- ゼロトラストZero Trust
- 社内のネットワークの中にあることを理由に信頼せず、利用者・端末・通信を、アクセスのたびに確かめるという考え方。
このページの内容
意味
ゼロトラストは、「社内か社外か」という場所で信頼を決めず、アクセスのたびに利用者や端末を確かめ、必要な分だけ権限を与えるという設計の考え方です。NIST は SP 800-207 で、その考え方と構成の例をまとめています。製品の名前ではなく、考え方の名前です。
| 観点 | 従来の境界型 | ゼロトラスト |
|---|---|---|
| 信頼の決め方 | 社内のネットワークにあれば信頼 | アクセスのたびに確かめる |
| 権限 | 広めに与えがち | 必要な分だけ |
| VPN の位置づけ | 社内に入る入口 | 多くの確かめ方の 1 つ |
事件のときの見方
- VPN 機器の脆弱性の事件では、「境界の入口が破られると中に広がる」という従来の設計の弱点が話題になりやすい
- 委託先に「ゼロトラストですか」と聞くより、多要素認証の有無や権限の絞り方を具体的に聞く方が答えが比べやすい
当社向けのサービスの管理画面へのアクセスで、多要素認証と、担当者ごとの権限の設定を行っているかをお知らせください。
secubell のレポートでの扱い
事件の要点で、この語が出てくるときは言い換えと原典へのリンクを添えています。
レポートの中身サンプルレポートで見る →
原典・参考にした資料
- 米国立標準技術研究所（NIST）「SP 800-207: Zero Trust Architecture」
- 米国立標準技術研究所（NIST）「Glossary: zero trust」
このページは secubell が公開情報をもとにまとめた一般的な解説です。法的な判断や、個別の状況への助言ではありません。内容は原典で確かめ、自社の契約・体制に合わせてお使いください。法令上の報告・通知が要るかどうかの最終的な判断は、お客様ご自身と、弁護士などの専門家で行ってください。