『社内ネットワークは安全』という前提は、すでに通用しなくなりました。テレワーク・クラウド利用・サプライチェーン経由の攻撃が当たり前になった今、求められているのが「ゼロトラスト」という新しいセキュリティの考え方です。
本記事では、米国NIST（米国国立標準技術研究所）が定めた標準も踏まえながら、ゼロトラストの定義・必要とされる背景・基本原則・構成する5つの領域までを、これから学ぶ方にもわかりやすく整理します。
本記事のサマリ
-
ゼロトラストとは、社内外を問わずあらゆるアクセスを毎回検証する、新時代のセキュリティ思想である。
-
クラウドの普及やテレワーク・サプライチェーン攻撃の常態化が、従来の境界防御モデルを通用させなくなった。
-
ゼロトラストの実装は、ID・デバイス・ネットワーク・データ・可視化の5領域を連動させてはじめて機能する。
目次- 1. ゼロトラストの定義
- 2. なぜ今ゼロトラストか ─ 境界防御モデルの限界
- 3. ゼロトラストを構成する5つの領域
- 4. まとめ
- 5. よくある質問（Q&A）
ゼロトラストの定義
ゼロトラスト（Zero Trust）とは、ネットワークの内側であっても外側であっても、すべてのアクセスを信頼せず、その都度正当性を検証してから接続を許可するセキュリティの考え方です。
この概念は2010年、米国の調査会社Forrester ResearchのアナリストであるJohn Kindervag氏によって提唱され、その後、米国NIST（米国国立標準技術研究所）が2020年に公開した『SP 800-207 Zero Trust Architecture』で公的な標準として体系化されました。
従来の『社内は安全／社外は危険』という二分法を捨て、『誰がどこから何にアクセスしているかを毎回確かめる』というのが核となる考え方です。
（出典：NIST Special Publication 800-207「Zero Trust Architecture」（2020） ／ IPA「ゼロトラスト移行のすゝめ」（2022））
NIST SP 800-207では、ゼロトラストの核となる7つの原則が示されています。実装時はこれらすべてを満たす方向で組み合わせていくことになります。
-
●すべてのデータソースとサービスを『リソース』として扱う
社内サーバーもクラウドアプリも、IoT端末も、すべて等しく保護対象とみなす。
-
●すべての通信をネットワーク場所に関わらず保護する
社内ネットワーク内であっても暗号化と認証を行う。
-
●個別のリソースへのアクセスはセッションごとに許可する
一度認証したからといって、別のリソースへのアクセスは自動許可しない。
-
●アクセスは動的ポリシーに基づいて決定する
ユーザーID・端末状態・場所・時間など複数の属性を組み合わせて毎回判定する。
-
●すべての資産の整合性とセキュリティ姿勢を監視する
端末がパッチ最新か／マルウェアに感染していないか等を継続的に検証する。
-
●すべての認証と認可を動的かつ厳格に行う
MFAやリスクベース認証を組み合わせ、必要に応じて再認証を要求する。
-
●資産・ネットワーク・通信の状況を可能な限り収集して活用する
ログを統合して分析し、ポリシーの改善や脅威の検知に活かす。
（出典：NIST Special Publication 800-207「Zero Trust Architecture」 Section 2.1）
なぜ今ゼロトラストか ─ 境界防御モデルの限界
「社内ネットワーク内は安全」という前提で組まれた従来のセキュリティモデルは、現在、構造的に機能しなくなりつつあります。
企業の業務環境そのものが、この前提が成立しない方向へ大きく変化してきているからです。
境界防御モデルとゼロトラストモデルの違い
ゼロトラストの登場以前、企業のセキュリティは『境界防御モデル（ペリメータ・セキュリティ）』と呼ばれる考え方を中心に組まれてきました。
社内ネットワークと外部のインターネットの境界線にファイアウォールやIPS／IDSを設置し、その境界を越えるトラフィックを集中的に検査することで外部からの不正アクセスを防ぐ──このアプローチは、社員が社内に出社して社内ネットワーク上の資産にアクセスするという、長らく当たり前だった働き方とよく整合していました。
