ゼロトラストの7つの要件とは、米国標準技術研究所の文書NIST SP 800-207（2020年8月）が示す7つの基本的な考え方のことです。
今日やることは、この記事の7つの質問に「できている」「一部」「未着手」で答えることです。情シスの兼任者が1人で埋められない欄は、総務や工場の担当に聞きます。ゼロトラストの製品を調べるのは、そのあとで足ります。
「要件」と呼ばれますが、原文の語はtenets、つまり基本的な考え方です。法律の要件でも、認証の基準でもありません。NIST自身が理想の目標だと書き、すべてを純粋な形で実装できるとは限らないと認めています。
一方で、NISTは多くの組織がすでに要素の一部を持っているとも書いています。ゼロからの大工事と考える必要はありません。下の言い換えは私たちの言葉で、正確な定義は原文かPwCコンサルティングの日本語訳で確かめられます。
1. データとサービスは、すべて守る対象と考える
原文は、データの置き場と計算機のサービスをすべて「リソース」とみなすとしています。小さな機器、SaaS、指示を送るシステムも含み、個人の端末を含めるかは組織が決めます。
中小企業の言葉にすると、「サーバーだけが守る対象ではない」ということです。
- 確かめる質問：クラウドのサービス、ファイル共有、工場の機器まで含む一覧がありますか
たとえば、金属加工の会社で考えます。図面のファイルサーバー、生産管理のサーバー、受発注のクラウド、測定器のデータを集めるPCは、どれも一覧の候補です。担当が違っても1枚に載せます。
2. 社内の通信だから安全、とは考えない
原文は、場所に関係なくすべての通信を守るとしています。社内のネットワークにいるだけで信頼せず、社外からの要求と同じ基準を求めます。
「会社のLANにつながっているなら入れる」という扱いをやめる、という意味です。
- 確かめる質問：社内からなら、IDなしや暗号化なしで使える業務システムがありますか
古い機器ですぐに直せないものは、あっても不思議ではありません。一覧に印を付け、次の更新で直す対象にします。
3. 許可はシステムごと、その都度、最小限で出す
原文は、リソースへのアクセスをセッション単位で許可するとしています。必要最小限の権限で許可し、1つのリソースの認証がそのまま別のリソースの許可にはならないとも書いています。
毎回パスワードを入れるという意味ではありません。NISTの原文も、許可の直前とは限らず、最近確認していればよい場合があるとしています。大事なのは、1つ入れば全部見えるようにしない点です。
- 確かめる質問：社外からつないだ人は、全社のサーバーではなく必要なものだけが見えますか
VPNで社内ネットワーク全体に入る形だと、この質問に「はい」と答えにくくなります。アプリ単位で接続する方式はZTNAの製品比較で見られます。VPN機器そのものの点検はVPN機器の点検項目に分けました。
4. 誰が、どの機器で、どんな状況かを見て判断する
原文は、アクセスを動的なポリシーで決めるとしています。材料は利用者のID、アプリ、要求してきた機器の状態で、行動や環境の情報を含める場合もあります。ルールは業務の必要と、受け入れられるリスクに基づきます。
「IDとパスワードが合っていれば同じ扱い」から、状況を見て変える形に進みます。
- 確かめる質問：会社の管理外の端末や、更新されていない端末からの接続を制限できますか
高度な製品がなくても、考え方は使えます。「重要な図面は会社のPCからだけ」と決めて、その通りに設定できるかを見ます。
5. 機器の状態を測り続ける
原文は、組織の所有する機器と関連する機器の状態を監視し、測るとしています。最初から信頼される機器はありません。必要に応じて修正を当て、問題のある機器や管理外の機器は、接続を拒むなど別の扱いにします。
- 確かめる質問：どのPCの更新が遅れているか、いま一覧で分かりますか
- 確かめる質問：協力会社や個人の端末の扱いは決まっていますか
