ゼロトラストとは｜境界型防御との違いと2級

一言でいうと、ゼロトラストは「社内のネットワークにいるから信頼する」をやめ、アクセスのたびに誰が・どの端末で・何にアクセスするかを確かめる設計の考え方です。

米国の NIST が2020年8月に公表した SP 800-207「Zero Trust Architecture」は、ゼロトラストを、防御の対象を固定的なネットワーク境界から利用者・資産・リソースへ移す考え方と説明しています。さらに、物理的・ネットワーク上の場所（社内 LAN かインターネットか）や、資産の所有者（組織か個人か）だけを根拠に暗黙の信頼を与えないこと、利用者と端末の認証と認可を、リソースへのセッションを確立する前にそれぞれ行うことを挙げています。

日本の政府機関向けには、デジタル庁が「ゼロトラストアーキテクチャ適用方針」（DS-210、2022年6月30日）を公表しています（2026年9月時点）。背景には、クラウドの利用、テレワーク、私物端末の業務利用（BYOD）が広がり、守るべきものが組織のネットワークの内側に収まらなくなったことがあります。

アプリへ委ねる権限の実務例はSaaS・OAuth連携の安全性で、連携の所有者と許可範囲から整理します。

従来の境界型防御は、ファイアウォールや VPN で「内側」と「外側」を分け、内側に入った通信を基本的に信頼する考え方です。次の表で、判断の単位と弱点を比べてください。

ゼロトラストは境界の防御を「全部やめる」考え方ではなく、境界の内側にいることを信頼の根拠にしない考え方です。ファイアウォールなどは引き続き、多層の防御の一部として使われます。

ゼロトラストは一つの製品ではなく、いくつかの仕組みを組み合わせて実現します。SP 800-207 は、アクセスを許可するかを判断する部分（ポリシーエンジンとポリシー管理者。合わせてポリシー決定点と呼ぶ）と、その判断に従って通信をつないだり切ったりする部分（ポリシー実施点）を分けて説明しています。

利用者の確かめ方はパスキー・FIDO2・多要素認証とは、端末の状態を把握する仕組みはMDMとMAMの違いで詳しく扱っています。

MCPC の公式ページでは、モバイルシステム技術検定2級（100問・100分・4者択一）の出題カテゴリに「情報セキュリティ管理」があり、比率は9%と示されています（2026年9月27日確認）。当サイトでは、公式テキスト『モバイルシステム技術テキスト 第11版』の第11章「情報セキュリティ」がこの範囲に当たると推定しています（章名からの判断で、公式に示された対応ではありません）。

4択では、次のような観点が考えられます。出題頻度は公表されていないので、特定の型が多いとは言えません。

• ✓考え方の理解：ゼロトラストに当てはまる記述と、境界型防御の記述を見分けさせる。
• ✓構成要素：端末の状態の確認や最小権限が判断に使われることを問う。
• ✓用語の出どころ：NIST SP 800-207 など、考え方を示した文書を問う。
• ✓誤解の見抜き：製品を入れれば完成する、誰にもアクセスさせない、といった言いすぎを不適切として選ばせる。

試験全体の形式・日程・受検料はモバイルシステム技術検定2級とはにまとめています。情報・サイバーセキュリティ管理士でのネットワーク・クラウドの論点はネットワーク・Webセキュリティの対策とクラウド・APIの対策で扱っています。

名前の印象から誤解しやすい用語なので、次の表で言いすぎを確かめてください。

ソフトウェアの中身まで把握して守る考え方は、SBOMとはで解説しています。