「ゼロトラスト」は製品ではない　日本政府と金融機関の段階導入

ゼロトラストアーキテクチャ（Zero Trust Architecture）は、社内ネットワークや会社支給端末を無条件に安全とみなさず、アクセスのたびに信頼の根拠を確かめる設計思想だ。米国立標準技術研究所（NIST）は2020年のSP 800-207で、防御の重心を固定されたネットワーク境界から利用者、資産、リソースへ移し、物理的な場所、ネットワーク上の位置、端末の所有者だけを理由に暗黙の信頼を与えないと定義した。認証を一度通過すれば、その後の操作まで安全と扱う方式ではない。

日本では、政府情報システム向けの適用方針と金融機関向けの調査が公表されている。ただし、どちらも全組織が同じ製品を同じ期限までに入れる計画ではない。業務と資産を把握し、対象を絞って導入し、運用結果を次の設計に戻す段階的な取り組みである。

「内側なら安全」という前提を外す

境界型防御は、組織のネットワークを内側と外側に分け、その境目で通信を制御する。ファイアウォールやネットワーク分離は現在も必要だが、クラウド上の業務システム、在宅勤務の端末、外部委託先との接続が増えると、内外の境界だけではアクセスの妥当性を説明しきれない。正規のアカウントが奪われた場合や、社内端末が侵害された場合には、接続元が内側に見えても不正な操作が起きる。

ゼロトラストが見るのは、利用者の本人性だけではない。端末が組織に登録されているか、OSやソフトウェアが安全な状態か、要求された操作が職務に必要か、普段と異なる場所や時間からの接続かといった情報を組み合わせる。条件を満たしても、付与するのはその操作に必要な最小限の権限にとどめる。

本人・端末・状況を一つの判断へ

アクセスの流れは、単純な三段階のチェックリストには収まらない。最初に利用者、端末、サービス、データを識別し、それぞれを管理対象として登録する。次に、本人認証と端末の状態確認を行い、アクセス先の機密性や接続時の状況をポリシーに照らす。許可した後もログや端末状態を観測し、条件が変われば追加認証や接続の遮断につなげる。

デジタル庁のDS-210は、政府情報システムへの適用方針を、①リソースを識別する、②主体とリソースを認証する、③ネットワークを安全とみなさない、④リソースの状態を確認する、⑤ポリシーで評価してアクセスを管理する、⑥リソースとアクセスを観測する、の6項目に整理している。元のIPアドレス、認証に使った要素、端末のOSや構成、位置情報などは判断材料の例であり、どれか一つが通行証になるわけではない。

日本政府の方針──一斉移行の工程表ではない

デジタル庁はDS-210を2022年6月30日に策定し、デジタル社会推進標準ガイドラインのうち、参考情報を示す「Informative」の文書に位置づけている。対象は政府情報システムのライフサイクル全体で、特定の製品や実装を採用すれば完了するという内容ではない。

DS-210は境界型防御の廃止も求めていない。ネットワークの送信元や宛先、ポートにもとづく制御は、複数あるアクセス制御の一つとして残る。変わるのは、ネットワークの内側に入ったという一点だけで後続のアクセスを許さず、利用者や端末など別の属性も評価する点だ。

公開資料から確認できるのは設計原則であり、各府省の移行完了率ではない。日本の政府機関を横断し、どのシステムが6方針を満たしたかを集計した公的資料は、本稿の執筆時点で確認できていない。

金融機関は調査から演習へ

金融分野では、金融庁が2021年に国内外の事例を調べた。同庁の委託調査は、ゼロトラストの導入や積極採用を進めていた国内金融機関は当時まだ少数で、検討する機関の主な目的はリモートワークの推進とクラウドサービスの活用だったと報告した。この結果は2021年時点の調査であり、現在の導入率を示す数字としては扱えない。

その後、論点はインシデント対応の訓練にも入った。金融庁が2025年10月に実施した「Delta Wall 2025」には銀行、信用金庫、信用組合、証券会社、資金移動業者、暗号資産交換業者など177先が参加し、境界型防御の限界を踏まえた内部対策とゼロトラストの意識向上が目的の一つに置かれた。演習への参加は、各社のシステムがゼロトラストへ移行済みであることを意味しない。日本の金融機関全体を横断した導入率も、公的資料では確認できていない。

導入は資産台帳から始まる

最初に要るのは製品の比較ではなく、守る対象の把握だ。利用者と権限、業務端末、サーバー、クラウドサービス、データ、業務フローを洗い出し、どの通信が何のために発生しているかを整理する。管理されていない端末や使われていない高権限アカウントが残れば、精密なアクセス制御の前提が崩れる。

金融庁の2021年調査は、現状把握・評価、リスク評価と方針策定、実装・導入、運用・展開のサイクルを繰り返す進め方を示した。既存の境界型防御とゼロトラストが長期にわたって共存する可能性も明記している。対象業務を絞って試し、誤判定、処理遅延、問い合わせの増加、ログの不足を確認してから広げる理由はここにある。

観測範囲を広げれば、侵害されたアカウントの動きは追いやすくなる。その一方で、利用者の接続場所や操作履歴を含むログが増える。誰がログを見られるのか、何の目的で使うのか、いつ消すのかを決めなければ、セキュリティ対策が新たなデータガバナンス上の負担になる。

よくある質問

ゼロトラストは特定の製品名なのか
製品名ではない。本人認証、端末管理、アクセス制御、ログ監視などを組み合わせる設計思想であり、一つの製品を入れただけでは完成しない。

ファイアウォールやVPNは不要になるのか
不要にはならない。デジタル庁の方針は境界型防御を否定せず、ネットワーク制御も複数の判断材料の一つとして扱う。VPNへ接続した後の利用者、端末、アクセス先を無条件に信頼しない点が違う。

多要素認証を導入すればゼロトラストになるのか
多要素認証は本人確認を強める要素だが、それだけでは端末の状態、アクセス先の機密性、必要な権限、接続後の挙動を評価できない。資産管理、最小権限、継続的な観測と組み合わせる必要がある。