ゼロトラスト認証とは（全体像）
これまでの守り方は、会社の門で一度だけ入館証を確かめ、中に入れば自由という「境界型」だった。でも、いったん中に入った相手が悪意を持っていたら、被害が広がってしまう。
そこで生まれたのがゼロトラスト。「だれも・どこも、無条件には信頼しない」を前提に、アクセスのたびに本人や状況を確かめる。ゼロトラスト認証は、その認証の部分にあたる。
押さえるのは、継続的に確かめること、そして中心の道具である条件付きアクセスだ。
詳しく：継続検証と条件付きアクセスを押さえる
ここが心臓部。ゼロトラスト認証は、いくつかの要素を組み合わせる。
ゼロトラスト認証のおもな要素
| 要素 | 内容 |
|---|---|
| 強力な認証 | MFAやパスキーで、しっかり本人確認する |
| デバイス信頼 | 端末が安全か確認（パッチ・ウイルス対策・暗号化） |
| 場所・行動の考慮 | 社内か社外か、いつもと違う動きはないか |
| 条件付きアクセス | 「もし〜なら〜する」（IF-THEN）の動的なルール |
| 最小権限・JIT | 必要な分だけ・必要なときだけ権限を与える |
言葉を噛み砕いておく。
- 継続的な検証 … 一度ログインして終わりではなく、アクセスのたびに状況を見て確かめ続ける。ここが境界型との大きな違い。
- 条件付きアクセス … 「いつもの会社PCならそのまま／知らない端末や海外からなら追加でMFA」のように、状況で変わる動的なルール。あらかじめ固定の静的な許可ではない。
- 最小権限（PoLP）とJIT … 権限は必要な分だけ与え、しかも必要なときだけ・時間を区切って渡す（JIT）。
わかりやすく言い換えると
つまり、ゼロトラストは「各部屋に入るたびに確認する警備」にたとえるとスッと入る。
これまでは、ビルの入口で一度入館証を見せれば、あとは中を自由に歩けた（境界型）。ゼロトラストでは、部屋に入るたびに本人確認し、しかも「だれが・どの端末で・どこから」来たかまで見て判断する。
その判断をするのが条件付きアクセス。「いつもの席のPCならスッと通す。知らない端末や海外からなら、もう一度MFAを求める」——こんなふうに状況で対応が変わる。さらに、鍵は必要な部屋の分だけ、必要なときだけ貸す（最小権限・JIT）、というわけだ。
試験のツボ
🔴 一番出る：継続的な検証
①だれも無条件には信頼しない
②一度ログインして終わりではなく、アクセスのたびに確かめ続ける
🔴 次に出る：条件付きアクセス
①「もし〜なら〜する」（IF-THEN）の動的なルール
②状況（端末・場所・行動）で許可や追加確認が変わる
🟡 押さえると安定：MFAやデバイス信頼、最小権限・JITを組み合わせる。先駆けはBeyondCorp
よくある間違い
①「ゼロトラストは最初に一度だけ認証すれば、あとは信頼される」→ ✗ 一度だけではない。アクセスのたびに継続的に確かめるのがゼロトラスト。
②「条件付きアクセスは、状況に関係なく同じ許可を出す静的なしくみ」→ ✗ 状況で変わる動的なルール。端末や場所に応じて追加確認などを出す。
③「ゼロトラストでは全員に広い権限をまとめて与える」→ ✗ 逆に最小権限が基本。必要な分だけ・必要なときだけ与える。
試験での出題パターン
実際の問題でたしかめてみよう。
オリジナル問題1（継続的な検証）
ゼロトラスト認証に関する次の記述のうち、正しいものはどれか。
- ゼロトラストは社内ネットワークに入った相手をすべて無条件に信頼する、従来の境界型と同じ考え方である
- ゼロトラストはだれも無条件には信頼せず、アクセスのたびに状況をよく見て継続的に確かめる考え方である
- ゼロトラストは最初の一度だけ認証すれば、その後はいっさい確認せずに使い続けられるしくみとされている
- ゼロトラストは認証をいっさい行わずにアクセスを素通りさせる、本人確認を省くためのしくみとされている
解答は 2 である。
ゼロトラストは、だれも無条件には信頼せず、アクセスのたびに状況を見て継続的に確かめる考え方。「一度入れば信頼」の境界型とは大きく違う。
