ゼロトラストは、「社内ネットワークの内側だから安全」とは考えず、誰が・どの端末から・何にアクセスするかを毎回確認する考え方です。米国の標準化機関NISTも指針（SP 800-207）を公開しています。特定の製品の名前ではなく、ID・端末・ネットワーク・データの守りを組み合わせて実現します。
境界型防御との違い
| 項目 | 境界型防御 | ゼロトラスト |
|---|---|---|
| 前提 | 社内は安全、外は危険 | どこも信頼しない |
| 確認 | 入口（VPN・ファイアウォール）で1回 | アクセスのたびに、IDと端末の状態を確認 |
| 侵入されたら | 内部で広がりやすい | 権限を絞り、広がりにくくする |
段階的な始め方
- IDの強化：すべてのクラウドサービスに多要素認証、IDの一元管理（多要素認証の導入）
- 端末の把握と保護：資産管理、EDR、OSの更新（EDR）
- 権限の最小化：管理者権限の削減、アクセス範囲の見直し（最小権限）
- アクセスの条件づけ：管理された端末からのみアクセスを許可する
- 可視化：ログを集めて監視する（ログ監視）
「ゼロトラスト製品を入れたから安全」ではありません。政府の共通基盤でもゼロトラストの考え方を取り入れつつ漏洩が起きた例が報じられています。設定と運用の継続が大切です。
出典：NIST SP 800-207「Zero Trust Architecture」、内閣サイバーセキュリティセンター