フレームワーク活用ガイドひとことで言うと#
「社内ネットワーク＝安全」という前提を捨て、すべてのアクセスに対して明示的な検証・最小権限の付与・侵害を前提とした監視を行うセキュリティモデル。
押さえておきたい用語#
- Never Trust, Always Verify
- ゼロトラストの基本原則で、ネットワークの場所に関係なく毎回認証・認可を行うという考え方。
- Identity-Aware Proxy（IAP）
- ユーザーの認証情報とコンテキスト（デバイス状態・場所等）に基づきアクセスを動的に判断するプロキシを指す。
- Least Privilege（最小権限）
- タスクの遂行に必要最小限の権限のみを付与する原則を指す。JIT（Just-In-Time）アクセスと組み合わせることが多い。
- Microsegmentation（マイクロセグメンテーション）
- ネットワークを細かいセグメントに分割し、セグメント間の通信を個別に制御する手法である。横方向の移動を防ぐ。
- mTLS（相互TLS認証）
- サーバーとクライアントが互いに証明書を提示して認証する方式。サービス間通信の暗号化と認証を同時に実現する手法。
ゼロトラスト・アーキテクチャの全体像#
こんな悩みに効く#
- VPN接続さえすれば社内リソースに自由にアクセスできてしまう
- リモートワーク拡大で「社内ネットワーク＝安全」の前提が崩れている
- マイクロサービス間の通信が暗号化されておらず、横方向の移動リスクがある
基本の使い方#
具体例#
エンジニア120名の金融企業。コロナ禍でリモートワークに移行したが、VPN接続がボトルネックになり ピーク時に30%のパケットロス が発生。さらにVPN内部では全リソースにアクセス可能で、セキュリティ監査で「横方向移動リスク」が指摘されていた。
VPNを廃止しGoogle BeyondCorpモデルを参考にIAPを導入。全社員にMFAを必須化し、MDM連携でデバイストラストを実装。社内システムへのアクセスはIAP経由のみとし、アクセスごとにユーザー・デバイス・コンテキストを検証する方式に変更した。
VPN関連の障害が 月12件 → 0件。セキュリティインシデント（不正アクセス試行の成功件数）が 年8件 → 1件 に減少した。
エンジニア40名のヘルスケアSaaS。マイクロサービス 23個 がKubernetes上で稼働していたが、サービス間通信は平文HTTPで、クラスタ内部は「信頼されたネットワーク」として扱われていた。HIPAAコンプライアンス監査で「内部通信の暗号化不備」が重大な指摘事項となった。
Istio Service Meshを導入し、全サービス間通信にmTLSを適用。Network Policyでサービスごとの通信許可を明示的に定義し、デフォルトDeny Allとした。
導入後、HIPAA監査を 1回 で通過。また、マイクロセグメンテーションにより、あるサービスの脆弱性が突かれた際の影響範囲がクラスタ全体ではなく 当該サービスのみ に限定された。
従業員800名の製造業。工場のOT（制御系）ネットワークとIT（情報系）ネットワークがフラットに接続されており、ランサムウェア攻撃で 生産ラインが3日間停止 する被害を受けた。被害額は 約1.5億円。
OT/IT間にマイクロセグメンテーションを導入。制御系への通信は専用のジャンプサーバー経由のみとし、JITアクセス（申請 → 承認 → 時限付き接続）を必須化。異常な通信パターンをリアルタイム検知するSOARも導入した。
同様の攻撃の再発時、影響範囲が IT系の1セグメント に限定され、生産ラインへの波及を ゼロ に抑えた。セキュリティ保険料も年間 20% 削減された。
やりがちな失敗パターン#
- すべてを一度に導入しようとする — ゼロトラストは段階的に実装するもの。Identity基盤 → ネットワーク分離 → 継続的監視の順で進める
- VPNを廃止しただけでゼロトラストと称する — VPN廃止はゼロトラストの一要素に過ぎない。最小権限・マイクロセグメンテーション・継続的検証の3原則すべてが必要
- ユーザー体験を犠牲にする — MFAの過度な頻度やアクセス手順の複雑化はシャドーITの温床になる。リスクベース認証で低リスク操作のフリクションを下げる
- 内部脅威を軽視する — ゼロトラストは外部攻撃だけでなく内部脅威にも対応する。正規ユーザーの異常行動検知も重要な要素
まとめ#
ゼロトラスト・アーキテクチャは、「信頼しない、常に検証する」 を原則とし、明示的な検証・最小権限・侵害の想定の3つ の柱でセキュリティを構築するモデル。Identity基盤の強化、マイクロセグメンテーションによるネットワーク分離、SIEM/SOARによる継続的監視を段階的に導入する。VPN中心の境界型セキュリティからの脱却として、リモートワーク時代に不可欠なアーキテクチャとなっている。