Moshiru
会社情報記事一覧無料スキャン

会社のセキュリティ教科書　第12部 12-2

ゼロトラストとは｜境界型との違い、7つの原則と中小企業での始め方

公開：2026年10月15日／最終更新：同／Moshiru 岡﨑 悠太

こんなときに役立ちます

  • テレワークやクラウドが増え、社内と社外の境目がなくなってきたとき
  • VPNの入れ替えや多要素認証の導入を、どの順番で進めるか決めたいとき
  • 支援士・Security+・CISSP・AWSの勉強で、NIST SP 800-207の考え方をつかみたいとき

読み終えたあと、社内でこう言えます

「ゼロトラストに近づける順番を、アカウントの整理から決めました」

結論：ゼロトラストとは、社内のネットワークにいることを理由に信用せず、アクセスのたびに確かめる考え方です。製品の名前ではありません。「誰が・どの端末で・何に」アクセスするかを毎回確かめ、必要な分だけ許すのが中身です。中小企業は、アカウントの整理と多要素認証、端末の管理、ログの確認の順で少しずつ近づけます。

境界型は社内を信用し、ゼロトラストはアクセスのたびに人・端末・状況を確かめる

ゼロトラストと境界型セキュリティの違いは？

これまでの守り方は「境界型」と呼ばれます。会社のネットワークの出入口にファイアウォールを置き、内側は安全、外側は危険と分ける考え方です。お城の堀と門にたとえられます。

比べる点境界型ゼロトラスト
信用の根拠社内のネットワークにいること人・端末・状況を毎回確かめた結果
確かめる時点入口を通るとき1回アクセスのたび、使っている間も
許す範囲中に入れば広く使える必要な資源だけ、必要な分だけ
弱いところ1台乗っ取られると中で広がるID管理と運用の手間がかかる

クラウドのサービスやテレワークが増えると、守るべきものが堀の外に出ていきます。また、メールで送られたウイルスが社内の1台に入ると、境界型では内側を自由に動かれてしまいます。この2つが、ゼロトラストが求められる理由です。

デジタル庁の「ゼロトラストアーキテクチャ適用方針」（DS-210、2022年6月）も、ネットワークの対策を捨てるのではないとしています。境界の守りは、アクセス制御の一つとして残します。考え方の土台は1-7 多層防御と同じです。

NIST SP 800-207の7つの原則とは？

ゼロトラストの代表的な定義は、米国国立標準技術研究所（NIST）が2020年8月に出したSP 800-207「Zero Trust Architecture」です。7つの原則（tenets）を、会社の言葉に置き換えると次のようになります。

  1. すべてを守る対象にする：サーバーだけでなく、クラウドのサービスや私物の端末も資源として扱う。
  2. 場所に関係なく通信を守る：社内のネットワークからでも、社外と同じ条件で確かめ、暗号化する。
  3. セッションごとに許す：1つの資源への許可で、ほかの資源まで使えるようにしない。権限は最小にする。
  4. 状況を見て決める：誰か、どの端末か、いつどこからか、普段と違う動きか、で判断する。
  5. 端末の状態を見続ける：更新されていない端末や、管理していない端末は制限する。
  6. 認証と認可を繰り返す：使っている間も確かめ直す。多要素認証をよく使う。
  7. 情報を集めて改善する：アクセスや通信の記録を集め、ルールの見直しに使う。

判断する所と、止める所を分ける

SP 800-207は、仕組みを「判断する部分」と「実際に通す・止める部分」に分けています。用語は試験でもよく出ます。

名前役割
PE（ポリシーエンジン）アクセスを許すか、断るか、取り消すかを最終的に決める
PA（ポリシー管理者）PEの決定を受けて、通り道を開けたり閉じたりする指示を出す
PEP（ポリシー実施点）利用者と資源の間に立ち、実際に接続を通す・止める

PEとPAを合わせたものがPDP（ポリシー決定点）です。会社の例でいえば、ログインの可否を決めるクラウドのID管理サービスが判断側、アプリの手前で通信を止める仕組みが実施側に当たります。

