令和7年度 問3｜情報セキュリティの考え方（CIA・ゼロトラスト・責任共有）

正解：イ 内部ネットワークであっても必ずしも安全ではないことを前提として対策を講じる考え方のこと

ポイント

ゼロトラストの説明を、似た語の説明と区別して選ぶ問題です。

考え方と解き方

「ゼロ」が付く用語には、ゼロデイやゼロ知識証明などがあり、取りちがえやすい所です。ゼロトラストは、信頼を前提にせず、要求ごとに確かめる考え方だと、意味から区別します。

1. ゼロトラストは、境界の内部が侵害されることも想定したうえで、要求ごとに必要最小限の権限でアクセス制御を行う考え方です。内部ネットワークだから安全とは考えません。
2. 他の説明は、別の用語の説明になっています。したがって、最も適切なのは イ です。

ほかの選択肢

• ア 対策方法や修正プログラムが提供されていない脆弱性が残っている状態は、ゼロデイの状態の説明です。
• ウ 秘密情報を明かさずに、知っていることを相手に示す方法は、ゼロ知識証明の説明です。
• エ 定義ファイルを用いず、振る舞いからマルウェア感染を検知する手法は、ビヘイビア法の説明です。

覚えておくこと

• ゼロトラスト：境界の内部の侵害も想定し、要求ごとに必要最小限の権限で制御する考え方
• 境界型セキュリティ：境界で内と外を遮断し、内側は信頼できる前提
• ゼロトラストは考え方（概念）で、特定の製品を指すものではない

（テーマ・覚えること）