AI・テクノロジー

ゼロトラストアーキテクチャ入門：Never Trust, Always Verify の実装ステップ

anchang info 約1分で読めます
# ゼロトラスト # セキュリティ # アーキテクチャ # エンタープライズ # 2026

結論：境界型セキュリティは終わり、すべてを検証する時代へ

ゼロトラストアーキテクチャ（Zero Trust Architecture, ZTA）とは、「何も信頼せず、常に検証する（Never Trust, Always Verify）」を原則とするセキュリティモデルです。従来の「社内ネットワークは安全、外部は危険」という境界型モデルを捨て、すべてのアクセスを都度検証します。

リモートワーク普及、SaaS 利用拡大、サプライチェーン攻撃増加により、従来の「城と堀」モデルは限界を迎えました。本記事では ZTA の原則、構成要素、導入ステップ、実例を整理します。

従来の境界型セキュリティの限界

境界型セキュリティは「城と堀モデル」と呼ばれます。ファイアウォールで社内と社外を分離し、社内は信頼するという考え方です。しかし、以下の変化で前提が崩れました。

  • リモートワークの常態化: 社員が社外からアクセスすることが当たり前になった
  • クラウド・SaaS化: 守るべきデータが社内サーバではなく外部クラウドにある
  • 内部脅威: 内部犯行やアカウント乗っ取りで「堀の内側」も危険
  • BYOD・IoT: 社内ネットワークに未管理デバイスが増加

「一度中に入れば自由に動ける」という設計が、侵入後の横展開（ラテラルムーブメント）を許す大きなリスクとなりました。

ゼロトラストの主要原則

1. 最小権限アクセス（Least Privilege）

ユーザやサービスには、必要最小限の権限のみを付与します。管理者権限の常用を避け、必要なときだけ一時的に昇格させる Just-In-Time アクセスが典型例です。

2. 継続的検証（Continuous Verification）

ログイン時だけでなく、セッション中も継続的にユーザ・デバイス・コンテキストを検証します。普段と異なる場所・時刻・挙動が検出されれば再認証を要求します。

3. マイクロセグメンテーション

ネットワークを細かく分割し、サービス間の通信も認証・認可の対象とします。侵害されても被害範囲を最小化できます。

4. 暗号化の徹底

通信・保存データを暗号化し、内部ネットワークでも平文通信を認めない方針が基本です。TLS 1.3、mTLS、データベースの透過的暗号化などを組み合わせます。

5. コンテキストベースのアクセス制御

単純な ID/パスワードではなく、デバイス状態・位置情報・時刻・過去の振る舞いといった多次元の情報に基づいて判断します。

アーキテクチャの構成要素

ZTA は3つの主要コンポーネントで構成されます。

Identity Provider (IdP)

ユーザ・サービス・デバイスのアイデンティティを管理します。Okta、Azure AD（Entra ID）、Google Workspace などが代表例です。MFA、SSO、SCIM による自動プロビジョニングを担います。

Policy Engine (PE)

「誰が、どのリソースに、どの条件でアクセスできるか」を判定する頭脳です。入力はユーザ属性・デバイス状態・リクエスト内容で、出力は許可/拒否/追加認証要求です。

Policy Enforcement Point (PEP)

実際にアクセスを制御するゲートウェイです。HTTPリバースプロキシ、サービスメッシュのサイドカー、IAP（Identity-Aware Proxy）として実装されます。

# OPA (Open Policy Agent) によるポリシー例
package authz

default allow = false

allow {
  input.user.mfa_verified == true
  input.device.compliant == true
  input.resource.sensitivity != "top_secret"
}

allow {
  input.user.role == "admin"
  input.user.mfa_verified == true
  time.now_ns() < input.user.admin_grant_expires_at
}

導入の5ステップ

Step 1: 資産のインベントリ化

守るべきものを把握することから始めます。アプリケーション、データストア、API、エンドポイント、サービスアカウントを棚卸しします。CSV での管理は限界があるため、CMDB や CAASM ツールの活用が現実的です。

Step 2: アイデンティティ管理の強化

IdP を統合し、MFA と SSO を全社展開します。パスキー（FIDO2）や WebAuthn の導入でフィッシング耐性を高めます。

# 組織全体でMFAを必須化する（Okta CLIの例）
okta apps policy update --require-mfa true \
  --allowed-factors webauthn,okta_verify_push

Step 3: ネットワークの可視化とセグメント化

通信フローを可視化し、不要な経路を遮断します。クラウド環境では VPC ピアリング、Security Group、Service Mesh（Istio、Linkerd）でマイクロセグメンテーションを実装します。

Step 4: デバイス信頼性の検証

MDM や EDR と連携し、コンプライアントなデバイスのみアクセス許可します。OS のパッチ状態、暗号化の有無、EDR の稼働状況を IdP 認証時にチェックします。

Step 5: 継続的モニタリング

SIEM（Splunk、Sentinel、Chronicle）や UEBA で異常を検出し、Policy Engine にフィードバックします。SOAR と連携すれば、疑わしいセッションを自動で切断できます。

企業事例：Google BeyondCorp

Google は2011年のAurora攻撃を契機に、社内VPNを廃止してすべてのアプリをインターネット経由でアクセスさせる BeyondCorp を構築しました。

  • すべてのアクセスは IAP（Identity-Aware Proxy）を経由
  • ユーザ ID とデバイス証明書の両方で認証
  • 社内ネットワークにいても、社外にいても扱いは同じ

この思想は現在、Google Cloud の IAP、Cloudflare Access、Zscaler ZPA などの商用サービスとして利用可能です。

導入メリット

  • セキュリティ強化: ラテラルムーブメントを防ぎ、侵害被害を局所化
  • コンプライアンス対応: NIST SP 800-207、ISO 27001、改正個人情報保護法への適合が容易
  • ハイブリッドワーク対応: VPN不要でどこからでも安全にアクセス可能
  • 運用コスト削減: 長期的にはVPN機器や拠点ファイアウォールの保守コストが削減

まとめ

ゼロトラストは製品ではなくアーキテクチャ思想です。一夜にして完成するものではなく、アイデンティティ基盤 → デバイス管理 → ネットワーク制御 → モニタリングの順で段階的に進めるのが現実的です。まずは MFA と SSO の徹底から始めることで、最も費用対効果の高い一歩を踏み出せます。

関連記事