ある組織がリモートワーク環境に移行したことで、社内ネットワーク内にいるユーザーも外部からアクセスするユーザーも同様にセキュリティ上の脅威になりうると判断した。「社内ネットワーク内は安全」という前提を捨て、すべてのアクセスに対して継続的に本人確認と正当性検証を行う方針を採用しようとしている。この方針を表す概念として最も適切なものはどれか。
- A. フェデレーション（Federation）：複数の組織やIDプロバイダー間で認証情報を連携させる
- B. シングルサインオン（SSO）：一度のログインで複数サービスにアクセスできるようにする
- C. ゼロトラスト（Zero Trust）：場所や従来の信頼関係によらず、すべてのアクセスを明示的に検証する
- D. 多層防御（Defense in Depth）：物理・ネットワーク・アプリケーション層に複数の防御策を設ける
解答と解説を見る
正解: C
ゼロトラストは「常に侵害を想定し、すべてのリクエストを明示的に検証し、最小特権アクセスを使用する」という3原則に基づくセキュリティモデルである。社内ネットワーク内にいるからといって無条件に信頼しない点が最大の特徴で、リモートワーク環境や境界が曖昧な現代の脅威環境に対応できる。選択肢Dの多層防御は防御層を重ねる設計であり、「社内外の区別をなくす」という発想はゼロトラストの方が正確に表している。選択肢Aのフェデレーションは複数IDプロバイダー間の信頼関係の連携であり、アクセス検証モデルそのものではない。選択肢BのSSOはユーザー利便性のための認証統合であり、「すべてのアクセスを疑う」という方針とは異なる。