BLOG

近年のリモートワークの普及に伴い、企業が管理する情報資産の安全性を保つ手法は大きな転換期を迎えています。これまで主流だったネットワークの境界で脅威を防ぐ手法は、内部に侵入した攻撃者の活動を防げないほか、外部ネットワークからの業務において脆弱であるという課題を抱えています。この課題を解決する設計思想として、すべての通信やアクセス権限を検証する「ゼロトラスト」が注目されるようになりました。

ゼロトラストの本質を理解するには、情報セキュリティの具体的なセキュリティマネジメントの枠組みである「情報セキュリティ7要素」を理解することが必要です。

本記事では、従来の境界型防御が抱える脆弱性を整理し、情報セキュリティ7要素の定義を解説します。そのうえで、ゼロトラストがなぜ新しい4つの要素を重視するのか、そして今後のAI活用においてどのような意味を持つのかを説明します。

境界型防御の構造と内部侵入への脆弱性

境界型防御とは、組織の内部ネットワーク（LAN）と外部のインターネットとの間に境界を設け、その境界で脅威を防ぐ基本的な方策です。この手法では、インターネット回線とLANの境界にファイアウォールやUTM（統合脅威管理）などのシステムを設置して外部とのやり取りを監視します。

LANの内部にある機器は安全であることを前提として信頼する構造を持ち、外部とのやり取りは厳重に監視しますが、内部での通信は認証なしで社内システムなどのサーバーにアクセスできる環境が多く見られます。この構造には、主に以下の3つの脆弱性と限界が存在します。

1. ラテラルムーブメント（横方向展開）への無力さ

攻撃者が組織内の特定の機器にマルウェア感染などの手法で侵入したあと、その感染したデバイスを踏み台として組織の内部ネットワーク内で横方向に展開し、被害を拡大させる攻撃をラテラルムーブメントと呼びます。境界型防御では、内部ネットワークに入り込んだ通信は無条件で信頼される傾向にあるため、境界さえ突破してしまえば簡単に内部情報にアクセスできてしまうことになります。

2. クラウドシフトによる情報資産の分散

Microsoft 365やGoogle WorkspaceなどのSaaS※1、あるいはAWSやAzureなどのIaaS※2といったクラウドサービスの利用が普及したことで、守るべき情報資産は境界型防御で守ってきた内部ネットワークから、すでにクラウド上の外部ネットワークに配置されるようになっています。

※1 SaaSとは、Sofrwear as a Serviceの略。インターネットを介してクラウド上で提供されるソフトウェアサービス。パソコンに直接インストールする必要がなく、ネット環境とブラウザがあれば、場所や端末を選ばずにどこからでも利用できる。

※2 IaaSとは、Infrastructure as a Serviceの略。システムを動かすためのサーバー、ストレージ、ネットワークなどのインフラをインターネット経由で提供するサービスです。物理的なハードウェアを購入・管理する必要がなく、クラウド上で必要な時に必要な分だけ、自由にスペックを選んでインフラを構築できる。

3. リモートワーク環境におけるVPNの限界

コロナ禍以降のリモートワークの急増により、組織の管理が及ばない場所での情報資産の取り扱いが増加しました。これに対し、多くの組織はVPN（仮想専用線）を介して社内ネットワークに接続する形態をとりましたが、全従業員のアクセス集中による通信帯域の不足や、それに伴う業務遅延が課題となりました。さらに、VPN機器自体の脆弱性を突いたサイバー攻撃が急増しており、VPNが単一障害点となるリスクが顕在化しています。また、業務に私的端末（BYOD）を使用することや会社で管理していない個人のGoogle Driveなどのクラウドサービスの利用増加も、従来の境界を無意味なものにしています。

