ゼロトラストとは？情シスが最初の90日で取り組む実践ステップ

ゼロトラストとは、社内ネットワークの内側にいることを信頼の根拠にせず、すべてのアクセス要求を「誰が・どの端末で・どんな状態で・何に」の観点で毎回検証し、必要最小限の権限だけを与えるセキュリティの設計思想です。特定の製品の名前ではなく、米国NISTがSP 800-207で整理した考え方の総称で、購入して終わるものではありません。

ランサムウェアの侵入経路が「VPNの認証情報1つ」であり、侵入後は社内ネットワークの信頼を利用して横に広がる以上、境界の内側を無条件に信頼する設計は成り立たなくなりました。ここではNISTの原則と境界型防御との違いを押さえたうえで、Microsoft 365やGoogle Workspaceを使う中小規模の組織が、追加の製品をほとんど買わずに最初の90日で何を変えられるかを、日程と完了条件つきで整理します。

ゼロトラストの定義とNIST SP 800-207の基本原則

NIST SP 800-207（2020年）は、ゼロトラストを「ネットワークの場所を前提とした暗黙の信頼を排除し、リソースごとにアクセスの判断を行うための概念と設計の集合」と位置づけています。同文書が挙げる基本原則は7つで、要約すると次の通りです。

1. データもサービスも機器も、すべてを保護対象の「リソース」として扱う（プリンターやIoTも含む）
2. ネットワークの場所にかかわらず、すべての通信を保護する（社内LANでも暗号化と認証を前提にする）
3. アクセスはリソース単位・セッション単位で許可する（一度入れたら何でも見える、を認めない）
4. 許可の判断は、IDだけでなく端末の状態や振る舞いなどを含む動的なポリシーで行う
5. 自組織の資産の完全性とセキュリティ状態を継続的に監視・測定する
6. 認証と認可はアクセスを許可する前に厳格に行い、状況の変化に応じて再評価する
7. 資産・ネットワーク・通信の状態をできる限り収集し、ポリシーの改善に使う

実務では、これを「明示的に検証する（Verify explicitly）」「最小権限（Least privilege）」「侵害を前提にする（Assume breach）」の3原則に圧縮して語ることが多く、Microsoftをはじめ多くのベンダーが同じ整理を使っています。7原則の1〜4と6が「明示的な検証」と「最小権限」に、5と7が「侵害前提」（侵入されている前提で監視し、被害範囲を狭める）に対応します。

アーキテクチャとしては、アクセスの可否を決める「ポリシー決定ポイント（PDP）」と、その決定を実際に適用する「ポリシー適用ポイント（PEP）」を分けて考えます。Microsoft 365で言えば、Entra IDの条件付きアクセスがPDP、各アプリケーションやプロキシがPEPです。この分離があるからこそ、「準拠していない端末からはSharePointをブラウザ閲覧のみに制限する」といった判断を、アプリごとに作り込まずに一元化できます。

境界型防御との違い：なぜ「中にいる」が信頼の根拠にならないのか

境界型防御は、ファイアウォールの内側を「安全な場所」、外側を「危険な場所」と見なし、境界を越えるときにだけ認証します。VPNはその境界に開けた穴で、認証に通った端末は社内LANのIPアドレスを得て、ファイルサーバーにもADにも直接届きます。ランサムウェアの攻撃者がやっているのは、まさにこの前提の悪用です。フィッシングで得た1人分のVPN認証情報（MFAなし）で入り、社内ではWindowsの標準機能（SMB、RDP、PsExec）で横に広がり、ドメイン管理者の資格情報を取ってバックアップから消していく。境界の内側では誰も検証しないので、止める機会がありません。

VPNとの関係：置き換えではなく、条件を付ける

「ゼロトラストにするとVPNは不要」という説明は半分正しく、半分は誤解です。問題なのはVPNという技術ではなく、「VPNに入れた端末にネットワーク全体へのアクセスを与える」運用です。VPNを残したまま、（1）VPN認証にMFAを必須にする、（2）接続できる端末を会社管理の端末に限定する、（3）VPN内で端末やユーザーごとに到達できる宛先をファイアウォールで絞る、の3つを加えれば、それはゼロトラストの原則に沿ったVPNになります。WireGuardのように鍵とIPが1対1で固定される方式なら、（3）は送信元IP単位のルールで実現できます。

判断の目安は「VPN経由でアクセスするオンプレのシステムがいくつ残っているか」です。数個なら条件付きVPNで十分で、ZTNA製品の費用と運用は正当化しにくいでしょう。逆に、リモートの人数が数百人でオンプレのアプリが十を超えるなら、アプリ単位で公開できるZTNAの方が、ファイアウォールのルールを人手で維持するより事故が減ります。

よくある誤解と弱点

最も多い誤解は「ゼロトラスト製品を買えば実現する」です。どの製品も、特定のリソース群に対するPEPを提供しているに過ぎません。IDの整理、端末の管理、権限の見直しという地味な作業を飛ばして製品を入れると、「ゼロトラストのゲートウェイの裏に、誰でも管理者になれるファイルサーバーがある」状態になります。次に多いのが「全部やらないと意味がない」で、これは逆です。MFAを管理者に必須にした日から、攻撃の成功率は下がります。

弱点も明確にあります。第一に、IDプロバイダー（IdP）が単一障害点になることです。Entra IDやGoogleの認証が止まれば、全社の業務が止まります。緊急用アカウントを用意し、IdP障害時に何ができて何ができないかをBCPに書いておく必要があります。第二に、SSOや先進認証に対応しないレガシーシステムです。これらはPDPの外側に残るので、ネットワークで隔離し、アクセスできる端末とユーザーを限定して「例外の一覧」として管理します。第三に、利用者の負担です。アクセスのたびに認証を求めると、人は回避策を探します。会社管理の端末では長めのセッションを許可し、パスキーで認証の摩擦を減らすといった設計が、原則を守りながら反発を避ける現実解です。

