タイトルの通り、「Zero Trust（ゼロトラスト）」というセキュリティモデルについて自身の理解を深めるための記事です。

ゼロトラストとは

「決して信頼せず、常に検証せよ（Never trust, always verify）」 社内外のあらゆるアクセスを「未信頼」とみなし、毎回厳格に認証・認可を行うセキュリティの考え方の中核原則。

ゼロトラストは、2009年ごろにForrester ResearchのJohn Kindervag氏によって提唱され、2010年のレポートなどを通じて広く知られるようになった考え方である。従来の境界型防御から脱却し、ネットワークの内外を問わず脅威に対処するためのアプローチとして整理されている。

まずは引用から。

• ゼロトラストは、ネットワークの内外を問わず、接続するものすべてをデフォルトでは信頼できないものと見なし、厳密な検証を必要とするセキュリティモデルのことです。

• ゼロトラストの基本原則には、最小特権アクセス、継続的な検証、マイクロセグメンテーションといった考え方が組み込まれており、攻撃対象領域を最小化し、ラテラルムーブメントを阻止します。

Zero Trustセキュリティとは、ネットワーク境界（ソフトウェア定義の境界）の内側にいるか外側にいるかに関係なく、内部リソースにアクセスしようとしているすべての人物とデバイスのIDの厳格な検証を必要とするセキュリティモデルのことです。

ゼロトラストネットワークとは？ | Cloudflare

ゼロトラストの根源的な考えとしては、「信頼せずに常に検証する」という考え方に基づいたセキュリティモデルであり、引用の通り接続するものすべてをデフォルト状態では信頼しない。

この考え方を理解するためには、まずこれまである程度デファクトスタンダードであった「境界防御モデル」について取り上げる必要がある。

境界防御モデルとは

社内ネットワーク（信頼）とインターネット（不信）の境界にファイアウォール等を設置し、外部からの不正侵入を防ぐ手法。 社内ネットワークは安全という前提に基づいている。

+--------------------------------------------------+
| 外部ネットワーク                                    |
|                                                  |
|  攻撃者、不特定多数の端末、インターネット利用者          |
|                                                  |
+--------------------------+-----------------------+
                           |
                           | 厳しく制限
                           v
                    +-------------+
                    | Firewall    |
                    | IDS / IPS   |
                    | WAF         |
                    +-------------+
                           |
                           | 許可された通信のみ通す
                           v
+--------------------------------------------------+
| 内部ネットワーク                                    |
|                                                  |
|  社員PC、社内システム、DB、ファイルサーバー            |
|                                                  |
+--------------------------------------------------+

実際の企業ネットワークでは、単純にファイアウォール1つではなく、以下のように複数の領域に分けて管理されていることが多い。

                         インターネット
                               |
                               |
                         [外部Firewall]
                               |
                               v
                         +-----------+
                         |   DMZ     |
                         | Webサーバー |
                         | Mail GW   |
                         +-----------+
                               |
                               |
                         [内部Firewall]
                               |
                               v
                  +-------------------------+
                  |     内部ネットワーク      |
                  |                         |
                  |  業務AP / DB / AD / FS   |
                  +-------------------------+

DMZとは、DeMilitarized Zone（非武装地帯）のことを指し、外部公開サーバーを置くための中間領域のこと。 Webサーバーやメールサーバー、VPNゲートウェイなど、インターネットからアクセスされる必要があるものを配置する。 こうすることで、隔離された外部公開サーバーにもし攻撃があった場合でも、すぐに内部ネットワークには到達できないようにすることができる（内部Firewallによって社内LANへの通信は制限されるため）。

多くの場合ファイアウォール1台構成か2台構成で構築される。 ファイアウォールとDMZ(非武装地帯)の関係を解説 | ITトレンド

DMZとは？役割やメリット・デメリット、構築方法を紹介 | CACHATTO COLUMN

境界防御モデルの防御ポイント

インターネット
    |
    | 1. Firewall
    v
DMZ
    |
    | 2. WAF / IDS / IPS
    v
内部ネットワーク
    |
    | 3. 内部Firewall
    v
重要システム

