ゼロトラストとは

正解：A. 社内のネットワークの中にいるだけでは信頼せず、要求ごとに利用者と端末の状態を確かめて、必要最小限のアクセスを許可する

従来の境界型の防御は、社内のネットワークを信頼できる内側とみなし、境界で外部からの侵入を防ぐ考え方でした。クラウドの利用やテレワークで守る対象が社外に広がり、境界の内側に入った攻撃者が自由に動けてしまう問題もあるため、ネットワークの場所で信頼を与えないゼロトラストの考え方が広がりました。米国のNISTは2020年に公開したSP 800-207で、ネットワークの場所によって暗黙に信頼しないこと、リソースへのアクセスを要求ごとに許可すること、利用者や端末の状態などをもとにした動的な方針で判断することなどを原則として示しています。「決して信頼せず、常に確かめる(Never trust, always verify)」と表現されます。

正解：B. PDPが認証の結果や端末の状態を方針に照らして判断し、利用者とアプリケーションの間のPEPが、その判断に従って接続を通したり切ったりする

SP 800-207では、ポリシーエンジンとポリシー管理者からなるPDPが、利用者の認証の結果、端末の状態、アクセスする対象の重要さ、脅威の情報などを方針に照らして、アクセスを許可するかを判断します。PEPは、利用者とリソースの間の通り道に置かれ、PDPの判断に従って接続を有効にしたり、監視したり、切ったりします。判断と実施を分けることで、方針を一か所で管理しながら、多くのアプリケーションの入口で同じように適用できます。また、端末の状態などが変われば、接続している途中でも判断を見直して、アクセスを止められるようにします。