ゼロトラストの考え方と、中小企業の始め方

ゼロトラストとは、社内のネットワークの中にいるから安全だとは考えず、アクセスのたびに、誰が、どの端末から、何に触れようとしているかを確かめ、必要な分だけを許す考え方です。特定の製品の名前ではなく、守り方の考え方を指します。中小企業でも、IDの管理、端末の把握、記録の確認といった基本から段階的に取り入れることができます。

境界で守る考え方と、何が違うのですか

境界で守る考え方（境界型）は、社内と社外の間に境目を設け、外からの攻撃を境目で防ぐことを前提にしています。ゼロトラストは、境目の内側も侵害されることがあると考え、内側でもアクセスのたびに確かめる点が違います。

デジタル庁の「ゼロトラストアーキテクチャ適用方針」（2022年6月30日）は、境界型の考え方を、境界で内外を遮断し、内部には信頼できるものだけがいることを前提とするものと整理しています。そのうえで、ゼロトラストを、境界の内部が侵害されることも想定し、要求ごとに必要最小限の権限でアクセスを制御する考え方としています。あわせて、ゼロトラストは境界型やネットワークでの対策を否定するものではなく、それらを含めて広げる考え方だと説明しています。

出典：ゼロトラストアーキテクチャ適用方針（デジタル庁、DS-210、2022年6月30日）

用語の短い説明は、用語集のゼロトラストにもまとめています。

なぜ、いま考える必要があるのですか

社員が社外やクラウドで働くことが増え、守る対象が社内のネットワークの中に収まらなくなっているためです。メールやファイルの共有、会計などの仕事のシステムをSaaSで使っていれば、社員は社内のネットワークを通らずに直接つなぎます。

また、境界の入り口そのものが狙われています。警察庁は、2025年のランサムウェアの被害で、被害を受けた組織へのアンケートによる侵入の経路は、VPN機器が6割以上を占めたとしています。入り口を一度通られると、内側では自由に動けてしまう作りのままでは、被害が広がりやすくなります。

出典：令和7年におけるサイバー空間をめぐる脅威の情勢等について（警察庁、2026年3月）

ゼロトラストを形づくる要素

デジタル庁の方針は、ゼロトラストを取り入れるときの方針として、次の6つを挙げています。

1. 守る対象（アカウント、端末、サービス、データ）を識別する
2. 身元を確かめ、本人であることを確かめる（多要素認証などを含む）
3. 通信を暗号化するなどして、ネットワークを守る
4. 端末の状態（OSや構成、場所など）を確かめる
5. アクセスの決まりにもとづいて、許すかどうかを判断し、実行する
6. 守る対象とアクセスを観測する（記録をとり、異常を知らせる）

出典：ゼロトラストアーキテクチャ適用方針（デジタル庁、DS-210、2022年6月30日）

方針は政府の情報システムに向けたものですが、要素の考え方は、会社の規模にかかわらず参考になります。

中小企業は、どこから始めればよいですか

中小企業は、ID、端末、記録の3つから始めると取り組みやすくなります。高価な製品を一度にそろえるより、いま使っているクラウドサービスの機能を使いこなすところから進めるのが現実的です。

IDをまとめ、多要素認証を設定する

社員のアカウントを、一人ひとつのIDにまとめ、そのIDでいろいろなサービスにログインできるようにします（SSO）。IDを一か所で管理できれば、入社・異動・退職のときの付け外しが確実になり、多要素認証も一か所で設定できます。IDを管理する仕組みはIdPと呼ばれ、多くのグループウェアのサービスに備わっています。

あわせて、最小権限の原則にもとづき、仕事に要る分だけの権限を渡します。多要素認証の広げ方は、多要素認証を社内に広げる進め方で説明しています。

端末を把握する

会社の情報に触れるパソコンとスマートフォンを一覧にし、OSの更新が当たっているか、画面のロックや暗号化が設定されているかを確かめます。端末を管理する仕組み（MDM）や、不審な動きを見つける仕組み（EDR）を使うと、確かめる手間を減らせます。私物の端末を仕事に使わせるかどうかも、この段階で決めておきます。端末の守り方は、パソコンとスマートフォンの守り方で説明しています。

記録をとって見る

ログインの成功と失敗、管理者の操作、端末の検知などのログを残し、いつもと違う動きに気づけるようにします。何を、どのくらい残すかは、ログの取り方と見方で説明しています。

段階的に進めるための考え方

ゼロトラストは、一度に完成させるものではなく、守る対象の大切さに応じて少しずつ広げていくものと考えると進めやすくなります。

VPN機器のように、境界の入り口として使っている機器は、ゼロトラストの考え方に移るまでの間も、更新と認証の強化を続けます。守り方は、VPN機器の脆弱性とランサムウェアで説明しています。

当社のご支援

アメリア・テクノロジーのセキュリティ診断と対策では、アカウント・端末・クラウドの設定の棚卸し、多要素認証やID管理の設定、記録の確かめ方づくりまでを、段階を分けてご支援しています。いまのシステムとクラウドサービスのつなぎ方は、AIインテグレーションのチームと一緒に考えることもできます。まずは無料のセキュリティの自己診断で、現状をおおまかに確かめることもできます。