それぞれの防御要素の役割については以下の通り

• IDS(Intrusion Detection System：侵入検知システム)
  • ネットワーク上のトラフィックを監視し、不正アクセスや攻撃の痕跡を検知する
  • 基本的に「検知のみ」。攻撃を発見すると管理者に通知を行うのみで、直接的な防御機能は持たない
• IPS(Intrusion Prevention System：侵入防止システム)
  • IDSの機能に加えて、攻撃を検知した際に即座に防御アクションを実行する
  • 不正な通信を遮断したり、攻撃の元となるIPアドレスをブロックしたりすることで、ネットワークを保護する
• VPN(Virtual Private Network)
  • 公衆のインターネット回線を通じてプライベートなネットワークを作り出し、データを暗号化して安全に通信できる技術
  • SSL-VPNとIPsec-VPNの2種類が存在し、それぞれ動作するレイヤーや使用しているプロトコルが異なる
    • 従業員が自宅や外出先からインターネット経由で企業の内部へアクセスする場合→SSL-VPNが多い
    • 複数のオフィスやデータセンターを安全なトンネルで接続する際では、パフォーマンス面で最適なIPsec-VPNが選択される 引用：Amazon.co.jp: セキュリティエンジニアの知識地図 eBook : 井上 圭, 大塚 淳平, 幸田 将司, 国分 裕, 下川 善久, 洲崎 俊, 関根 鉄平, 坪井 祐一, 山本 和也, 山本 健太, 吉田 聡, 上野 宣: Kindleストア

境界防御モデルの限界

境界型防御は、一度社内ネットワークに入ってしまうと、たとえ問題があったとしても社内にあるデバイスやユーザーは「無条件に信頼されてしまう」ことが多いという課題がある。

外部から社内ネットワークにアクセスする際には、多くの場合VPNを介して社内ネットワークのゾーンにアクセスする。VPNによって外部からアクセスしたユーザー・デバイスは、一度の認証・認可の後に内部のIPアドレスを付与され、以降の通信はVPNのトンネルによって行われる。 一度VPNのセッションが張られてしまうと「社内にいる」のと同様にみなさられるため、それ以上のチェックが行われないケースがほとんどである。 たとえば、社外に持ち出したデバイスが知らない間にマルウェアなどに感染していた場合、このままVPNで社内サーバーに接続してしまうと感染が一気に拡大してしまう危険性もある。

引用：すべてわかるゼロトラスト大全　さらばVPN・安全テレワークの切り札 | 日経クロステック | 工学 | Kindleストア | Amazon

また、これまで「守るべき情報及びシステムは、社内ネットワークの中にある」という前提があったが、クラウドサービスの普及により現代では社内ネットワークに限らず、さまざまな箇所で守るべきデータが分散されていった。

                  +----------------+
                  | Microsoft 365  |
                  +----------------+

+---------+       +----------------+
| 社員PC   | ----> | Slack / Teams  |
+---------+       +----------------+

                  +----------------+
                  | GitHub         |
                  +----------------+

                  +----------------+
                  | AWS / Azure    |
                  +----------------+

                  +----------------+
                  | 社内システム     |
                  +----------------+

この状態では、「社内ネットワークの境界」のみを守るのは不十分である。 また、リモートワークの普及により、現在では社員がさまざまな箇所から社内システムなどにアクセスするようになった。 従来の境界防御では、社外から社内へ入るためにはVPNを使用していたが、VPNに入った瞬間に「社内ネットワークに近い場所まで到達できてしまう」というデメリットも挙げられる。 つまり、もしVPNアカウントが盗まれてしまう、などといったことがあると、攻撃者にとって簡単に侵入できる経路となってしまうことになる。 また、VPNにはそのものの問題点もいくつか指摘されている。ここでは引用にとどめつつ3点を記載しておく。

第1はスケーラビリティの問題です。社外からのアクセスユーザーが限られていた時には顕在化しませんでしたが、最近のように社員の多くがリモートアクセスを行う状況ではVPNゲートウェイの処理能力が間に合わなく接続できない、帯域がいっぱいになり通信速度が遅い、といった問題が生じてしまいます。しかしVPNの暗号処理には大きな計算リソースが必要になり、回線増強も費用が高額になるため、全社員分をまかなえるだけの処理能力を確保するのは容易ではありません。

第2は通信経路の問題です。VPNを使用している企業のほとんどは、インターネットにアクセスする際もいったん自社ネットワークに接続し、そこからインターネットに出る設定になっています。そのため想定以上のトラフィックが発生し、社内ネットワークの帯域が逼迫するケースが多いのです。またこのようなアクセス方法ではクラウドサービスまでの経路はどうしても長くなり、遅延などの問題が発生します。その結果、Web会議などのツールが満足に使えないといった状況になりがちです。