裏を返せば、境界の内側（社内）は『安全』、外側（外部）は『危険』という二分法を前提とした防御の仕組みです。
一方、ゼロトラストは『境界の場所がどこかに関わらず、アクセスのたびにその正当性を検証する』という、根本から異なるアプローチを取ります。
両者の違いを下表に整理します。
| 観点 | 従来の境界防御モデル | ゼロトラストモデル |
| 基本前提 | 『社内は安全／社外は危険』の二分法 | 『どこからのアクセスも信頼しない』 |
| 守るべき境界 | 社内ネットワークと外部の境界線 | データ・アプリ単位の論理的境界 |
| 典型的な対策 | ファイアウォール／IPS／IDS／VPN | 多要素認証／IAP／EDR／DLP／SIEM／SSO |
| 認証のタイミング | 入口で1回／一度入れば社内は信頼 | アクセスごとに毎回検証 |
| 内部不正への対応 | 弱い（一度内側に入ると横展開しやすい） | 強い（最小権限とログで検知可能） |
| クラウド／ テレワーク適合 |
適合しにくい（境界が曖昧化） | 適合しやすい（クラウド利用を前提） |
| 代表的な弱点 | 内部侵入後の横展開／VPN処理性能の限界 | 導入・運用設計の難しさ／統合ID基盤が前提 |
| 従来の境界防御モデル | |
| 基本前提 | 『社内は安全／社外は危険』の二分法 |
| 守るべき境界 | 社内ネットワークと外部の境界線 |
| 典型的な対策 | ファイアウォール／IPS／IDS／VPN |
| 認証のタイミング | 入口で1回／一度入れば社内は信頼 |
| 内部不正への対応 | 弱い（一度内側に入ると横展開しやすい） |
| クラウド／テレワーク適合 | 適合しにくい（境界が曖昧化） |
| 代表的な弱点 | 内部侵入後の横展開／VPN処理性能の限界 |
| ゼロトラストモデル | |
| 基本前提 | 『どこからのアクセスも信頼しない』 |
| 守るべき境界 | データ・アプリ単位の論理的境界 |
| 典型的な対策 | 多要素認証／IAP／EDR／DLP／SIEM／SSO |
| 認証のタイミング | アクセスごとに毎回検証 |
| 内部不正への対応 | 強い（最小権限とログで検知可能） |
| クラウド／テレワーク適合 | 適合しやすい（クラウド利用を前提） |
| 代表的な弱点 | 導入・運用設計の難しさ／統合ID基盤が前提 |
境界防御モデルが通用しなくなった4つの構造変化
境界防御モデルは、ここ10年ほどの間に、4つの構造変化によって崩れていきました。
-
① クラウドサービスの普及
業務システムがオンプレミスからクラウドへ移行し、ファイル共有も社外のクラウドストレージで行うのが日常になりました。守るべきデータは、もはや社内ネットワークの内側だけにありません。
従来主流だったVPNは「社外から社内へ安全に入る」ための仕組みですが、ひとたび社内に入れば、その先は境界防御に依存します。
さらにテレワーク急増時には処理性能が追いつかない場面も多く、現代の働き方を支える主軸として置き続けるのは難しくなっています。 -
② テレワークとBYODによる、業務端末の持ち出し
社員は自宅や移動中から業務システムにアクセスし、会社から支給された端末だけでなく個人端末（BYOD）の利用も増えています。
「社内ネットワークから接続している＝信頼できる」という判定基準そのものが機能しなくなりました。 -
③ サプライチェーン攻撃の急増
攻撃者は本丸の企業を直接狙うのではなく、取引先・委託先の脆弱な箇所を経由して侵入する手口を多用するようになりました。
自社の境界をいくら厚くしても、外側にあるリスクは防げません。 -
④ 内部不正・ID乗っ取りの常態化
正規の社員アカウントや、フィッシングで奪った認証情報を使われると、境界はそもそも『正規通行』として通過されてしまいます。
境界の入口だけを見ていては、これらの脅威を検知できません。
3. ゼロトラストを構成する5つの領域
では、ゼロトラストの考え方を実際に自社のIT環境に落とし込むときに、「どこを」整えればよいのでしょうか。
ゼロトラストの実装は、通常、以下の5つの領域に分けて整理されます。
| 領域 | 代表的な技術、仕組み | 説明 |