どこまで進んでいるかを測る：5つの柱

米国のサイバーセキュリティ・インフラストラクチャ安全保障庁（CISA）は、2023年4月に「Zero Trust Maturity Model」第2.0版を出しました。守る対象を5つの柱に分け、それぞれを4段階で測ります。

柱中小企業での具体例
アイデンティティ（ID）社員ごとのアカウント、多要素認証、退職者の削除
デバイス（端末）会社のパソコンとスマホの一覧、更新と暗号化の確認
ネットワーク通信の暗号化、社内LANの分割、VPNの見直し
アプリとワークロード使っているクラウドサービスへのアクセス制御
データ大事なファイルの置き場所と、共有リンクの範囲

4段階は、手作業中心の「Traditional」から「Initial」「Advanced」を経て、自動化された「Optimal」へ進みます。柱をまたいで、見える化と分析、自動化、ガバナンスの3つが共通の土台とされています。

NISTも2025年6月に、24社の製品を組み合わせた19通りの構築例をSP 1800-35として公開しました。決まった1つの製品で完成するものではない、ということが分かります。

中小企業はゼロトラストを何から始める？

ゼロトラストは、一度に完成させるものではありません。デジタル庁の適用方針も、資源の特定から評価・改善までを繰り返し、成熟度を上げていくものとしています。中小企業なら、次の順番がおすすめです。

  1. 資源を書き出す：使っているクラウドサービス、端末、大事なデータを一覧にする（5-1 情報資産台帳）。
  2. アカウントを整える：共用アカウントをなくし、退職者を消し、ログインを1か所にまとめる。
  3. 多要素認証を全員に：メールとクラウドストレージから。できればパスキーへ（3-7 パスキー）。
  4. 端末を管理する：会社の端末を登録し、更新されていない端末からのログインを制限する（4-10 EDRとMDM）。
  5. ログを見る：普段と違う場所や時間のログインに気づけるようにする。

たとえば社員30人の設計事務所では（架空の例）

社員の半分がテレワークで、図面はクラウドストレージ、会計は社内のサーバーにあるとします。社外からはVPNで社内につなぎ、VPNのパスワードは全員共通でした。

この会社がまず手をつけるのは、VPNの共通パスワードをやめ、社員ごとのアカウントと多要素認証にすることです。次に、クラウドストレージのログインを会社の端末だけに絞ります。VPNを今すぐなくす必要はありません。古いVPN機器の弱点はVPNの点検にまとめています。

チェックシートではこう聞かれる

よくある設問答え方の例
社外から社内システムやクラウドへ接続する際、多要素認証を必須にしていますか。はい。メール・クラウドストレージ・VPNのすべてで、社員ごとのアカウントに多要素認証を設定しています。
業務に使う端末を管理し、管理外の端末からの接続を制限していますか。いいえ。現在は端末の一覧のみで、〇月までに会社の端末以外からのログインを制限する予定です。
アクセス権限は必要最小限に設定していますか。はい。部署ごとに閲覧できるフォルダを分け、半年に1回、権限と退職者のアカウントを見直しています。

「ゼロトラストを導入していますか」と直接聞かれたときも、製品名ではなく、上のような具体的な対策で答えると伝わります。多要素認証の設問は多要素認証の設問の答え方も参考にしてください。

試験ではここが問われる

支援士・Security+ 3・AWS 6・CISSP 3

  • 定義：ネットワーク上の場所や端末の持ち主を理由に、暗黙に信用しない。資源へのセッションの前に認証と認可を行います。
  • 構成要素：PE（決める）・PA（通り道を指示する）・PEP（実際に通す・止める）。PEとPAでPDPです。Security+ではコントロールプレーン（判断）とデータプレーン（実施）の区別も問われます。
  • 境界型との違い：「社内だから安全」という前提を置かない。侵入されることを前提に、横への広がりを抑えます。
  • 関連用語：マイクロセグメンテーション（細かくネットワークを分ける）、SASE（ネットワークとセキュリティの機能をクラウドでまとめて提供する考え方）、最小権限。
  • ゼロトラストは製品ではない：ID管理・端末管理・ログなどを組み合わせた設計の考え方です。