そして第3が脆弱性の問題です。VPNの脆弱性は2019年に相次いで発見されており、これらを悪用する攻撃も登場しています。その1つとして挙げられるのが、Pulse Connect Secure VPNの脆弱性です。JPCERT/CCもVPNの脆弱性に関する注意喚起を2019年9月に発しており、2020年3月にはPulse Connect Secure VPNの2つの脆弱性について情報を発信しています。例えば「CVE-2019-11510」という脆弱性を悪用された場合、認証を回避されて任意のファイルを読み取られる危険性があります。また「CVE-2019-11539」という脆弱性が悪用された場合には、コマンドインジェクション対策として実装されているセキュリティ機能がバイパスされ、第三者が任意のコマンドを実行できるようになると報告されています。

従来の境界型防御だけでは守れない企業システム | ゼロトラストセキュリティお役立ち情報 - サイバネット

なお、ゼロトラストはファイアウォール、WAF、DMZ、ネットワーク分離といった境界防御を不要にする考え方ではない。外部公開面を減らす、不要な通信を遮断する、ネットワークを分離するといった対策は現在でも重要である。

ゼロトラストが否定しているのは、「境界の内側にいるという理由だけで暗黙的に信頼する」ことである。

ゼロトラストセキュリティ

ゼロトラストの７大原則

NIST（National Institute of Standards and Technology / 米国国立標準技術研究所）が公開している NIST SP 800-207 では、ゼロトラストの考え方やアーキテクチャが整理されている。 SP 800-207, Zero Trust Architecture | CSRC

クラウドサービスやリモートワークの普及により、従来では有力なセキュリティモデルであった境界防御モデルでは対応しきれない状況が増えてきた。 そこで出てきたのが、表題であるゼロトラストの考え方である。 ゼロトラストの考え方は、境界防御モデルであった「社内ネットワーク内部を信頼する」という前提を捨て去り、「信頼できないことを前提としてセキュリティ対策を講じる」という点である。 情報資産に対する全てのアクセスに対して、アクセス元が適切な権限を有しているか、その挙動（トラフィック）に怪しい点はないか等をチェックし、ログの取得も行うというアプローチとなる。

ゼロトラストには、以下のように大きく7つの基本原則が存在する。

1. すべてのデータソースとコンピューティングサービスはリソースと見なされる
2. ネットワークの場所に関係なく、すべての通信が安全に行われる
3. 個々のリソースへのアクセスはセッション単位で付与される
4. リソースへのアクセスは動的ポリシーによって決定される
5. 所有するすべてのデバイスと関連するデバイスが、可能な限り最も安全な状態であることを保証し、安全な状態であることを保証するために資産を監視する
6. すべてのリソースへの認証と認可は動的であり、アクセスが許可される前に厳格に実施される
7. ネットワークインフラと通信の状況について可能な限り多くの情報を収集し、それを利用してセキュリティを改善する ゼロトラストセキュリティとは | ゼロトラストセキュリティお役立ち情報 - サイバネット

上記の引用元から参照するが、ポイントとしては

「信頼は決して暗黙のうちに付与されるのではなく、継続的に評価されること」「アクセスの必要があるものにリソースを制限し、ミッションの実行に必要な最低限の特権（読み取り、書き取り、削除など）のみを付与すること」

であると記載されている。 アクセス管理に必要な構成としては、ユーザー・デバイス・信頼性の3つが挙げられる。これらの点について整理すると、以下の点となる（画像についてはゼロトラストセキュリティとは | ゼロトラストセキュリティお役立ち情報 - サイバネットより引用）

• ユーザー
  • 「リソースにアクセスしたユーザーがそのリソースを利用する権限を持っているか」という認証・認可
• デバイス
  • 「リソースに接続できるのは企業が所有もしくは許可したデバイスのみ」ということの担保
• 信頼性
  • ユーザーがデバイスの認証をする際に、ロケーションやアプリなどの信頼性を判断するために必要な情報を可能な限り収集し、判断することが必要

ただ、現時点でこの「ゼロトラストを実現する」ということを一元的に実現するような製品は存在していない。そのため、いくつかの製品や、関連する技術を組み合わせてゼロトラストなセキュリティを実現していくことになる。