端末の状態と不審な動きを見る製品は、EDRの製品比較に並んでいます。製品を入れても、通知を誰が見るのかを決めないと効果は出にくくなります。
6. 使う前に、認証と認可を厳格に行う
原文は、これを取得、確認、評価、見直しを繰り返す動きだと説明しています。組織にはID、権限、資産を管理する仕組みが期待され、一部または全部のリソースに多要素認証を使うとしています。
- 確かめる質問：クラウドのサービスとVPNに多要素認証を使っていますか
- 確かめる質問：退職者のIDを、すべてのサービスから同じ日に止められますか
サービスごとにIDがばらばらだと、管理者の負担が大きくなります。まとめる製品はIDaaSの比較で確かめられます。ただし原文は、再認証の条件は安全性、使いやすさ、費用の釣り合いを見て決めるものとも書いています。入力の回数が増える問題は、ゼロトラストのデメリットで扱っています。
7. 情報を集めて、守りを改善する
原文は、機器、ネットワーク、通信の状態の情報を可能な限り集め、守りの改善に使うとしています。アクセスの要求の記録も対象です。
ポイントは「集める」で終わらず、ルールの見直しに使う点です。
- 確かめる質問：ログを誰が、どのくらいの頻度で見ますか
- 確かめる質問：見たことで変えた設定が、この1年に1つでもありますか
すべての情報を集めるのは中小企業では難しいので、最初は接続、認証、管理者の操作に絞る方法があります。NISTも、集めた情報そのものが狙われうると書いているので、保存先の権限も絞ります。
7つをまとめて確かめる表は？
答えを3段階で書き込み、社内で共有します。
| 番号 |
質問の要点 |
関係する担当 |
| 1 |
データとサービスの一覧がある |
総務、工場、情シス |
| 2 |
社内でも認証や暗号化がある |
情シス、保守の会社 |
| 3 |
必要なものだけに接続できる |
情シス、保守の会社 |
| 4 |
端末や状況で接続を変えられる |
情シス |
| 5 |
端末の更新状況が分かる |
情シス、協力会社の窓口 |
| 6 |
多要素認証とIDの停止ができる |
総務、情シス |
| 7 |
ログを見て設定を見直している |
情シス、社長 |
点数を付ける必要はありません。7つは同じ重さの試験科目ではないからです。
できていない所は、どの順で埋める？
NISTは移行の手順として、利用者、資産、業務の流れの洗い出しを先に置いています。情報が足りないと、必要なアクセスまで拒まれ、業務が止まるおそれがあるためです。誰も把握していないクラウドの利用があると、特に問題になると書いています。
中小企業での進め方は、次の形が考えられます。これは規格の定めではなく、私たちの整理です。
- 質問1の一覧を作る。ここが他の質問の土台になる
- 質問6の多要素認証と退職者IDの停止を進める
- 質問3と5を、次のVPN更新やPC更新の時期に合わせて検討する
- 質問2、4、7を、対象を絞って広げる
全部を一度に移す必要もありません。NISTは、大きな組織が1回の更新で移るのは考えにくく、ゼロトラストと従来の境界型が併存する期間が続きうると書いています。
また、全部のページに当てはまるわけでもありません。ログイン不要の公開サイトには、この原則は直接当てはまらないとNISTは説明しています。自社の製品紹介ページまで同じ考えで守る必要はありません。
どの資料を次に読めばいい？
実装の例を見るなら、NISTのSP 1800-35（2025年6月）があります。24の協力者と市販の技術で作った19の実装例が載っています。日本語では、IPAの産業サイバーセキュリティセンターの修了プロジェクトによる資料（2022年）が、ゼロトラストは製品を指すものではなく、ベンダーへの依頼だけでは実現しないと説明しています。政府の情報システム向けにはデジタル庁のDS-210（2022年6月30日）があります。
周辺の対策はネットワークセキュリティの対策一覧にあります。営業の場面で機器の購入を迫られたときは、UTMの義務化の確かめ方を手元に置いてください。
