問題
テクノロジ系
問92 ゼロトラストセキュリティの考え方に基づいた情報セキュリティ対策の例として，適切なものはどれか。
選択肢
- アインターネットと内部ネットワークの境界にファイアウォールを配置し，インターネットからの脅威を境界で遮断する。
- イ内部ネットワークからであっても外部ネットワークからであっても，ネットワーク上の情報資源へのアクセスには二要素認証を利用する。
- ウ内部ネットワークに接続する PC にインストールされたソフトウェアに脆弱性が発見されたときに，そのセキュリティパッチは公開後直ちに適用する。
- エ内部ネットワークに接続する PC のうち，インターネットにアクセスする PC だけにマルウェア対策ソフトをインストールする。
解説
正解：イ
概要
この問題は，ゼロトラストセキュリティの考え方に基づいた対策の例を問うものです。従来の境界型セキュリティとゼロトラストの違いを正しく理解することがポイントです。
正解の理由
ゼロトラストセキュリティとは，「全てのネットワークを信頼しない」という前提のもと，内部ネットワークからのアクセスであっても外部からのアクセスであっても，全てのアクセスを検証・認証する考え方です。内外問わず二要素認証を要求するイが，ゼロトラストに基づく対策の典型例です。イが正解です。
各選択肢の解説
ア（×）: 境界にファイアウォールを置いてインターネットからの脅威を遮断するのは，従来の「境界型セキュリティ」の考え方であり，ゼロトラストとは対照的です。
イ（〇）: 内部・外部を問わず全アクセスに二要素認証を要求することが，ゼロトラストに基づく対策の例です。
ウ（×）: セキュリティパッチの適用は重要な対策ですが，ゼロトラストの概念とは直接関係しません。
エ（×）: インターネットにアクセスするPCのみにマルウェア対策ソフトを入れるのは，内部ネットワークへの信頼を前提とした従来の考え方です。ゼロトラストでは全端末に対策が必要です。
ポイント
ゼロトラストの基本原則は「常に検証せよ（Never trust, always verify）」です。テレワークの普及により，境界の概念が曖昧になった現在，ゼロトラストの考え方が重要性を増しています。