ゆめさくエンジニア研究所女性向けエンジニアスクール女性向けエンジニアスクール
ログイン

問3 ゼロトラストの説明

情報セキュリティ​マネジメント試験 令和7年度 公開問題、全15問のうちの問3。

出典：令和7年度 情報セキュリティマネジメント試験 科目A・B 公開問題 問3（原本の振り仮名は省いた）

ゼロトラストの説明として，最も適切なものはどれか。

  1. ア機器やソフトウェアの脆弱性のうち，開発元から対策方法，修正プログラムなどが提供されていない脆弱性が残っている状態のこと
  2. イ内部ネットワークであっても必ずしも安全ではないことを前提として対策を講じる考え方のこと
  3. ウ秘密情報そのものは明かさずに，自分が秘密情報を知っていることを相手に知らせる方法のこと
  4. エマルウェア定義ファイルを用いず，PC の振る舞いからマルウェア感染を検知する手法のこと
答えと解説を開く

正解はイです。

以前の守り方は、社内と社外の境目にファイアウォールを置き、内側は信頼するというものでした。しかし、クラウドの利用や社外からの仕事が増え、境目がはっきりしなくなりました。また、一度内側に入られると被害が広がりやすいという弱点もあります。ゼロトラストは「何も信頼しない」を出発点に、社内からのアクセスであっても、利用者や端末を毎回確かめてから必要な分だけ許可します。正解はイです。

ほかの選択肢が違う理由

  • ア修正プログラムなどがまだ出ていない脆弱性が残っている状態は、ゼロデイの説明です。
  • ウ秘密を明かさずに、秘密を知っていることだけを相手に示す方法は、ゼロ知識証明の説明です。
  • エ定義ファイルを使わずに、PC の振る舞いから感染を見つけるのは、ビヘイビア法 (振る舞い検知) の説明です。

仕組み

「ゼロ」の付く言葉が並ぶ問です。ゼロトラストは考え方、ゼロデイは対策が無い状態、ゼロ知識証明は証明の方法と、何を指す言葉かで見分けます。

ゼロトラストの実践では、強い認証、端末の状態の確認、最小限の権限、ログの監視を組み合わせます。

この問に出る言葉