ゼロトラストとは？NISTの7原則とCISA成熟度モデルで作る導入ロードマップ

従来は「社内ネットワークは安全、外は危険」として、境界（Firewall/VPN）を守る手法が主流でした。しかし、クラウド利用の拡大とリモートワークの常態化により、守るべきデータは社外に散らばり、このモデルは機能しなくなっています。

特に重要なのは、SaaS利用の増加に伴い、VPNを経由させると通信速度が遅くなる（ボトルネックになる）問題も、ゼロトラスト移行の大きな動機となっています。

米国国立標準技術研究所（NIST）が定めた、ゼロトラストの定義となる7つの原則です。

1. すべてのデータソースとコンピューティングリソースをリソースとみなす
   PCやサーバーだけでなく、モバイル端末やIoT機器、SaaS上のデータも全て守るべき対象です。
2. ネットワークの場所に関係なく、すべての通信を保護する
   社内LANからのアクセスであっても、社外からのアクセスと同様に暗号化し、信頼しません。
3. リソースへのアクセスは、セッション単位で付与する
   一度認証したからといって、無期限の許可は与えません。アクセスごとに許可を最小限にします。
4. リソースへのアクセスは、動的なポリシー（属性）によって決定する
   「誰が」「どの端末から」「何時に」「どんな状態で」アクセスしているかをリアルタイムに評価します。
5. すべての資産の整合性とセキュリティ動作を監視し、測定する
   OSが最新か、ウイルス対策ソフトが動いているか（Device Health）を常にチェックします。
6. すべてのリソースの認証と認可を動的かつ厳格に行う
   IDパスワードだけでなく、MFA（多要素認証）を必須とし、継続的に再認証を行います。
7. 資産、ネットワークインフラ、通信の現状について多くの情報を収集し、セキュリティ体制の改善に利用する
   ログを収集・分析し、ポリシーの穴を塞ぎ続けます。

米国土安全保障省（CISA）は、ゼロトラストを実装するための領域を5つの柱（Pillars）に整理しています。

全てを一気に入れ替える予算は多くの企業にはありません。DX戦略の全体像を見据えつつ、費用対効果の高い順に進めるロードマップを推奨します。

自社がゼロトラストへ向かう準備ができているか確認しましょう。