そのため、ネットワークの場所に依存せず、安全なアクセスを確保する「ゼロトラスト・アーキテクチャ」の導入が求められるようになりました。

拡張された情報セキュリティ7要素の定義

アクセスするデバイスが存在するネットワークの境界の内外という「場所」だけで安全性を判断できない以上、個々の通信や操作が正当であるかを検証する新たな評価基準が必要になります。
日本の標準規格であるJIS Q 27000は、従来の3要素に4つの要素を加えた情報セキュリティ7要素を定義しています。国際規格であるISO/IEC 27000に基づき、国内基準として策定されたJIS Q 27000は、情報セキュリティマネジメントシステム（ISMS）の用語定義集であり、従来の3要素に4つの要素を加えた「情報セキュリティ7要素」を定義しています。

情報セキュリティ3要素（CIA）の定義と対策

従来から重視されてきた3要素は、情報セキュリティの根幹をなす要素です。

機密性（Confidentiality）

※3 多要素認証とはSMSやメールによるワンタイムコードによる認証とIDとパスワードによる認証の組み合わせなど複数の認証方法を組み合わせて認証する仕組み。

完全性（Integrity）

可用性（Availability）

※4 DDosとは、Distributed Denial of Service attackの略。複数のデバイスから大量のデータをサーバーに送りつけることでそのサーバーの処理能力を圧迫させ、サービスをダウンさせることを目的に行われる。

※5 BCPとはBusiness Continuity Planの略。自然災害や感染症の拡大などの緊急事態に遭遇した際、企業が損害を最小限にとどめ、中核となる事業の継続や早期復旧を可能にするために策定する計画。

新しく追加された4つの要素

複雑化するIT環境やクラウド化に対応するため、JIS Q 27000で明文化された追加の要素です。これらは、情報が正しい状態にあるかだけでなく、その情報に関わる主体や操作が正当であるかを検証する基準となります。

真正性（Authenticity）

※6 ドメイン認証技術とは、インターネット上で特定のドメイン名（example.comなど）の所有権、またはそのドメインからの通信・データ送信が正当なものであることを検証する技術の総称

• SPFとは、Sender Policy Frameworkの略。ドメインのTXTレコードにメール送信に利用するサーバーのIPアドレスをあらかじめ宣言しておくことでメール受信者が正当なサーバーから送信されたメールかどうかを検証する。
• DKIMとは、DomainKeys Identified Mailの略。送信側サーバーがメールに電子署名を付与して送信する。受信側サーバーは、送信元ドメインのDNSに公開されている公開鍵を用いて署名を検証し、メールの改ざんの有無と送信元の正当性を確認する。
• DMARCとは、SPFおよびDKIMの検証結果に基づき、認証に失敗したメールの扱いを受信側サーバーへ指示するポリシーを定義する。また、送信者に対して認証状況のレポートを提供する機能を持つ。

責任追跡性（Accountability）

否認防止（Non-repudiation）

※7 公開鍵暗号基盤（PKI）は、通信相手の公開鍵とその所有者の対応関係を第三者機関が証明する仕組み。認証局が署名したデジタル証明書を検証することで、直接面識のない相手とも安全に公開鍵を交換できる。

信頼性（Reliability）

従来の3要素と新4要素のつながり

新しく追加された4つの要素は、従来の3要素（機密性・完全性・可用性）を確実に達成するための「前提条件」という関係にあります。
データそのものの安全性を保つためには、そのデータにアクセスしてくる主体や、処理を行うシステムが正しいことを事前に証明し続けることが求められます。

たとえば、特定の社員だけに閲覧を許すという「機密性」を守るには、アクセスしてきた相手が本当にその社員であるという「真正性」を証明することが必要になります。
また、データが改ざんされていないという「完全性」を保証するには、誰がいつ変更したかを追跡できる「責任追跡性」や、後から変更をなかったことにさせない「否認防止」の仕組みが必要になります。

つまり、守るべきゴールが従来の3要素であり、それを達成するための検証基準が新4要素です。

ゼロトラストが新4要素を担保する仕組み

ゼロトラストとは、ネットワークの「内側か外側か」という位置で安全性を判断せず、すべてのアクセスを信頼せずに毎回検証する設計思想です。
この思想に基づき、個々の通信に対して新4要素を強制的に満たせるシステムを組み込みます。

