ある企業がゼロトラストアーキテクチャを導入しようとしている。ゼロトラストの原則に基づいた実装アプローチとして正しいものを2つ選択してください。
- A. リソースへのアクセスを職務上必要なものに限定し、管理者権限はジャストインタイムで一時的に付与する
- B. すべてのユーザーに同一の権限レベルを付与してシステムの複雑性を下げる
- C. VPNで社内ネットワークに接続したユーザーはすべてのリソースにアクセス可能にする
- D. 社内ネットワーク内からのアクセスはすべて信頼し、認証をスキップして利便性を高める
- E. ユーザーのデバイス状態・場所・リスクスコアなどのシグナルを継続的に評価し、アクセスの都度アクセス可否を動的に判断する
解答と解説を見る
正解: A, E
ゼロトラストは「明示的に検証する」「最小特権アクセスを使用する」「侵害を想定する」の3原則に基づく。選択肢Eはアクセスの都度デバイス状態・ユーザーのリスクスコア・場所などを評価して動的にアクセス可否を判断しており、「明示的に検証する」原則の実装として正しい。選択肢Aはリソースへのアクセスを職務上必要なものに限定し、管理者権限をJIT（Just-In-Time）で付与することで「最小特権アクセスを使用する」原則を実装している。選択肢Dは社内ネットワーク内を無条件に信頼するものでゼロトラストの核心に反する。選択肢CのVPN内全アクセス許可は従来の境界防御モデルであり、ゼロトラストが否定するアプローチである。選択肢Bの全ユーザー同一権限は最小特権と真逆であり、侵害時の被害を最大化する。