暗黙のトラストゾーン
暗黙のトラストゾーンは、アクセスを判断・強制する地点（ポリシー決定点・施行点。PDP/PEP）を通った後に、その中にいるすべての主体が、少なくともその地点と同じ程度に信頼されてしまう領域です（NIST SP 800-207）。
SP 800-207 は、空港の保安検査にたとえています。保安検査場（PDP/PEP）を通った後の搭乗エリアでは、乗客も職員も乗務員も、みな信頼された者として動き回れます。この搭乗エリアが暗黙のトラストゾーンです。検査場は、自分より先の場所では追加の判断ができません。
ゼロトラストは、この暗黙のトラストゾーンを
できるだけ小さくすることを目指します。
SP 800-207 は、ゼロトラストの前提として、企業のプライベートネットワーク全体を、暗黙のトラストゾーンとはみなさないとしています。社内のネットワークにも常に攻撃者がいるものとして振る舞い、全ての接続を認証し、全ての通信を暗号化するといった対応を挙げています。
詳細な対応策
1. 全ての接続を認証
ゼロトラストモデルでは、全ての接続を信頼せず、必ず認証を行うことが求められます。これには次のような手法が含まれます。
多要素認証（MFA）:
パスワードに加えて、追加の認証要素（例: モバイルデバイスのコード、バイオメトリクス）を使用することで、認証の強度を高めます。
シングルサインオン（SSO）:
一度の認証で複数のシステムやアプリケーションにアクセスできるようにし、ユーザーの利便性を保ちつつ、セキュリティを確保します。
動的なリスクベース認証:
ユーザーの行動や環境に基づいて、認証の強度を動的に調整します。異常な行動が検出された場合には、追加の認証手段を要求することができます。
2. 全ての通信を
暗号化
ゼロトラストモデルでは、
ネットワーク内外の全ての通信を暗号化することが重要です。これにより、データが転送中に盗聴されるリスクを軽減します。
TLS:
通信を暗号化するために、Transport Layer Security（TLS）を使用します。古い SSL は使いません。
相手のサーバの証明書を検証することと組み合わせて、データの盗聴や改ざんを防ぎます。
VPNの使用:
仮想プライベートネットワーク（VPN）を使用して、リモートアクセス時の通信を保護します。
VPNは通信を暗号化し、ネットワークの境界を越えた通信を安全に行います。
エンドツーエンド暗号化（E2EE）:
データが送信者から受信者に届くまでの間、常に暗号化されている状態を保ち、途中の機器に中身を見せません。
ただし、相手を正しく認証しなければ、なりすました中間者と暗号化してしまうので、
中間者攻撃は防げません。
3. ネットワークのセグメンテーション
ネットワークを細かく分割し、異なるセグメント間の通信を制御することで、攻撃が一つのセグメント内に留まるようにします。
マイクロセグメンテーション:
仮想化環境やクラウド環境でのセグメンテーション手法で、仮想マシン（VM）やコンテナ間の通信を細かく制御します。
ネットワーク
アクセス制御（NAC）:
ネットワークに接続するデバイスの認証と制御を行い、ポリシーに基づいたアクセス制御を実施します。
4. 継続的な監視と検証
常にネットワークトラフィックを監視し、異常な活動を検出して対応することが重要です。
侵入検知システム（IDS）/侵入防止システム（IPS）:
ネットワークトラフィックを監視し、異常な活動や攻撃の兆候を検出・防止します。
セキュリティ情報およびイベント管理（SIEM）:
複数のセキュリティデバイスからのログデータを統合・分析し、セキュリティインシデントをリアルタイムで検出します。
エンドポイント検出と対応（EDR）:
エンドポイントデバイス上の活動を監視し、異常な行動や攻撃の兆候を検出・対応します。
5. ポリシーの一貫した適用
ゼロトラストモデルでは、一貫した
セキュリティポリシーの適用が求められます。
ポリシーエンジンの使用（
ゼロトラストを参照）:
ポリシーエンジンは、全てのアクセスリクエストに対してポリシーを適用し、許可・拒否の判断を行います。
ポリシーの継続的な更新:
ビジネス要件や脅威環境の変化に応じて、ポリシーを継続的に見直し・更新します。
これらの対応策を実施することで、ゼロトラストモデルを効果的に導入し、内部・外部の脅威からシステムを保護することが可能になります。
出典
確認日：2026年10月15日
最終更新：2026年10月15日 14:38