具体的には、以下の3つの検証と記録をアクセスのたびに自動で実行します。

• 認証の厳格化による「真正性」の担保：
  IDとパスワードだけでなく、接続元の端末が会社認可のものか、不審な場所からのアクセスでないかを毎回検証し、アクセス主体が本物であることを証明します。
• すべての通信のログ記録による「責任追跡性」と「否認防止」の担保：
  誰がどのデータにアクセスし、何の操作をしたかをネットワークの全経路で常時記録します。
  これにより、不正な操作が行われた場合でも原因を即座に追跡可能にし、後から「そんな操作はしていない」と主張される事態を防ぎます。
• ポリシーの自動適用による「信頼性」の担保：
  あらかじめ定義した認可ルールをシステムが自動で強制し、人間の判断ミスや例外を排除して、意図した通りの制御を維持します。

このようにゼロトラストは運用上の仕組みとしてセキュリティの向上を求める

アクセスごとに「真正性」と「信頼性」を検証し、その結果を「責任追跡性」と「否認防止」のために記録し続ける具体的な技術構成を指します。

主要技術と新4要素の対応

米国国立標準技術研究所（NIST）が定める「NIST SP 800-207（ゼロトラスト・アーキテクチャ）」の原則に基づき、以下の主要技術が新4要素をカバーします。

• アイデンティティ確認による真正性の確保
  IDaaS（Identity as a Service）等を用いて、ネットワークの場所に関わらずアクセスごとに通信のアイデンティティを検証します。ユーザーの役職や端末のセキュリティ状態といった動的なコンテキストから判断し、操作を行う主体が本物であることを毎回証明します。
• ログ収集と監視による「責任追跡性」および「否認防止」の成立
  すべてのアクセス要求、通信ログ、端末の挙動をEDR（Endpoint Detection and Response）やSIEM等で継続的に監視・記録します。これにより、誰がいつ何を行ったかを確実に保持し、事後の否認を成立させません。
• アクセス制御と動的ポリシーによる信頼性の担保
  ZTNA（Zero Trust Network Access）やCASB（Cloud Access Security Broker）を利用し、許可された特定のアプリケーションやリソースにのみ個別でアクセスを認可します。脆弱性のある端末からのアクセスを動的に拒否することで、システム全体の意図しない動作を防ぎます。

JIS Q 27001:2023との整合性

最新のISMS認証基準である「JIS Q 27001:2023（ISO/IEC 27001:2022）」の附属書Aでは、クラウド環境やリモートワークに対応するための管理策が再編されました。ここに含まれる「5.15 アクセス制御」「5.16 認証情報の管理」「8.1 デバイスの管理」「8.16 監視活動」などの管理策は、ゼロトラストを構成するコンポーネントの実装プロセスそのものであり、規格の要求事項とも強固に整合しています。

大規模言語モデルの普及と新たなアクセス主体の登場

「ゼロトラスト」の設計思想は、今後のアプリケーション開発、特に大規模言語モデル（LLM）を活用する環境においても重要性が高まります。背景には、AIが自律的に外部ツールやシステムと連携して動作する「Agentic AI（エージェント型AI）」の普及があります。

従来のシステムでは、アクセス主体は基本的に人間（開発者や利用者）または定義された特定の静的なプログラムでした。しかし、LLMが外部システムや社内データベースと動的に連携して動作する場合、AI自身がデータを操作する新たなアクセス主体となります。

AIが自律的に判断してデータを書き換えたり、他のAPIを呼び出したりする場面では、その操作が本当に正当な権限に基づいているかを検証しなければなりません。AIのプロンプトや文脈に依存する動的なアクセスを制御するためには、人間と同様に「何も信頼しない」という前提に立つことが求められます。

AIによる操作の「真正性」をどのように証明するか、また、AIが行った処理をどのように「責任追跡性」として担保するかという課題が生じます。この新しいアクセス主体の管理という課題については、次回の記事で詳しく解説します。