確認問題

問1 NIST SP 800-207で、利用者と資源の間に立ち、実際に接続を通したり止めたりする構成要素はどれですか。

  1. ア ポリシーエンジン（PE）
  2. イ ポリシー管理者（PA）
  3. ウ ポリシー実施点（PEP）
  4. エ 認証局（CA）
答えと解説
正解：ウ　PEPが接続を実際に通す・止める役割です。PEは許可するかを決め、PAはその決定を受けて通り道を開け閉めする指示を出します。CAは証明書を発行する機関で、ゼロトラストの構成要素ではありません。

問2 ゼロトラストの考え方として、最も適切なものはどれですか。

  1. ア 社内LANからのアクセスは、認証を省いてよい
  2. イ 一度ログインすれば、すべての社内システムを使えるようにする
  3. ウ アクセスのたびに人・端末・状況を確かめ、必要な資源だけを許す
  4. エ ファイアウォールを強くすれば、内部の対策はいらない
答えと解説
正解：ウ　場所で信用せず、アクセスのたびに確かめて最小限を許すのがゼロトラストです。アとエは境界型の前提です。イは1つの許可でほかの資源まで使えるため、セッションごとに許す原則に反します。

問3 社員20人の会計事務所（架空）は、全員共通のパスワードでVPNを使っています。限られた予算で、まず取り組む対策として最も適切なものはどれですか。

  1. ア VPNをすぐに廃止し、すべてを新しい製品に置き換える
  2. イ 社員ごとのアカウントにし、多要素認証を設定する
  3. ウ VPNのパスワードを月1回変えて、全員に通知する
  4. エ 社内LANの通信は安全なので、そのままにする
答えと解説
正解：イ　誰がアクセスしたかを区別し、確かめる仕組みがゼロトラストの土台です。アは一度にやろうとして費用と混乱が大きくなります。ウは共用のままで、誰の操作か分かりません。エは境界型の前提です。

よくある質問

ゼロトラストを導入するには、専用の製品が必要ですか？
いいえ、ゼロトラストは製品ではなく考え方です。今使っているクラウドサービスの多要素認証やアクセス制限の機能で、始められることも多くあります。足りない部分だけを、後から製品で補います。
VPNはもういらなくなりますか？
すぐに捨てる必要はありません。社内のサーバーを使う間は、VPNを社員ごとのアカウントと多要素認証で使い続けるのが現実的です。業務がクラウドに移るにつれて、VPNで守る範囲を小さくしていきます。
ゼロトラストと多層防御は、どちらを選べばよいですか？
選ぶものではなく、両方を組み合わせます。多層防御は対策を重ねる考え方で、ゼロトラストは場所で信用しないという考え方です。ゼロトラストでも、境界の守りは層の一つとして残します。

この記事のまとめ

アカウントの棚卸しは任せて、直す判断だけに

Moshiruは、打合せなしでテキストだけでお受けします。メールやクラウドサービスのアカウントを一覧にし、退職者や共用のアカウント、多要素認証の抜けを洗い出します。直す順番もあわせてお返しします。

アカウント棚卸しパックを見る100人まで5万円（税別）メニューにないことを頼む文面で合意するまで料金はかかりません

参考にした資料

  1. NIST「SP 800-207 Zero Trust Architecture」（2020年8月）
  2. デジタル庁「ゼロトラストアーキテクチャ適用方針」（DS-210、2022年6月）
  3. CISA「Zero Trust Maturity Model」Version 2.0（2023年4月）
  4. Microsoft Learn「CISA Zero Trust Maturity Model の解説」
  5. NIST「SP 1800-35 Implementing a Zero Trust Architecture」（2025年6月）
  6. IPA 産業サイバーセキュリティセンター「ゼロトラストという戦術の使い方」（2021年6月）