないことです。

なお、この記事でいう「毎回確認」は、画面を開くたびに利用者がパスワードを入れ直す、という意味ではありません。通常はシステムがログイン状態や端末情報などを使って裏側で判断し、リスクが高いときだけ追加認証やアクセス拒否へ切り替えます。

ゼロトラストとは「場所ではなく、アクセスごとに判断する」考え方

従来は、社内ネットワークを安全な内側、インターネットを危険な外側として分け、境界の入口を重点的に守る設計が中心でした。この考え方では、いったん内側へ入った利用者や端末を、相対的に信頼しやすくなります。

ところが、クラウドサービス、在宅勤務、スマートフォン、外部パートナーとの共同作業が増えると、「社内にいるから安全」という判断だけでは足りません。重要なデータが社外のクラウドにあり、社員も社外からアクセスするため、守るべき場所の境界が一つではなくなったからです。

NIST SP 800-207は、ゼロトラストを、固定的なネットワーク境界から利用者・資産・リソースへ防御の焦点を移す考え方として整理しています。物理的な場所、ネットワーク上の場所、会社所有の端末であることだけを理由に、暗黙の信頼を与えません。

自宅からクラウド会計に入ると、何が起きるのか

ここからは、経理担当の社員が、自宅の会社PCからクラウド会計システムで請求書を開く場面を一つの例として追います。

1. アクセスを要求する
   社員がクラウド会計の請求書画面を開こうとします。
2. 判断材料を集める
   本人のIDと役割、端末の安全状態、時刻や場所、アクセス先と操作内容などを確認します。
3. ポリシーと照合する
   組織が定めた条件に照らして、許可、追加確認、拒否のどれにするかを決めます。
4. 決定を実行する
   許可する場合も、業務に必要な請求書の閲覧など、必要な範囲に絞ります。

いつもの会社PCで、本人確認も端末状態も問題なければ、利用者に追加操作を求めず請求書の閲覧を許可できます。一方、見慣れない端末なら多要素認証を追加し、マルウェア感染などの危険が見つかった端末ならアクセスを拒否できます。

つまりゼロトラストは、すべてを一律に止める仕組みではありません。状況に応じて、通し方を変える仕組みです。

ゼロトラストで確認する4種類の情報

アクセス判断には、主に次の情報を使います。製品や組織によって名称は異なりますが、基本は「誰が、どの端末で、どんな状況から、何をしようとしているか」です。

判断材料	確認する例	クラウド会計の例
本人・役割	ID、認証方法、所属、担当業務	経理担当者本人か
端末	会社管理端末か、OS更新、暗号化、脅威の有無	安全状態を満たす会社PCか
状況	時刻、場所、通信元、普段との違い、検知されたリスク	深夜や見慣れない場所からの操作ではないか
アクセス先・操作	対象のアプリ、データ、閲覧・更新・削除などの操作	請求書の閲覧か、振込先の変更か

同じ利用者でも、請求書を見る操作と振込先を変更する操作では、必要な確認の強さを変えられます。重要な操作ほど追加認証を求める、といった動的な判断が可能です。

境界防御との違い―「壁を捨てる」話ではない

境界防御とゼロトラストの違いは、ファイアウォールを使うかどうかではなく、何を信用の根拠にするかです。

比較点	境界防御を中心にした設計	ゼロトラスト
主な判断軸	ネットワークの内側か外側か	本人、端末、状況、対象リソース
守る単位	ネットワークの境界	アプリやデータなどのリソース
入口を通った後	内側を相対的に信頼しやすい	別のアクセスでは改めて評価する
権限	ネットワーク参加者へ広く与えやすい	業務に必要な最小範囲へ絞る

ゼロトラストを採用しても、ファイアウォールやVPNが不要になるわけではありません。危険な通信を境界で止める対策は引き続き有効です。そのうえで、内側に入ったという理由だけでは広い権限を渡さず、リソースの近くでもアクセスを判断します。

また、アクセスを許可した後の通信を安全にするため、暗号化も必要です。Web通信の暗号化については「HTTPとは？HTTPSとは？」で整理しています。

最小権限と継続的な見直しがセットになる

本人確認に成功したことと、何でも操作してよいことは別です。ゼロトラストでは、業務に必要な人へ、必要な時間、必要な操作だけを許可する最小権限を重視します。

先ほどの経理担当者なら、請求書の閲覧は許可しても、給与データの閲覧や管理者設定の変更までは許可しない、といった設計です。アカウントが悪用されても、最初から持っている権限が小さければ、被害の広がりを抑えやすくなります。

さらに、一度許可したら永久に安全とは考えません。端末の安全状態が悪化した、不自然な操作が増えた、担当業務が変わった、といった変化を監視し、必要に応じて再認証、権限の縮小、セッションの終了を行います。

ゼロトラストは1製品ではない

「ゼロトラスト製品を一つ導入すれば完成する」と考えると失敗します。ゼロトラストは設計思想であり、本人・端末・アクセス先を確認して制御するために、複数の仕組みを組み合わせます。

仕組み	主な役割
ID管理・シングルサインオン	利用者と役割を一元的に把握する
多要素認証（MFA）	パスワード以外の要素も使って本人確認を強くする
端末管理・脅威検知	会社管理端末か、更新状態や脅威に問題がないかを確認する
条件付きアクセス	本人、端末、場所、リスクなどをポリシーで評価する
アプリ側の権限制御	アクセスできるデータと操作を最小範囲へ絞る
ログ収集・監視	不自然な操作や状態変化を見つけ、判断を見直す

NISTのゼロトラスト実装ガイドでも、複数の技術を組み合わせた実装例が示されています。特定の製品名から始めるのではなく、「何を守り、誰に、どの条件で、何を許可するか」から設計するのが順序です。

導入は、重要な1システムの棚卸しから始める

ゼロトラストは、一度に全社システムを入れ替える計画ではありません。CISAのZero Trust Maturity Model Version 2.0も、ID、端末、ネットワーク、アプリケーションとワークロード、データなどを段階的に成熟させる考え方を示しています。

最初は、重要なアプリを一つ選び、次の順番で現状を見えるようにします。

1. 守る対象を決める
   例：クラウド会計と、その中の請求書・振込先データ。
2. 利用者と端末を把握する
   誰が、どの端末から、どの操作を必要としているかを整理します。
3. 不要な権限を外す
   現在の業務に必要な範囲へ絞り、多要素認証や端末条件を追加します。
4. ログを見て調整する
   業務を止める過剰な制限や、見逃している危険な操作がないかを確認します。

よくある3つの誤解

• 「社員を信用しない文化」のことではない
  人間関係ではなく、システム上のアクセスを根拠なく許可しないという意味です。
• VPNを廃止すればゼロトラストになるわけではない
  VPNの有無ではなく、接続後も本人・端末・権限を適切に判断できるかが重要です。
• MFAを入れただけでは完成しない
  本人確認に加えて、端末状態、アクセス先、最小権限、監視までつながって初めて全体の仕組みになります。

まとめ

ゼロトラストとは、「誰も信用しない」ことではありません。社内か社外かだけで安全を決めつけず、アクセス要求ごとに本人・端末・状況・操作を確認し、必要な範囲だけ許可する考え方です。

まずは、「一度通したら信用し続ける」のではなく、「アクセスのたびに状況を見て、必要な分だけ通す」と覚えておけば、ゼロトラストの中心を正しく説明できます。