ゼロトラスト

ひと言でいうと

• 特定の製品名ではなく、セキュリティの考え方（方針）の名前
• 「社内だから安全」と決めず、アクセスのたびに「誰が・どの端末で・どこまで」を確認する
• 二要素認証や最小権限など、具体的な対策のもとになる考え方

昔の守り方は、お城の城壁のように、会社のネットワークの内側を安全とみなす形でした（境界型防御）。今は、家の回線、クラウド、AI サービスと、仕事の場所もデータも外に散らばっています。場所で安全を決めるのではなく、その都度確認するのがゼロトラストです。

確認するのは、次の3つです。

• 誰が：本人かどうか（二要素認証など）
• どの端末で：安全な状態の端末かどうか（セキュリティの更新が済んでいるか、など）
• どこまで：仕事に必要な範囲だけかどうか（最小権限）

例

社内のシステムでも、外出先からのアクセスでも、ログインのたびに本人確認があり、見られる範囲は担当の仕事の分だけになっている。セキュリティの更新が済んでいない端末からは、見られる範囲がさらに狭くなる。

知っておくと役立つこと

• 製品名ではなく、考え方：「ゼロトラスト」という名前のツールや商品が、1つあるわけではありません。「ゼロトラスト対応」とうたう商品もありますが、買えば完成する、というものではなく、考え方を実現するためのツールのひとつです。
• AI の利用にも同じ考え方：AI サービスやエージェントに権限を渡すときも、「任せる範囲を毎回決める」が当てはまります。