ゼロトラストとは何ですか

こう聞かれます

• 「ゼロトラストとは何ですか」
• 「VPN で社内のネットワークに入れば安全、という考え方の何が困るのですか」
• 「社内の管理画面を、どう守りますか」

面接官が見ている点

• 「場所」ではなく「誰が、どの端末で」を毎回確かめる、と言えるか
• 決まった言葉の暗記ではなく、守り方の例を 1 つ出せるか
• 入れるときの手間や、利用者の負担にも目が向いているか

短い答え

• ゼロトラストは、社内のネットワークにいるから安全、とはみなさず、要求のたびに、誰が、どの端末から来たかを確かめる考え方です。
• 一度中に入られると全部に届く、という境界だけの守りの弱さを補うためで、入れた人にも要る分だけの権限を渡します。
• たとえば社内の管理画面を、Google Cloud の IAP や Cloudflare Access のような仕組みの後ろに置き、VPN なしで、ログインと端末の確認を通った人だけに開きます。

少し詳しい答え

よくある間違い

• ゼロトラストを 1 つの製品の名前だと思う考え方の名前です。製品はそれを形にする道具の 1 つです
• 「誰も信用しない」とだけ言う信用しないのではなく、毎回確かめてから、要る分だけ許す、と言うと伝わります
• VPN を無くすことが目的だと言う目的は、場所に頼らずに人と端末を確かめることです

深掘りの問い

• 「最小権限とは何ですか」 仕事に要る分だけの権限を渡し、要らなくなったら外すこと、と答えます
• 「サーバーどうしの通信はどう守りますか」 サービスにも身元 (アカウントや証明書) を持たせ、呼ぶ相手を確かめる、と答えます
• 「入ったあとに怪しい動きをしたら」記録を見張り、いつもと違う動きを見つけたら止める、と答えます

関連するコースと用語

• 信頼境界（Trust Boundary）とは
  コース「Webセキュリティ入門」
• APIの認可 誰に何を許すか
  コース「APIセキュリティ入門」
• 認証
  コース「ITパスポート対策」

用語集で確かめる言葉は、認証、認可、最小権限です。