ゼロトラストとは｜境界型防御との違いと2級

一言でいうと、ゼロトラストは「社内のネットワークにいるから信頼する」をやめ、アクセスのたびに誰が・どの端末で・何にアクセスするかを確かめる設計の考え方です。

米国の NIST が2020年8月に公表した SP 800-207「Zero Trust Architecture」は、ゼロトラストを、防御の対象を固定的なネットワーク境界から利用者・資産・リソースへ移す考え方と説明しています。さらに、物理的・ネットワーク上の場所（社内 LAN かインターネットか）や、資産の所有者（組織か個人か）だけを根拠に暗黙の信頼を与えないこと、利用者と端末の認証と認可を、リソースへのセッションを確立する前にそれぞれ行うことを挙げています。

日本の政府機関向けには、デジタル庁が「ゼロトラストアーキテクチャ適用方針」（DS-210、2022年6月30日）を公表しています（2026年9月時点）。背景には、クラウドの利用、テレワーク、私物端末の業務利用（BYOD）が広がり、守るべきものが組織のネットワークの内側に収まらなくなったことがあります。

従来の境界型防御は、ファイアウォールや VPN で「内側」と「外側」を分け、内側に入った通信を基本的に信頼する考え方です。次の表で、判断の単位と弱点を比べてください。

ゼロトラストは境界の防御を「全部やめる」考え方ではなく、境界の内側にいることを信頼の根拠にしない考え方です。ファイアウォールなどは引き続き、多層の防御の一部として使われます。

ゼロトラストは一つの製品ではなく、いくつかの仕組みを組み合わせて実現します。SP 800-207 は、アクセスを許可するかを判断する部分（ポリシーエンジンとポリシー管理者。合わせてポリシー決定点と呼ぶ）と、その判断に従って通信をつないだり切ったりする部分（ポリシー実施点）を分けて説明しています。

利用者の確かめ方はパスキー・FIDO2・多要素認証とは、端末の状態を把握する仕組みはMDMとMAMの違いで詳しく扱っています。

MCPC の公式ページでは、モバイルシステム技術検定2級（100問・100分・4者択一）の出題カテゴリに「情報セキュリティ管理」があり、比率は9%と示されています（2026年9月27日確認）。当サイトでは、公式テキスト『モバイルシステム技術テキスト 第11版』の第11章「情報セキュリティ」がこの範囲に当たると推定しています（章名からの判断で、公式に示された対応ではありません）。

4択では、次のような観点が考えられます。出題頻度は公表されていないので、特定の型が多いとは言えません。

• 考え方の理解：ゼロトラストに当てはまる記述と、境界型防御の記述を見分けさせる。
• 構成要素：端末の状態の確認や最小権限が判断に使われることを問う。
• 用語の出どころ：NIST SP 800-207 など、考え方を示した文書を問う。
• 誤解の見抜き：製品を入れれば完成する、誰にもアクセスさせない、といった言いすぎを不適切として選ばせる。

試験全体の形式・日程・受検料はモバイルシステム技術検定2級とはにまとめています。

名前の印象から誤解しやすい用語なので、次の表で言いすぎを確かめてください。

ソフトウェアの中身まで把握して守る考え方は、SBOMとはで解説しています。

ゼロトラストの考え方に基づく運用として、最も適切なものはどれか。

1. 1社内 LAN に接続した端末は信頼し、外部から届く通信だけを検査する
2. 2VPN で一度接続を認めた端末は、その後の通信の確認を省略する
3. 3社内からのアクセスでも、要求ごとに利用者と端末を確かめて許可する
4. 4ファイアウォールの規則を強化すれば、社内での認証は不要とみなす

正解：3。ネットワーク上の場所を信頼の根拠にせず、アクセスのたびに利用者と端末を確かめるのがゼロトラストの考え方です。

1は内側を信頼する境界型防御の考え方です。2は一度境界を越えた後の確認を省いており、侵入後に被害が広がる余地を残します。4も境界の強化だけで内側を信頼しており、ゼロトラストとは逆の考え方です。

次の記述ア・イの正誤の組合せとして、正しいものはどれか。

ア：NIST SP 800-207 は、アクセスの可否を判断する部分と、その判断に従って通信を通したり止めたりする部分を分けて説明している。

イ：ゼロトラストでは、利用者の認証だけで判断し、端末の OS の更新状況などの状態は判断に使わない。

1. 1ア：正　イ：正
2. 2ア：正　イ：誤
3. 3ア：誤　イ：正
4. 4ア：誤　イ：誤

正解：2。アは、ポリシー決定点とポリシー実施点を分ける SP 800-207 の説明として正しい内容です。イは誤りで、端末が管理下にあり安全な状態かどうかも、アクセスの判断の材料になります。

1と3はイを正しいとしている点、4はアまで誤りとしている点で当てはまりません。

ゼロトラストに関する記述として、最も不適切なものはどれか。

1. 1特定のセキュリティ製品を一つ導入すれば、それだけで実現できる
2. 2業務に必要な範囲と期間に限って、アクセスの権限を与えるようにする
3. 3普段と違う状況のアクセスでは、あらためて認証を求めることがある
4. 4アクセスのログを集めて監視し、状況の変化に応じて判断を見直す

正解：1。ゼロトラストは設計の考え方で、認証、端末の管理、権限の設計、監視などを組み合わせて実現します。製品一つで完成するものではありません。

2は最小権限の考え方、3は状況に応じて判断をやり直す考え方、4は継続的な監視の考え方で、いずれも適切です。

ほかのセキュリティ用語も本番の形式で試したい場合は、登録不要のモバイル2級の無料お試し20問で、4択と解説を確認できます。