ゼロトラストの問題と解説 | ITパスポート

正解：エ

各選択肢の解説

ア社内ネットワークに接続した端末は信頼済みとして扱い、業務システムの認証を省く。
誤り。これは見直す前のA社のやり方そのものです。接続した場所を信頼の根拠にしている点が問題で、社内の端末がマルウェアに感染すれば、そのまま業務システムまで到達できてしまいます。
イ社内と社外の境界に機器を置き、外部から入ってくる通信だけを検査して防ぐ。
誤り。これは境界型防御の考え方です。守る対象が社内に閉じていた時代には有効でしたが、利用者も情報も社外に出た今は、境界を通らないクラウドへの直接接続を守れません。
ウ業務で扱う情報をすべて社内のサーバに集約し、クラウドサービスの利用をやめる。
誤り。境界の内側に情報を戻して守ろうとする発想で、向きが逆です。ゼロトラストは、社外のサービスを使うことを前提に、信頼の置き方のほうを変える考え方です。
エ社内と社外のどちらからの接続でも、そのつど利用者と端末を確認してから許可する。
正解。どこから接続したかを信頼の根拠にせず、アクセスのたびに本人と端末の状態を検証します。社内にいるという事実だけでは通さない点が、ゼロトラストの核心です。

従来のセキュリティは、城と堀にたとえられます。堀の内側（社内ネットワーク）は安全な場所とみなし、外から入ってくる通信だけを門で検査する。これが境界型防御です。

ところが、働く人は自宅や外出先から接続するようになり、業務データはクラウドサービスの上に置かれるようになりました。 守りたい人も情報も、堀の外に出てしまったわけです。

しかも、堀の内側は一度入られると危険です。社内の1台がマルウェアに感染すると、そこから他のサーバへ次々に入られてしまいます。

「何も信頼しない（zero trust）」とは、誰も使わせないという意味ではありません。 接続元の場所を信頼の根拠にしないという意味です。

考え方	信頼の置き方
ゼロトラスト	場所を信頼せず、アクセスのつど検証する
境界型防御	内側は信頼し、境界で外からの通信を検査する
多要素認証	本人確認を強くする手段。ゼロトラストを支える部品の一つ

試験では、テレワークやクラウド利用の場面を置いて対策を選ばせる形で問われます。「社内にいるかどうかで扱いを変えているか」が見分けどころです。