| ID | MFA／SSO／IDaaS／リスクベース認証 | 『誰が』アクセスしているかを正しく識別します。 ここが脆いと他の対策も土台から崩れるため、5領域の中で最重要基盤と位置づけられます。 |
| デバイス | MDM／EDR／デバイス認証 | 『どの端末から』のアクセスが安全かを確かめる。 MDM（モバイルデバイス管理）で端末構成を統制し、EDR（Endpoint Detection and Response）で振る舞いを継続的に監視します。 |
| ネットワーク | IAP／SWG／CASB／マイクロセグメンテーション | 通信を暗号化し、必要なものだけを通します。 従来のVPNに代わって、アプリケーション単位で認証するIAP、Web通信を可視化・制御するSWG／CASBといった仕組みが使われます。 |
| データ | DLP／IRM／暗号化／権限階層 | 情報を分類し、最小権限で守ります。 万が一ID・デバイス・ネットワークの統制を突破されても、データ層で最後の一線を守る役割を担います。 |
| 可視化・分析 | SIEM／操作ログ／XDR | すべての挙動を記録し、異常を検知します。 ログを取るだけでなく『見て、ポリシーを改善する』ことまで含めて、初めてゼロトラストは動的に機能します。 |
| ID | |
| 代表的な技術、仕組み | MFA／SSO／IDaaS／リスクベース認証 |
| 説明 | 『誰が』アクセスしているかを正しく識別します。 ここが脆いと他の対策も土台から崩れるため、5領域の中で最重要基盤と位置づけられます。 |
| デバイス | |
| 代表的な技術、仕組み | MDM／EDR／デバイス認証 |
| 説明 | 『どの端末から』のアクセスが安全かを確かめる。 MDM（モバイルデバイス管理）で端末構成を統制し、EDR（Endpoint Detection and Response）で振る舞いを継続的に監視します。 |
| ネットワーク | |
| 代表的な技術、仕組み | IAP／SWG／CASB／マイクロセグメンテーション |
| 説明 | 通信を暗号化し、必要なものだけを通します。 従来のVPNに代わって、アプリケーション単位で認証するIAP、Web通信を可視化・制御するSWG／CASBといった仕組みが使われます。 |
| データ | |
| 代表的な技術、仕組み | DLP／IRM／暗号化／権限階層 |
| 説明 | 情報を分類し、最小権限で守ります。 万が一ID・デバイス・ネットワークの統制を突破されても、データ層で最後の一線を守る役割を担います。 |
| 可視化・分析 | |
| 代表的な技術、仕組み | SIEM／操作ログ／XDR |
| 説明 | すべての挙動を記録し、異常を検知します。 ログを取るだけでなく『見て、ポリシーを改善する』ことまで含めて、初めてゼロトラストは動的に機能します。 |
これは、独立行政法人情報処理推進機構（IPA）の「ゼロトラスト移行のすゝめ」でも採用されているフレームで、ゼロトラストの全体像を理解する起点として広く使われています。
この領域に分けられる理由は、攻撃者の動きをイメージすると分かりやすくなります。
攻撃者は、まず『誰として（ID）』『どの端末から（デバイス）』『どんな通信路で(ネットワーク)』『何のデータに(データ)』アクセスしようとし、その一連の動きが『ログとして記録され分析される(可視化)』──この5つはまさに、攻撃者が辿る経路と、それを検知するためのレイヤーに対応しています。
だからこそゼロトラストの実装フレームとして、この区切り方が標準的に使われているのです。
重要なのは、これら5つは独立した製品を入れれば終わり、ではないという点です。
たとえば『IDの一元管理基盤が、デバイスの健全性情報を参照して、安全でない端末からのアクセスを拒否する』といった連動があってこそ、ゼロトラストの『常に検証する』が成立します。
まとめ
ゼロトラストは、「社内は安全」という前提が崩れた現代に欠かせないセキュリティの考え方です。
境界防御モデルの限界を踏まえ、NISTの7原則に基づき、ID・デバイス・ネットワーク・データ・可視化の5領域を連動させて「常に検証する」仕組みを築くことが求められます。
