ITパスポート 2026年 問92

ゼロトラストセキュリティに基づく対策の例選択【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文のキーワードを押さえる：「ゼロトラストセキュリティ」＝内外を問わず信用しない、常に検証する。
2. 各選択肢を「常に検証する」「場所で信用を変えない」という観点で評価する。
3. 「アクセス時に本人確認を強める」対策がゼロトラストと合致することを確認する。
4. 選択肢の中でそれに該当するのが イ であるため選ぶ。

選択肢別の誤答解説

• ア: インターネットと内部ネットワークの境界にファイアウォールを配置し、インターネットからの脅威を境界で遮断する。
  • ファイアウォール（外部と内部の通信を制御する機器やソフト）は重要な防御手段です。しかし、境界（内と外）で全てを信頼／不信に振り分ける「境界防御」型は、ゼロトラストの「内側も自動的に信頼しない」考え方と合いません。内部からの脅威や、認証を突破した攻撃を防げないため、ゼロトラストの代表例とは言えません。
• イ: 内部ネットワークからであっても外部ネットワークからであっても、ネットワーク上の情報資源へのアクセスには二要素認証を利用する。
  • （正解）アクセスごとに本人確認を強化し、内外で同じ検証を求めるため、ゼロトラストの原則に適合します。二要素認証は「知識（パスワード）」＋「所持（スマホやトークン）」など、異なる種類の要素で認証を強化します。
• ウ: 内部ネットワークに接続するPCにインストールされたソフトウェアに脆弱性が発見されたときに、そのセキュリティパッチは公開後直ちに適用する。
  • セキュリティパッチ（脆弱性対策の修正プログラム）を速やかに適用することは重要です。ただし「公開直後に直ちに全台適用」は、互換性問題や業務影響を招く恐れがあり現実的でない場合があります。ゼロトラストは迅速な脆弱性対応を促しますが、同時にテストや段階的展開、機器の健康状態チェックなどのプロセスも重要です。したがって「直ちに全適用」だけがゼロトラストの具体例とは言い切れません。
• エ: 内部ネットワークに接続するPCのうち、インターネットにアクセスするPCだけにマルウェア対策ソフトをインストールする。
  • マルウェア（malicious software：悪意あるソフトウェア）対策は重要ですが、アクセス先によって保護レベルを変えるのはゼロトラストに反します。ゼロトラストでは端末の信頼性（端末が安全か）を常に確認・担保するため、すべての端末に適切な保護を施す必要があります。よってエは不適切です。

よくある誤解

1. 「ゼロトラストは境界防御を完全に捨てる」という誤解
   • 境界防御（ファイアウォール等）が無意味になるわけではありません。ゼロトラストはそれに加えて、個々のアクセスや端末を常に検証する考え方です。両方を組み合わせるのが実務では多いです。
2. 「二要素認証を入れればゼロトラスト完了」という誤解
   • 二要素認証は重要な要素ですが、ゼロトラストはそれだけではありません。ID管理、最小権限（必要な権限だけ与える）、端末の状態確認、ネットワークの分割（マイクロセグメンテーション）など複数の対策を組み合わせる必要があります。

補足コラム

• ID・アクセス管理：強い認証（パスワード＋二要素認証）、シングルサインオン（SSO：一度の認証で複数サービスにアクセス）と組み合わせる。
• 最小権限：ユーザーやシステムには業務に必要な最小限の権限だけを付与する。
• 端末の健全性チェック：端末に最新のパッチが当たっているか、マルウェア対策が有効かを確認し、問題があればアクセスを制限する。
• マイクロセグメンテーション：ネットワークを小さな区画に分け、侵害が起きても横展開（被害の拡大）を防ぐ。
• 継続的な監視とログ分析：アクセスの異常を常時監視し、追跡できるようにする。

1. 強い認証（二要素認証）の全ユーザー導入
2. アクセス権の見直し（不要な管理者権限の削減）
3. 端末の基本保護（パッチ適用ポリシー、ウイルス対策）
4. ログと監視の簡易化（異常検知の導入）

FAQ