ゼロトラストにまつわる技術

ゼロトラストの考え方に立つ場合、従来のように外部からの攻撃を受けるネットワーク境界だけを守るのではなく、データ（Data）、通信（Asset）、アプリケーション（Application）、サービス（Service）からなる「DAAS」を個別に守る。DAASに対して「誰がアクセスできるのかを細かく制御し、アクセス履歴は分析して、不正が起きていないかチェックする。従来の守る対象だったネットワーク境界は、基本的にはLANについて存在しない。それに対してゼロトラストにおいて守るべきDAASは、企業によっては数百から数千個は存在する。

このように膨大な数の防御対象を単一の製品でカバーするのは不可能なので、キンダーバーグ氏は「ゼロトラスト製品は存在しない」と主張しているわけだ。

引用：すべてわかるゼロトラスト大全　さらばVPN・安全テレワークの切り札 | 日経クロステック | 工学 | Kindleストア | Amazon

以下では関連するそれぞれの技術要素について概要を掘り下げる。

IAM（Identity and Access Management）

ユーザーの「認証」や、アプリケーションのデータに対するアクセスの「認可」を司る。 ユーザーのID、氏名などを紐づけて保管する「IDデータベース」と、ユーザーが利用できるアプリケーションやデータなどを規定する「アクセスポリシー」に基づいて、ユーザーの認証やアプリケーションの認可を管理する。

また、IAMはSSO（シングルサインオン）の機能も担う。企業が複数のSaaSを同時に利用する際、SaaSごとにパスワードを作成し、従業員に管理させるのは手間がかかる上、情報流出や不正アクセスなどのセキュリティ事故のリスクも高まる。 SSOを利用することで、ユーザーはIAMへのログイン方法さえ覚えればよく、複数のSaaSをパスワード入力なしで利用できるようになる。

以下はIAMの主な機能を箇条書きでまとめる

• プロビジョニング
• ID管理
• ユーザー認証
• ユーザー認可
• SSO（シングルサインオン）

オンプレミス時代の代表的なID管理基盤としては、MicrosoftのActive Directoryが広く使われてきた。現在は、クラウドID基盤としてMicrosoft Entra ID（旧 Azure Active Directory）やOktaなどのIdPを中心に、SaaSやクラウドサービスへのSSO・条件付きアクセスを実現する構成が主流になりつつある。

なお、IAMという言葉は広く使われる。OktaやMicrosoft Entra IDのように、従業員IDを一元管理して複数SaaSへのSSOや条件付きアクセスを提供するものもIAMであり、AWS IAMのようにクラウドリソースへの操作権限を細かく制御するものもIAMに含まれる。

この記事では主に、ゼロトラスト文脈で重要になる「企業全体のユーザーID管理・SSO・条件付きアクセスを担うIAM / IdP」を中心に扱う。

IAP（Identity-Aware Proxy）

日本語では「アイデンティティ認識型プロキシ」と表現される。ゼロトラストにおいて、アプリケーションを保護する上で核となる存在。

ユーザーとアプリケーションの間に入って、通信を仲介するプロキシである。ユーザーがアプリケーションにアクセスするたびにIAMと連携して認可をやり直すため、「アイデンティティ認識型」と呼ばれている。 さらに、オンプレミスの社内ネットワークの内部に「コネクター」というサーバーを設置すると、コネクターとIAPが連携して、オンプレミスにあるアプリケーションがインターネット経由で利用可能となる。通信はIAPが暗号化してくれる。

従来であれば社内ネットワークを「安全」と判断し、社内ネットワークからアプリへのアクセスをいつでも許可していた。それに対してIAPは、アプリへの「関所」となり、アクセスをすべてチェックして可否を判断する。社内ネットワークからのアクセスだからと言って信頼はしない。

以下はIAPの主な機能である

引用：すべてわかるゼロトラスト大全　さらばVPN・安全テレワークの切り札 | 日経クロステック | 工学 | Kindleストア | Amazon

IAPはVPNに代わる社内アプリへのリモートアクセス手段として注目されている。 IAPとVPNの違いは大きく2つある。

1. VPNが社内ネットワークへのアクセスを制御する手法であるのに対して、IAPがアプリを防御する手法である点。IAPではアプリにアクセスするのはコネクターであり、ユーザーは社内ネットワークにあるリソースに直接アクセスはできない。
2. VPNのゲートウェイ（終端装置）は外部からアクセス可能にする必要があるのに対して、IAPのコネクターはそうではない。ファイアウォールの内側で運用可能であり、ファイアウォールに穴を開ける必要もない（IAPのコネクターからインターネットにあるIAPに対して通信を行うため）。 これにより、IAPはVPNよりセキュリティが強化できるだけでなく、イントラネットやファイアウォールの設定を変えずに済む。

