ゼロトラストとは?「性善説を捨てる」セキュリティの考え方

ゼロトラストとは何か

ゼロトラストとは、「社内ネットワークの中にいるから安全」「一度認証されたから、その後は信用してよい」といった従来の前提を捨て、すべてのアクセスを、その都度、正当なものかどうか検証するという考え方に基づいたセキュリティの方針です。「Trust(信頼)」を「Zero(ゼロ)」にする、つまり「決して信頼せず、常に確認する」という意味合いの言葉です。

従来の考え方との違い

従来のセキュリティ対策の多くは、「社内ネットワークの内側」と「インターネットなど外側」を明確に分け、内側にさえ入れば、比較的自由にシステムへアクセスできる、という考え方(城の周りに壁を築いて守る、というイメージ)が主流でした。

しかしこの考え方には、「一度その壁の内側に侵入されてしまうと、内部で自由に動き回られてしまう」という弱点があります。実際に、社内の関係者になりすました不正アクセスや、内部の人間による情報持ち出しといった被害も報告されており、「内側だから安全」という前提が通用しなくなってきました。

ゼロトラストの基本的な考え方

• 社内・社外を問わず、すべてのアクセスを疑ってかかる
• アクセスするたびに、その人物・端末が本当に正当なものか、都度確認する
• 与える権限は、その作業に必要な最低限の範囲にとどめる

具体的にどう実現されるのか

• 一度のログインだけでなく、操作のたびに追加の確認(二段階認証など)を求める仕組み
• 利用者ごとに、業務上必要な情報にしかアクセスできないよう、細かく権限を制限する仕組み
• アクセスしている端末が、会社の定めるセキュリティ基準を満たしているかを都度チェックする仕組み

なぜ今、重要視されているのか

テレワークの普及により、社員が社外からアクセスする機会が増え、「社内ネットワークの中か外か」という境界線そのものが曖昧になってきました。この変化に対応するセキュリティの考え方として、ゼロトラストへの注目が急速に高まっています。

複数の報道・公開情報を確認しながら、特定の立場に偏らないよう心がけてまとめています。

現場で根強い「社内だから安全」という考え方

ゼロトラストの話をするとき、実際の現場で感じるのは、「社内だから安全」という考え方が意外と根強いことです。

• 1つのアカウントを複数人で使う
• 退職した人のアカウントが残っている
• 「社内ネットワークだから大丈夫」と考える
• 権限を必要以上に広く付けている

問題が起きていない間は、「これまで大丈夫だったから大丈夫」となりがちです。でも、ゼロトラストの考え方は、「誰だから信用する」のではなく、その都度、必要な権限やアクセスを確認するという発想です。セキュリティは「怪しい人を疑う」というより、人が間違えることを前提に仕組みを作ることだと説明すると伝わりやすいと感じています。

要点を整理すると

ゼロトラストは、「性善説」に頼らず、常に検証を行うことでセキュリティを高める考え方です。働き方が多様化する中で、今後さらに標準的な考え方になっていくと見られています。

参考

• ゼロトラスト移行のすゝめ - IPA 独立行政法人 情報処理推進機構
• テレワークにおけるセキュリティ確保 - 総務省

※ 内容は変化することがあるため、最新の情報は上記の公式ページもあわせてご確認ください。

関連記事:最小権限の原則とは

関連記事:なぜ今、個人情報の流出が相次いでいるのか(2026年10月)

関連記事:サプライチェーン攻撃とは

あわせて読みたい:SSO(シングルサインオン)とは