また、ゼロトラストは一度に全社展開するものではなく、PoC（試験導入）→統合ID基盤の整備→最小権限化＋ログ統合→運用改善、という4ステップで段階的に成熟度を上げていくのが現実的です。
DirectCloudは、その実現に必要な多要素認証や操作ログなどの基本機能を備えています。
NAS・ファイルサーバーの
クラウド移行サービス説明書
- NAS/ファイルサーバーのクラウド移行をご検討の方におすすめ。
- ファイルサーバーを超えた厳格な管理機能をクラウドで実現。
各機能やオプション、導入事例、他社比較など、ボリュームたっぷりの内容。
NAS・ファイルサーバーの
クラウド移行サービス説明書
- NAS/ファイルサーバーのクラウド移行をご検討の方におすすめ。
- ファイルサーバーを超えた厳格な管理機能をクラウドで実現。
各機能やオプション、導入事例、他社比較など、ボリュームたっぷりの内容。
よくある質問（Q&A）
- ゼロトラストとVPNはどう違うのですか？
-
VPNは「社外から社内ネットワークへ安全に入るための通信路」を提供する仕組みであり、いったん社内に入れば、その先は社内ネットワーク全体を信頼する境界防御の延長線上にあります。
一方ゼロトラストは、「社内・社外を問わず、すべてのアクセスをその都度検証する」というセキュリティの考え方そのものです。
VPNが「経路の暗号化」を担う技術であるのに対し、ゼロトラストは「常に検証する」という設計思想であり、両者はそもそもの位置づけが異なります。 - ゼロトラストは中小企業にも必要ですか？
-
必要です。
むしろ中小企業のほうが、ゼロトラストの考え方を取り入れる優先度は高いと言えます。
近年は、サプライチェーンの一部として中小企業が狙われ、そこを踏み台に大企業へ侵入する攻撃が急増しているためです。
■サプライチェーンセキュリティについては以下を参照
https://directcloud.jp/contents/supplychain/
https://directcloud.jp/contents/supplychain2/
「うちは規模が小さいから狙われない」という前提はすでに通用しません。
一度にすべてを実装する必要はなく、まずは多要素認証の導入や、クラウドストレージのアクセス権を最小限に絞るところから段階的に始めることが現実的です。 - ゼロトラストを導入するとVPNは不要になりますか？
-
中長期的にはVPNへの依存度を下げていくのが望ましい方向ですが、移行直後にVPNを完全に廃止する必要はありません。
ゼロトラストの実装が進むと、IAP（Identity-Aware Proxy）やSWG／CASBといった、よりきめ細かなアクセス制御を行う仕組みが代替手段として機能します。
ただし、社内システムの一部がオンプレミスに残っているうちは、VPNを併用する移行期があるのが一般的です。「VPNを軸にしない設計に切り替えていく」と捉えるのが実態に近い理解です。 - NIST SP 800-207とは何ですか？
-
米国国立標準技術研究所（NIST）が2020年8月に公開した、ゼロトラスト・アーキテクチャの公式ガイドラインです。
正式名称は「Zero Trust Architecture」で、ゼロトラストの定義、基本原則（7つのTenets）、論理的な構成要素、実装アプローチ、移行時の考慮点までを体系的にまとめています。
米国連邦政府機関のセキュリティ標準として位置づけられているだけでなく、世界中の企業や日本国内のIPA・経済産業省の文書でも基準として参照されており、ゼロトラストを学ぶ際の世界標準ともいえる文書です。 - クラウドストレージを使えばゼロトラストになりますか？
-
クラウドストレージへの移行は、ゼロトラストを実現する重要な構成要素の一つですが、それだけでゼロトラストが完成するわけではありません。
ゼロトラストは、ID・デバイス・ネットワーク・データ・可視化の5領域を連動させて初めて機能する設計思想であり、クラウドストレージは主に「データ」領域を担います。
ただし、多要素認証・デバイス認証・アクセス権制御・操作ログといった機能を備えたクラウドストレージを選定することで、複数領域をまとめてカバーでき、ゼロトラスト実装の起点として有効です。
