ゼロトラストの考え方に基づくアクセス制御の説明として、正しいものはどれか。

正解：A. 社内のネットワークの中にいるだけでは信頼せず、要求ごとに利用者と端末の状態を確かめて、必要最小限のアクセスを許可する

従来の境界型の防御は、社内のネットワークを信頼できる内側とみなし、境界で外部からの侵入を防ぐ考え方でした。クラウドの利用やテレワークで守る対象が社外に広がり、境界の内側に入った攻撃者が自由に動けてしまう問題もあるため、ネットワークの場所で信頼を与えないゼロトラストの考え方が広がりました。米国のNISTは2020年に公開したSP 800-207で、ネットワークの場所によって暗黙に信頼しないこと、リソースへのアクセスを要求ごとに許可すること、利用者や端末の状態などをもとにした動的な方針で判断することなどを原則として示しています。「決して信頼せず、常に確かめる(Never trust, always verify)」と表現されます。

• A. 正しい。ネットワークの場所ではなく、要求ごとの確認で信頼を判断します。
• B. 境界型の防御の考え方です。内側に入られると、攻撃者が自由に動けてしまいます。
• C. 一度の認証で広く信頼するのは、ゼロトラストとは逆です。要求ごとに、必要最小限のアクセスを許可します。