ゼロトラストアーキテクチャ — アイデンティティという「新しい境界」

城壁の崩壊と「Identity is the New Perimeter」

2010年代まで、エンタープライズセキュリティは「境界防御（城と堀モデル）」に依存していました。ファイアウォールで外部攻撃を防ぎ、一度VPNで内部ネットワークに入ったユーザーとデバイスを「信頼された存在」として扱うパラダイムです。

しかし、SaaS の爆発的普及、リモートワークの常態化、そしてサプライチェーンを経由した高度なラテラルムーブメントにより、「内側は安全」という前提は完全に崩壊しました。VPN 接続後に権限を持ったまま動き回る APT グループの手口は、この前提の無力さを何度も証明しています。

ゼロトラスト（Zero Trust） とは、「ネットワークの場所（内か外か）に関わらず、デフォルトで一切の信頼を付与せず、アクセス要求ごとに明示的に検証する」というアーキテクチャの根本転換です。現代において、ファイアウォールに代わる新しい境界は**「アイデンティティ（ユーザーとデバイスの身元）」**です。

ゼロトラストの憲法：NIST SP 800-207 (7つの基本原則)

米国国立標準技術研究所（NIST）が定義した「SP 800-207」は、世界中の政府・企業が指針とするゼロトラストのバイブルです。以下の7つの原則から構成されます。

1. すべてのデータソースとコンピューティングサービスを「リソース」とみなす
   • 社内サーバーだけでなく、SaaS、API、IoTデバイスまですべてが保護対象。
2. ネットワークの場所に関係なく、すべての通信を保護する
   • 「社内LANだから暗号化しなくてよい」という甘えを排除し、すべてTLS等で暗号化する。
3. 企業リソースへのアクセスは、一回の「セッション」ごとに許可される
   • 朝ログインしたからといって夕方まで信頼が続くわけではない。継続的な認証が必要。
4. アクセス許可は、[動的ポリシー]によって決定される
   • ユーザーの権限だけでなく、デバイスのパッチ状況、位置情報、脅威レベル（リスクスコア）を総合的にリアルタイム評価（コンテキストベースのアクセス制御）する。
5. すべての資産の整合性とセキュリティ状態を監視・測定する
   • 「野良PC（未管理デバイス）」からのアクセスは拒否し、EDRが有効になっているデバイスのみを許可する。
6. すべての認証・認可は、アクセスを許可される「前」に、厳格に実施される
   • 単一のパスワードは不可。多要素認証（MFA）をベースとし、最小権限の原則を適用する。
7. 資産・ネットワークから可能な限りの情報を収集し、セキュリティ状態を改善する
   • SIEMやログアナリティクスを活用し、ポリシーを継続的に機械学習・調整していく。

ZTNA（Zero Trust Network Access）へのパラダイムシフト

レガシーなVPNは、接続した瞬間に「社内ネットワーク全体へのブロードキャストアクセス」を許してしまい、ランサムウェア等の横展開の温床となっていました。これを置き換えるのが ZTNA（Zero Trust Network Access） です。

マイクロセグメンテーション（Micro-segmentation）

内部に侵入した攻撃者の水平移動（ラテラルムーブメント）を物理的に封じ込める技術です。 従来のVLANによる「大きな区画」ではなく、サーバー単位、あるいはプロセス単位で「どのアプリからどのアプリへの通信を許可するか」をソフトウェア定義（Software-Defined）で制御します。