IAPの基本的な構成では、プロキシであるIAPがHTTP/HTTPSの通信を単純にリダイレクトするだけである。そのため使えるクライアントもWebブラウザのみとなる。 しかし、IAPが提供するエージェントソフトウェアを使用しているPCなどにインストールすると、IAPとエージェントがPCのすべての通信をTLSによってカプセリングするため、クライアント/サーバー型のアプリケーションなどでもIAPで利用可能となる。

この、「すべての通信をTLSなどでカプセリングする」という意味ではVPNによるリモートアクセスと大差がないようにみえる。しかし実際は、VPNが「社内ネットワークに対するアクセス許可」であるのに対して、IAPエージェントを使ったリモートアクセスは「各社内リソースに対するアクセス許可」であるという違いがある。IAPエージェントを使った場合でも、社内リソースに対するアクセスはコネクターが必ず代行する。そのため、ユーザーは許可されたリソース以外にはアクセスできない。

各IAPにおける、IAPエージェントを提供しているか否かは以下の通り（ChatGPT 5.5調べ）

参考 リモートアクセスの新時代：「IAP（Identity-Aware Proxy）」のすべて｜松井真也＠登録セキスペ

MDM（Mobile Device Management）

日本語で「モバイルデバイス管理」と呼ばれる。 従業員が仕事に使うスマートフォンやタブレット、パソコンなどの端末を遠隔から管理する仕組みである。最近は端末だけでなく、その上で動くアプリケーションを個別に管理する「モバイルアプリケーション管理（MAM）」としての機能も充実してきている。

MDMはもともとスマートフォンやタブレットなどのモバイル端末管理を指す用語だったが、現在はPC、Mac、スマートフォン、タブレットをまとめて管理するUEM（Unified Endpoint Management）の文脈で使われることも多い。

MDMが備える基本機能は、システム管理の観点から大きく4種類に分けられる。

1. IT資産管理ツールとしての機能。端末ごとの資産番号やOSのバージョンなどを自動収集し、「最新のセキュリティパッチが適用されているか、などを明らかにする。
2. 端末の初期設定や業務アプリの配布などを一斉に実施する
3. 内蔵カメラの起動やSDメモリカードへのアクセスといった端末機能を強制的に禁止する
4. リモートロック、リモートワイプ（消去）機能

従来のMDMではBYOD（私有端末の業務利用）との相性が良くなかった。例えばリモートワイプなどを実行すると、写真や連絡帳など、端末内のデータをすべて消去してしまう。これを私有端末に適用してしまうと、個人のデータも削除してしまうことになる。 この点に関してはMAMの管理を追加することで制御が可能になってきている。たとえば、端末に業務アプリが動作する仮想的な領域を作り、その領域の外にある私用アプリから隔離する仕組みを備えている。これにより、業務アプリと私用アプリ間のコピー＆ペーストをできなくしたり、特定の業務アプリとその使用データだけを消去する処理なども可能になる。

MDM、MAMを提供している事業者・サービスは以下の通り（ChatGPT 5.5調べ）

ゼロトラスト文脈においては上記より、以下のサービスが有力な模様（ChatGPT 5.5調べ）

SIEM（Security Information and Event Management）

日本語で「セキュリティ情報イベント管理」と呼ばれる。

• セキュリティ装置
• ネットワーク機器
• 業務アプリケーション
• SaaS
• サーバーやクライアントで稼働するOS
• クライアントを保護するエンドポイント・ディテクション＆レスポンス（EDR） などが生成するログデータを収集・分析することで、外部からのサイバー攻撃や従業員による不正行為などを検出する。

最も基本的な機能は「異常検出」である。ログの時系列分析を行い、普段とは異なる”異常”な動きをリアルタイムで検出。セキュリティ・オペレーション・センター（SOC）や、システム管理者などに対して警告を発信する。

近年のサイバー攻撃の傾向では、従業員による不正行為の検出はサイバー攻撃対策として非常に重要である。フィッシングなどによって従業員のPCを乗っ取り、それを足がかりに社内サーバーに侵入する攻撃が相次いでいる。