ポリシーの例外にした「サービスアカウント」と「API連携用のアカウント」は、ゼロトラストで最も見落とされる抜け道です。人のアカウントにMFAを必須にしても、バックアップソフトや複合機が使う共用アカウントがMFAなし・パスワード固定・管理者権限のまま残っていれば、攻撃者はそこを使います。90日プランのDay 1〜30で、人以外のアカウントの一覧を作り、権限を絞り、対話型サインインを禁止することを最初の作業に含めてください。

90日プラン：ID→端末→アクセス制御とログ

順序には理由があります。端末のポリシーを作るにはまず「誰の端末か」がIDと結びついている必要があり、アクセス制御のポリシーは「IDと端末の状態」を入力にするからです。IDより先に端末やネットワークから始めると、後で作り直しになります。以下はMicrosoft 365（Business Premium以上）またはGoogle Workspaceを使う100〜500人規模を想定しており、道具は既に契約に含まれているものだけで構成しています。

Day 1〜30の作業はMFAの全社導入とSaaSのSSO/SCIM対応チェックリストで手順化しています。Day 31〜60の端末管理はIntuneでの端末管理、EDRの選び方はEDRの解説を参照してください。Day 61〜90のネットワーク分離は、まずサーバー用・IoT用・ゲスト用の3つに分けるだけでも横展開の経路を大きく減らせます。

条件付きアクセスに「準拠端末を要求」を追加するときは、必ず「レポート専用」で1〜2週間、誰がブロックされるかを見てから有効化してください。役員の私物iPad、委託先の端末、会議室の共用PCは、ここで初めて存在が分かることが多く、いきなり有効化すると初日の朝に問い合わせが集中します。ブロックではなく「ブラウザ閲覧のみ許可、ダウンロード不可」から始める方が、反発を招かずに原則を通せます。

SASE・ZTNA・SSEとの関係

製品カテゴリの略語は、ゼロトラストのどの部分をクラウドサービスとして提供するかで整理すると混乱しません。

Microsoft 365を中心にした組織なら、条件付きアクセス・Intune・Defenderの組み合わせで、SSEを買わずに90日プランの範囲は完了します。SSE/SASEの検討が意味を持つのは、拠点が複数あって拠点間のWANも更改する時期か、オンプレのアプリが多くZTNAが必要になったときです。

小さく始めるコツ

最初のPEPは、最も多くの人が毎日使い、最も多くの機密データがあるアプリに置きます。ほとんどの組織ではそれがMicrosoft 365かGoogle Workspaceで、ここに「MFA必須」「準拠端末からのみ」を適用できれば、メール・ファイル・チャットの3つが一度に守られます。ネットワークのマイクロセグメンテーションから始めるのは、効果が出るまでの時間が長く、途中で頓挫しやすいので後回しにします。

進捗は「感覚」ではなく4つの数字で追います。MFA登録率、準拠端末率、全体管理者の人数、「全員」に開かれた共有の数です。この4つを月次で経営層に見せると、ゼロトラストが抽象論ではなく「先月より侵入されにくくなった」という報告に変わります。そして、すべてのポリシーは最初にレポート専用で流し、影響を数えてから有効化する。この習慣が、原則を曲げずに現場との衝突を避ける唯一の方法です。

よくある質問

ゼロトラストとはどういう意味？

「社内ネットワークにいるから信頼する」という暗黙の前提をなくし、アクセスのたびにID・端末・アクセス先の条件を検証して最小限の権限を与える設計思想です。NIST SP 800-207が定義を整理しており、特定の製品を指す言葉ではありません。

ゼロトラストの3原則は？

「明示的に検証する」「最小権限でアクセスを許可する」「侵害を前提にする」の3つです。NISTの7つの基本原則を実務向けに圧縮したもので、それぞれMFAと端末状態の評価、権限とセグメントの絞り込み、ログ収集と監視に対応します。

ゼロトラストとVPNの違いは？

VPNは「ネットワークに入る」ための技術で、ゼロトラストは「何に、どの条件でアクセスできるか」を決める設計です。対立するものではなく、VPNにMFA・端末の限定・宛先の制限を加えれば、ゼロトラストの原則に沿ったVPNになります。オンプレのアプリが多い場合は、アプリ単位で公開するZTNAに置き換える選択肢があります。

ゼロトラストの弱点は？

IDプロバイダーが止まると全社が止まる単一障害点になること、SSOに対応しないレガシーシステムが例外として残ること、認証の頻度が上がると利用者が回避策を探すことの3つです。緊急用アカウント、例外の一覧管理、会社端末での長めのセッションとパスキーの活用で、それぞれ緩和できます。

まとめ

ゼロトラストは「中にいれば安全」という前提を捨て、ID・端末・アクセス先の条件で毎回判断する設計です。実装の順序はID→端末→アクセス制御とログで、Microsoft 365やGoogle Workspaceの契約に含まれる機能だけで最初の90日は進められます。VPNは捨てるのではなく条件を付け、サービスアカウントと管理外端末という抜け道を先に塞ぐ。ポリシーは必ずレポート専用で影響を数えてから有効化し、MFA登録率・準拠端末率・管理者数・全員共有の数の4つで進捗を示す。この進め方なら、製品を買う前に「侵入されにくく、広がりにくい」状態に近づけます。

次に読む

• 多要素認証（MFA）を全社導入する手順：Microsoft 365 / Google Workspaceの設定とパスキー移行
• Entra IDの条件付きアクセス入門：中小企業が最初に設定すべき5つのポリシー
• VLANで自宅・小規模オフィスのネットワークを分離する：設計と設定の手順