情報セキュリティマネジメント試験 練習問題 25：ネットワークアーキテクチャ：境界防御との対比

ゼロトラストは「何も信頼しない（Never Trust, Always Verify）」を前提とし、社内・社外を問わずすべてのアクセスに対して検証を行うセキュリティモデルです。

【正解の理由】
従来の境界防御モデルは「社内は安全、社外は危険」という前提に立っていましたが、内部不正やマルウェア感染などのリスクに対応しきれません。ゼロトラストでは、アクセスのたびにユーザーやデバイスの認証・認可を確認し、最小権限の原則に基づいてアクセスを許可します。

【不正解の理由】
• 「一度接続を許可されたデバイスは以降すべてのリソースへ無制限にアクセスできる」という説明は誤り。ゼロトラストはアクセスのたびに継続的な検証を行う点が本質であり、これは境界防御的な考え方に近い
• 「社外からのアクセスを一切禁止し社内のみ許可する境界防御の考え方」という説明は誤り。これはむしろゼロトラストが見直しの対象とする従来の境界防御モデルの説明である
• 「ファイアウォールさえ設置すればアクセス制御や認証の仕組みは不要」という説明は誤り。ゼロトラストはファイアウォールのみに依存せず、多層的な認証・認可の仕組みを重視する
• 「特定の管理者アカウントのみ認証を省略できる例外を設ける」という説明は誤り。ゼロトラストはすべてのアクセスを検証対象とし、例外を設けない点が基本原則である