不正アクセスによる、情報漏えいに関するお知らせとお詫び（2024/2/14更新）｜LINEヤフー株式会社 ランサムウェア攻撃による情報漏洩に関するお知らせ | KADOKAWA 事故の概要 | お客様本部について | ベネッセお客様本部

アカウントの乗っ取りなどを検出し防御するためには、さまざまなログを統合的に分析し、ユーザーやデバイスの振る舞いを把握する必要がある。こうした機能は「ユーザー・エンティティ・ビヘイビア・アナリシス（UEBA)」と呼ばれている。

SIEMはコストの問題やログを保存する十分なストレージの構築など、導入の障壁が多かったが、現在はクラウドサービスの普及などでハードルが下がっている。 主なサービスとしては以下の通り（ChatGPT 5.5調べ）

CASB（Cloud Access Security Broker）

日本語ではそのまま「クラウド・アクセス・セキュリティ・ブローカー」と呼ばれる。

SaaSの利用状況を可視化し、ユーザーに適切な利用を促すとともに、マルウェアなどの脅威からデータを守る役割を持つ。

CASBの主な機能としては以下の4つが挙げられる。

1. 可視化：社員がどのクラウドサービスを、誰が、どのように使っているかを把握する。例えばSaaSと連携し、保存された機密情報などを社外に共有しようとした場合などに検知しアラートを出す。
2. データセキュリティ：企業が定めたルールに基づき、クラウド上で機密性の高いデータが扱われていないかを確認する。機密情報が検出された場合は暗号化やアクセスのブロックを行う。
3. コンプライアンス：利用するクラウドサービスの認証機能やデータ保護基準が、国や業界の規制、企業のコンプライアンスに違反していないかを確認する。
4. 脅威からの防御：クラウド上のマルウェアや、不正アクセス、不審なアクティビティを検知・遮断する。セキュリティ基準が低く、情報漏洩リスクが高いSaaSなどのアクセスをブロックする。

ブローカーとはイコールで「プロキシ」ともいえる。SaaSへ向かう通信をすべてキャプチャして検査するものとして登場した。

CASBに注目が集まった背景には、「シャドーIT」の蔓延がある。シャドーITとは、企業の管理下にないITサービスやデバイスを、社員が許可なく利用することである。社用デバイスからSaaSをプライベートアカウントで利用することもシャドーITにあたる。 （例：社用PCでChatGPTの個人アカウントを利用する） 一方、管理下にあるITサービスを利用する場合は「サンクションIT」と呼ばれる。

シャドーITによる弊害の例としては、悪意ある社員がサンクションITとしてアクセス許可しているクラウドストレージにプライベートアカウントでログインし、社用PCのローカルにおいた社外秘ファイルを持ち出そうとした場合。クラウドストレージのURLへのアクセスを許可していると、これを検知することも止めることもできない。 CASBはSaaSを使う際のログインアカウントやアップロードするデータの種類に応じて、管理アクションを設定することができる。これによってサンクションIT内での不正利用も防ぐことが可能となる。

テレワークの普及などに伴い、社内のファイアウォールを通らずにインターネットを利用する従業員が増えた。この影響で次々と現れる便利なSaaSの利用などのシャドーITも増加したが、検知や抑止が難しかった（サンクションIT以外の利用は一律禁止し、あとは従業員のモラル任せになりがち）。 CASBの活用によって、SaaSの利用を過度に制限することもなく、セキュリティも確保できる可能性が高まっている。

SWG（Secure Web Gateway）

日本語で「セキュアWebゲートウェイ」と呼ばれる。 ユーザーとインターネットの間に常に存在するプロキシとして機能し、ユーザーが社内ネットワーク（オンプレミス）にいる場合も、自宅などの社外ネットワークでリモートワークしている場合であっても、インターネット上の脅威からユーザーを保護する役割を担う。 サービスによっては、CASBとしての機能や、後述のDLPとしての機能を備えるSWGも存在している。

ユーザーがSWGを経由してインターネットを利用するよう強制するために、PCにエージェントを導入し、エンドユーザーが設定などを勝手に変更できないようにするタイプのSWGが一般的である。

以下はSWGの主な機能。

引用：ゼロトラストの「門番」、セキュアWebゲートウエイ（SWG）とは | 日経クロステック（xTECH）

セキュアWebゲートウェイとは？ | SWGの仕組みと機能 | Cloudflare

SWGの代表的な製品が、Zscaler社のZscaler Internet Accessである。 ゼットスケーラーのクラウドセキュリティが選ばれる理由 | ゼットスケーラー

