ある企業のセキュリティチームが、社内ネットワーク境界での防御だけでなく、データ・アプリケーション・ID・エンドポイントなど複数の層に独立したセキュリティコントロールを配置する設計方針を採用しようとしている。この考え方を表す用語として最も適切なものはどれか。
- A. 多層防御（Defense in Depth）：複数のセキュリティ層を重ねて1つの層が破られても被害を最小化する考え方
- B. 最小特権（Least Privilege）：ユーザーに必要最小限の権限のみを与える考え方
- C. 共有責任（Shared Responsibility）：セキュリティ責任をプロバイダーと顧客で分担する考え方
- D. ゼロトラスト（Zero Trust）：すべてのリクエストを明示的に検証する考え方
解答と解説を見る
正解: A
多層防御（Defense in Depth）は、単一の防御策に依存するのではなく、物理セキュリティ・ネットワーク・境界・コンピューティング・アプリケーション・データなど複数の層にそれぞれ独立したセキュリティコントロールを設ける設計思想である。1つの層が突破されても次の層が攻撃者の進行を阻止できる。選択肢Dのゼロトラストは境界防御の否定とすべてのアクセスの明示的検証を核とする思想であり、多層防御とは異なる（ただし相互補完する概念ではある）。選択肢Bの最小特権は権限付与に関する原則であり、防御層の多重化とは別の考え方である。選択肢Cの共有責任はプロバイダーと顧客間の責任分担であり、多層防御の定義ではない。