Overview
ゼロトラストネットワーク（Zero Trust Network）とは、「何も信頼しない、常に検証する（Never Trust, Always Verify）」を基本原則とするセキュリティモデルです。従来の境界型セキュリティ（社内ネットワークは安全、外部は危険）という前提を否定し、ネットワークの内部・外部を問わず、すべてのアクセスを検証・認可する考え方です。
この概念は、2010年にForrester Research社のアナリストであるJohn Kindervag氏によって提唱されました。その後、2014年にGoogleが自社のセキュリティモデル「BeyondCorp」として実装・公開したことで、業界全体に大きな影響を与えました。2020年にはNIST（米国国立標準技術研究所）がSP 800-207としてゼロトラストアーキテクチャの標準文書を策定しています。
ゼロトラストが注目される背景には、クラウドサービスの普及、リモートワークの拡大、サプライチェーン攻撃の増加があります。従来の「城と堀（Castle and Moat）」モデルでは、一度境界を突破されると内部を自由に移動されてしまう問題がありました。ゼロトラストはこの構造的欠陥を根本から解消します。
日本でもデジタル庁が「ゼロトラストアーキテクチャ適用方針」を公表するなど、政府・企業の両面でゼロトラストへの移行が本格化しています。ただし、ゼロトラストは単一の製品で実現できるものではなく、ID管理、デバイス管理、ネットワークセグメンテーション、アクセス制御など、複数の技術と運用を組み合わせた包括的なアプローチが必要です。
Details
ゼロトラストの基本原則
- すべてのアクセスを検証する：ネットワークの場所に関係なく、すべてのアクセス要求に対して認証・認可を行う。社内LANからのアクセスも例外としない。
- 最小権限の原則：ユーザーやデバイスには、業務遂行に必要最小限のアクセス権限のみを付与する。Just-In-Time（JIT）アクセスやJust-Enough-Access（JEA）を活用する。
- 侵害を前提とする：すべてのシステムは既に侵害されている可能性があると想定し、被害の最小化（ブラストレディウスの縮小）を設計原則とする。マイクロセグメンテーションによりラテラルムーブメント（横移動）を防ぐ。
NIST SP 800-207 ゼロトラストアーキテクチャ
NISTが定義するゼロトラストアーキテクチャ（ZTA）の中核コンポーネントは以下の通りです。
- ポリシーエンジン（PE）：アクセスの許可・拒否を決定する頭脳。ユーザーID、デバイスの状態、アクセス先のリソース、環境コンテキストなどを総合的に判断する。
- ポリシーアドミニストレーター（PA）：PEの判断に基づいて通信経路の確立・遮断を実行する。
- ポリシーエンフォースメントポイント（PEP）：実際にアクセスを制御するゲートウェイ。PEとPAの指示に従って通信を許可・遮断する。
Google BeyondCorpモデル
GoogleのBeyondCorpは、ゼロトラストを大規模に実装した先駆的な事例です。VPNを廃止し、すべてのアプリケーションをインターネット上に公開した上で、ユーザーのID、デバイスの信頼度、アクセスコンテキストに基づいてアクセスを制御します。デバイスインベントリ、デバイス証明書、アクセスプロキシなどの技術要素で構成されています。
ZTNA（Zero Trust Network Access）
ZTNAはゼロトラストの原則をリモートアクセスに適用した技術カテゴリです。従来のVPNの代替として位置づけられ、アプリケーション単位でのアクセス制御を実現します。Zscaler Private Access、Cloudflare Access、Palo Alto Prisma Accessなどの製品があります。
Security Measures
- 01ID基盤の強化：すべてのアクセスの起点となるID管理基盤（IdP）を整備し、多要素認証（MFA）を全ユーザーに適用する。条件付きアクセスポリシーで、リスクに応じた認証強度を動的に調整する。
- 02デバイスの信頼性評価：MDM/UEM（統合エンドポイント管理）でデバイスの状態（OSバージョン、パッチ適用状況、暗号化状態、マルウェア対策）を継続的に評価し、基準を満たさないデバイスのアクセスを制限する。
- 03マイクロセグメンテーションの導入：ネットワークを細かく分割し、ワークロード間の通信を最小限に制限する。侵害時のラテラルムーブメントを防止する。
- 04継続的な監視とリスク評価：アクセス許可後もユーザーの行動やデバイスの状態を継続的に監視し、異常を検知した場合はリアルタイムでアクセスを制限・遮断する。
- 05データの分類と保護：組織内のデータを機密レベルに応じて分類し、各レベルに応じたアクセス制御と暗号化を適用する。
- 06段階的な導入アプローチ：全社一括導入ではなく、重要度の高いシステムから段階的にゼロトラストを適用する。パイロットプロジェクトで検証してから展開する。
Incidents
📋 米国連邦政府へのSolarWinds攻撃とゼロトラスト大統領令（2020年〜2021年）
2020年のSolarWindsサプライチェーン攻撃では、米国の複数の政府機関が侵害されました。攻撃者は内部ネットワークに侵入後、従来の境界型防御を突破して自由にラテラルムーブメントを行いました。この事件を受け、2021年5月にバイデン大統領が「国家のサイバーセキュリティ改善に関する大統領令（EO 14028）」を発令し、連邦政府機関にゼロトラストアーキテクチャの採用を義務付けました。
📋 Googleのゼロトラスト移行「BeyondCorp」成功事例（2011年〜）
Googleは2009年の中国からの高度な標的型攻撃（Operation Aurora）を契機に、2011年からゼロトラストモデル「BeyondCorp」への全面移行を開始しました。従業員のVPNを廃止し、すべてのアプリケーションをインターネット上で直接公開する構成に変更。10万人以上の従業員が、場所を問わず安全にシステムにアクセスできる環境を実現しました。
📋 Colonial Pipeline ランサムウェア攻撃（2021年）
2021年5月、米国最大の石油パイプライン企業Colonial Pipelineがランサムウェア攻撃を受け、パイプラインの操業を6日間停止せざるを得なくなりました。攻撃者は、多要素認証が設定されていないVPNアカウントの漏洩した認証情報を使って侵入しました。ゼロトラストの原則に基づく多要素認証と最小権限アクセスが実装されていれば、被害を防止または大幅に軽減できた事例として広く引用されています。