Zscalerはゼロトラストセキュリティの考えにもとづいて設計されたクラウドベースのセキュリティプラットフォームです。主に「Zscaler Internet Access」、「Zscaler Private Access」、「Zscaler Digital Experience」の3つのサービスを提供しており、社内外問わずセキュアなアクセスの実現と通信トラブル発生時の迅速なトラブルシュートを支援します。

Zscaler（ゼットスケーラー）とは｜日立ソリューションズ

Zscaler Internet Access（ZIA）は、ゲートウェイセキュリティーの機能をワンストップでクラウド上で提供するセキュリティーWebプロキシサービスです。

クラウド上に構築されているため、社外からでも社内と同様のセキュリティーレベルで、WebサイトやSaaSアプリケーションに対して、安全で快適なインターネットアクセスを提供します。

Zscalerの仕組みとは？VPNとの違いやセキュリティーの特徴を解説 | 三菱電機デジタルイノベーション株式会社

Zscalerを利用することで、VPNや社内プロキシ、境界型ファイアウォール中心の構成から脱却し、許可されたアプリケーションにだけ接続させられるようにできる。そのため、侵害された時の横展開（ラテラルムーブメント）を防ぐことができる。

DLP（Data Loss Prevention）

日本語で「情報漏洩防止」と呼ばれ、その名のとおり機密情報の漏洩リスクを低減する仕組みである。 機能を実行する場所によって、以下の3分類に大別される。

• エンドポイントDLP
• ネットワークDLP
• クラウドDLP

引用：すべてわかるゼロトラスト大全　さらばVPN・安全テレワークの切り札 | 日経クロステック | 工学 | Kindleストア | Amazon

従来の境界型セキュリティの考え方においては、ファイアウォールなどによって守られた社内ネットワークを信頼できる安全な場所と認識し、保護すべきファイルはその中に納めておく、という手法が取られていた。しかしゼロトラストの考え方においては、社内ネットワークを安全な場所とみなさない。

DLPの主な機能としては、以下の通りである。

DLPにおいては、どのような情報をどのように保護するかの「ルール」を設定する。機密情報を定義して検出できるようにするルールと、機密情報を検出したときに実行するアクションを定義するルールの2つがある。これらのルールが「DLPポリシー」と呼ばれる。 従来は機密情報などを含むファイルに対してキーワードなどに基づくタグ（メタデータ）を付与し、DLPはタグの種類などによってファイルに機密情報が含まれるかどうかを判断していた。 最近のDLPでは、ファイルの中に含まれるキーワードやキーワードがファイル中に存在する数などを機密情報の検出のルールとして定義し、ルールに合致するファイルをリアルタイムで検出できるようになっている。

代表的なDLPのサービスとしては以下のとおり（ChatGPT 5.5調べ）

「ゼロトラストセキュリティ」「ゼロトラストネットワーク」の表記の違い

調べていくうちに、「ゼロトラスト」を表現する語彙がさまざまであったため整理しておきたい。 これらについては明確に標準用語として定義されているわけではなく、以下のような使い分けが行われているという理解で良さそうである。

以下の記事でも「ゼロトラストセキュリティ」および「ゼロトラストネットワーク」について、上記の整理と同じような解説が行われているため引用しておく。

「ゼロトラスト」は考え方（概念）であり、その考え方をもとにしたセキュリティ対策へのアプローチが「ゼロトラストセキュリティ」である、と理解しておけばよいでしょう。前述の「境界型セキュリティ」と対になる言葉です。

ゼロトラストとは？従来型セキュリティとの違い・導入ポイントを紹介｜ICT Digital Column　【公式】NTTPCコミュニケーションズ

ゼロトラストネットワークとは、ゼロトラストの考え方に基づいて設計されたネットワークのことです。つまり、社内ネットワークでさえも信用できず、リスクを孕んだものとしてネットワークを構築しています。

ゼロトラストとは？次世代ネットワークセキュリティと境界型との違い | ESET

今回の記事のように、IAM、IAP、MDMなどの技術要素を横断的に含めて語る場合は、「ゼロトラストセキュリティ」という言葉で説明しても良さそうだ。 一方で、IAP、VPN代替、境界型防御の文脈から社内ネットワークの分離などを語る場合、「ゼロトラストネットワーク」という言葉を使うのが適切かと思われる。

