ゼロトラスト
ゼロトラストとは、社内のネットワークにいるかどうかで信頼を決めず、アクセスのたびに「誰が、何に、いま許されているか」を確かめるという設計の考え方です。
別表記：ゼロトラスト／Zero Trust／ゼロトラストアーキテクチャ／ZTA／ゼロトラストセキュリティ／ゼロトラストモデル
言葉の意味
「信頼がゼロ」と聞くと、社員を疑う、何も信用しない、という意味に聞こえます。そうではありません。「場所を理由にした信頼をなくす」という意味です。
社内にいるから安全、社内のネットワークから来たから正規のアクセス、という判断をやめる。代わりに、どこから来たかにかかわらず、毎回確かめる。これがゼロトラストの中身です。
米国の標準技術研究所（NIST）が2020年に考え方を文書として整理したことで、業界で共通の言葉になりました。特定の製品の名前ではなく、設計の方針を指す言葉です。
従来の考え方との違い
かつてのセキュリティは、城と堀にたとえられる設計でした。社内ネットワークという城の周りに、ファイアウォールという堀を巡らせる。堀の外から入ってくるものは厳しく調べるが、いったん城の中に入れば、比較的自由に動ける。社内のパソコンから社内のサーバーにアクセスするときは、いちいち確認しない。
この設計は、社員が全員オフィスにいて、システムが全部社内にある時代には合理的でした。
その前提が崩れました。社員は自宅やカフェから仕事をします。システムはクラウド上にあり、社内ネットワークの外にあります。取引先や委託先が社内システムに接続します。どこまでが内側で、どこからが外側なのかが、はっきりしなくなりました。
もうひとつ、内側に入り込まれたときの被害が大きくなりました。攻撃者が社員のパソコンを一台乗っ取れば、城の中に入ったことになります。そこから先は確認がないので、社内のあちこちに手が届きます。実際の侵害事例の多くは、この形で広がります。
内側だから安全、という前提をやめる。これがゼロトラストに移った理由です。
具体的には何をするのか
ゼロトラストは考え方なので、やることは企業によって違います。ただ、共通する要素はあります。
本人であることを、しっかり確かめる。 パスワードだけでなく、スマートフォンへの通知や生体認証を組み合わせます。パスワードが漏れただけでは入れない状態にします。
使っている端末の状態も確かめる。 本人であっても、ウイルス対策が切れている端末、更新されていない端末からのアクセスは制限します。誰かだけでなく、何から来ているかも見ます。
権限を必要最小限に絞る。 入れたからといって何でもできるわけではなく、その人の業務に必要な範囲だけに限定します。
一度通したら終わりにしない。 朝ログインしたから一日中自由、ではなく、重要なシステムに触るときや、普段と違う場所から来たときには、改めて確認します。
ネットワークを細かく区切る。 社内を一つの大きな部屋にせず、小さな部屋に分けます。一つの部屋に入られても、隣の部屋には別の確認が要るようにします。
すべてを記録し、見張る。 誰がいつ何にアクセスしたかを記録し、普段と違う動きがあれば気づけるようにします。
身近なたとえ
オフィスの入退室で考えると分かりやすくなります。
従来の設計は、受付で一度社員証を見せれば、建物の中はどこへでも行ける方式です。ゼロトラストは、部屋ごとに社員証をかざす方式です。会議室にも、サーバー室にも、経理の部屋にも、それぞれ扉があり、その扉に入ってよい人だけが開けられます。受付を通ったという事実は、サーバー室に入ってよい理由にはなりません。
後者のほうが面倒に見えますが、一枚の社員証が盗まれたときの被害が、まったく違います。
AIエージェントとの関係
AIエージェントは、ゼロトラストが想定していなかった主体です。
社内で動き、正規のIDを持ち、正規の経路からアクセスします。本人確認も通ります。端末も正常です。不正アクセスとしては検知されません。それでいて、指示を読み違えたり、読み込んだ資料の中の文に引きずられたりして、意図しない操作をすることがあります。
「誰が」の部分に、人ではないものが入ってきます。そして、「誰の代理で」「何をどこまで任されて」動いているのかまで確かめないと、そのアクセスが正当かどうかを判断できません。アクセスのたびに検証するという原則は変わりませんが、検証すべき内容が増えることになります。
ここでVC（Verifiable Credentials）が使われます。AIエージェントに「誰の委任で、何をどこまで、いつまで」の証明書を持たせ、扉の側がそれを確かめて開け閉めする。これは、ゼロトラストの「アクセスのたびに確かめる」を、AIエージェントの委任関係にまで広げたものと言えます。考え方としては、ゼロトラストの延長線上にあります。
よくある誤解
ゼロトラストとは、VPNをやめることか。 VPNをやめることは、結果としてよく起きますが、目的ではありません。社内ネットワークに入ったかどうかで信頼を決めない、という方針を実現する過程で、VPNの役割が薄れていくということです。
製品を導入すれば、ゼロトラストになるか。 なりません。ゼロトラストは設計の方針で、製品はその一部を実現する道具です。本人確認の強化、端末の管理、権限の絞り込み、記録と監視を、それぞれ整えていく積み重ねで近づいていきます。一度の導入で完了するものではありません。
社員を信用しない、という意味か。 違います。信用しないのは「場所」です。社内にいるという事実を、信頼の根拠にしない。社員本人は、毎回確かめることで、むしろ守られます。本人のIDが盗まれたときに、本人になりすました動きを止められるからです。
小さな会社には関係ないか。 関係あります。社員が少なくても、クラウドを使い、自宅から仕事をし、取引先とデータをやり取りしていれば、城と堀の前提はすでに崩れています。規模に関係なく、場所で信頼を決めない設計のほうが安全です。