選択肢1は境界型の説明で、ゼロトラストとは逆。選択肢3は「一度だけ」が誤り。選択肢4は「認証を省く」が誤りだ。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✗ | 無条件に信頼する境界型とは逆 |
| 2 | ✓ | 無条件に信頼せず継続的に確かめるで正しい |
| 3 | ✗ | 一度だけではなく継続的に確かめる |
| 4 | ✗ | 認証を省くしくみではない |
オリジナル問題2（条件付きアクセス）
条件付きアクセスに関する次の記述のうち、正しいものはどれか。
- 条件付きアクセスは状況に関係なくいつも同じ許可を出す静的なしくみで、端末や場所は見ないとされている
- 条件付きアクセスは通信の速度を上げるためだけのしくみで、アクセスの可否とは無関係であるとされているのだ
- 条件付きアクセスは「もし〜なら〜する」の動的なルールで、端末や場所に応じて追加確認などを出すしくみだ
- 条件付きアクセスはパスワードを長くするためだけの設定で、状況による判断はいっさい行わないとされている
解答は 3 だ。
条件付きアクセスは、「もし〜なら〜する」（IF-THEN）の動的なルール。端末や場所などの状況に応じて、許可したり追加でMFAを求めたりする。
選択肢1は「静的・端末や場所を見ない」が誤り。選択肢2は「速度を上げるだけ」が誤り。選択肢4は「パスワードを長くするだけ」が誤りだ。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✗ | 静的ではなく動的なルール |
| 2 | ✗ | 速度を上げるしくみではない |
| 3 | ✓ | IF-THENの動的なルールで正しい |
| 4 | ✗ | パスワードを長くする設定ではない |
オリジナル問題3（最小権限とJIT）
ゼロトラストの権限の与え方に関する次の記述のうち、正しいものはどれか。
- 権限は必要な分だけ・必要なときだけ与える最小権限とJITが基本で、ゼロトラストの考え方に沿っている
- ゼロトラストでは全員にすべての権限をまとめて与えるのが基本で、権限を絞ることはないとされているのだ
- ゼロトラストは権限という考え方をいっさい使わず、だれでも同じ操作ができるようにするしくみとされている
- 権限は一度与えたら二度と取り消せないのがゼロトラストの原則で、時間で区切ることはできないとされている
解答は 1 だ。
ゼロトラストでは、権限を必要な分だけ（最小権限）、しかも必要なときだけ・時間を区切って与える（JIT）のが基本。守りを固める考え方に沿っている。
選択肢2は「全員にすべての権限」が誤り。選択肢3は「権限を使わない」が誤り。選択肢4は「取り消せない・時間で区切れない」が誤りだ。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✓ | 最小権限とJITが基本で正しい |
| 2 | ✗ | 全員に広い権限を与えるのは逆 |
| 3 | ✗ | 権限の考え方を使う |
| 4 | ✗ | 時間で区切って与えられる |
まとめ
押さえどころ
- 🔴 ゼロトラスト認証 ＝ だれも無条件には信頼せず、アクセスのたびに継続的に確かめる。一度だけではない。
- 🔴 条件付きアクセス ＝ 「もし〜なら〜する」の動的なルール。端末・場所・行動で許可や追加確認が変わる（静的ではない）。
- 🟡 MFA・デバイス信頼・最小権限・JITを組み合わせる。先駆けはBeyondCorp。
次に学ぶ
- ゼロトラストNW・BeyondCorp ── ゼロトラストをネットワーク全体で実現する考え方。
- 認証要素・MFA（多要素認証） ── ゼロトラストで必須になる、強い本人確認のしくみ。
- パスキー・WebAuthn・FIDO2 ── ゼロトラストと相性のよい、パスワードレスの認証。
執筆: SikakuQuest編集部