BeyondCorp

Googleが構築したゼロトラストのネットワークモデル。 自社が2009年下旬から2010年上旬のサイバー攻撃（オーロラ作戦）の被害を受けたことから、10年近くかけて構築された。 ここではBeyondCorpの概要、および仕組みについて少しだけ触れておく。

「オーロラ作戦」について

2010年初頭に報道されたサイバー攻撃事件であり、Googleをはじめとする多数の大手企業が標的となりました。この攻撃は、特にインターネットエクスプローラー（IE）の脆弱性を悪用した高度な標的型攻撃（APT：Advanced Persistent Threat）として注目されました。オーロラ作戦は、中国政府に関連するハッカーグループによる攻撃とされており、主な目的は企業の知的財産や個人情報の窃取とされています。

攻撃の対象には、GoogleのほかにもAdobe、Yahoo!、Symantec、Morgan Stanley、Juniper Networksなどの企業が含まれ、金融、IT、製造業など多岐にわたりました。オーロラ作戦は、企業や政府がサイバーセキュリティ対策を見直す契機となり、特に標的型攻撃に対する備えの必要性を広く認識させた事件として知られています。

オーロラ作戦とは｜サイバーセキュリティ.com

以下はBeyondCorpによる処理の流れである。

引用：グーグル流ゼロトラスト「BeyondCorp」を読み解く - 基礎から理解、ゼロトラストネットワーク：日経クロステック Active

この中でコアコンポーネントとされているのは、以下の3つ。

• デバイスインベントリーサービス
• 信頼度推論エンジン
• アクセスプロキシ

デバイスインベントリーサービス

端末の情報を収集する仕組みであり、アクセス権限の判定に必要な情報を規定している。 以下は収集する情報の例。

信頼度推論エンジン

デバイスインベントリーサービスから得られた情報から、アクセスの都度、信頼度を評価する。

代表的なものとして、以下のような情報を組み合わせる。

あくまで例であってこのとおりではないが、Trust Tierのイメージは以下の通り。

アクセスプロキシ

BeyondCorpの論文のうち1本はアクセスプロキシの説明に費やされている。 usenix.org/system/files/login/articles/login_winter16_05_cittadini.pdf BeyondCorpの中核をなしていると言える。

アクセスプロキシはデバイスからのアクセスを集約する。負荷が集中するものの、Googleが提供するクラウドサービスの基盤技術である「Googleフロントエンド」を拡張しているので、スケーラビリティは確保できるとしている。

アクセスプロキシは、ユーザーから内部アプリへの入口として機能し、ユーザー認証、デバイス信頼度、アクセスポリシーなどの情報をもとに、リクエストを対象アプリへ中継してよいかを判断する。

引用：What is Google’s BeyondCorp?. BeyondCorp is Google’s implementation… | by _m1le5 | Medium

アクセスプロキシはHTTP/HTTPSに対応したリバースプロキシとして働くため、Webアプリケーションに基づくサービスやアプリケーションは移行しやすい。 問題となるのはカスタムアプリなど、HTTP/HTTPSを使わない固有のプロトコルを使ったサービスである。たとえばSSHを使う場合だが、こうしたプロトコルはHTTPSのパケットで包むことでトンネルを形成し、アクセスプロキシを通すようにしている。

参考

BeyondCorp ゼロトラスト企業セキュリティ | Google Cloud

GoogleのBeyondCorpとは？ゼロトラストネットワークの本質を理解する ##GoogleCloud - Qiita

ゼロトラストの元祖！Googleのビヨンドコープの話-水色のパンダ団日記

参考

ゼロトラストを巡っては、非常に多くの誤解が存在します。特に、ゼロトラストは、本当はとてもシンプルな考え方なのに、とても複雑なものだと捉えられがちです。他の方がゼロトラストについて書いたドキュメントの中には、あまりに複雑で私にも理解できないものまであるくらいです（笑）

ゼロトラストは誤解だらけ？キンダーバーグ氏が語るその本質とは｜ブログ｜NRIセキュア

ゼロトラスト | 用語解説 | 野村総合研究所(NRI)

SP 800-207, Zero Trust Architecture | CSRC

BeyondCorp? ゼロトラスト？ VPNを超えていけ！ - ブログなんだよもん