# ゼロトラスト ## 定義 ゼロトラスト(Zero Trust)とは、いかなるデバイスも無条件に信頼されるべきではないという前提から出発し、認証が得られるまではどのデバイスにも他のデバイスとの通信を許可せず、認証後もジョブの完遂に必要なリソースだけに範囲を限定してアクセス権を与えるセキュリティモデルである。NIST(米国国立標準技術研究所)の定義では「セキュリティをネットワーク上の場所にもとづく暗黙の信頼モデルから脱却させ、代わりにトランザクション単位で信頼を評価することにフォーカスした、サイバーセキュリティ向けの多様なソリューションを表す用語」とされる。用語自体は2009年にフォレスター・リサーチ社のアナリストJohn Kindervagが使い始めたものだが、理論的な起源は1975年にSaltzerとSchroederが定式化した最小権限の原則(システムのすべてのプログラムとすべてのユーザーは、与えられたジョブを完遂するために必要な最小の権限で動作すべきである)に遡れる。(Source: [[@2026__LambdaNote__ネットワークシステムについて語るときに我々の語ること - Chapter 8 セキュリティ：負の目標]] ch.8 §8.3, §8.5) ゼロトラストを理解する近道は、それが**何ではないか**を考えることである。境界ベースのファイアウォール(内側を信頼・外側を非信頼とみなす)、および現代のVPN(接続後は企業ネットワークの「内側」という信頼領域を作り出す)はいずれもゼロトラストの定義を満たさない反例である。境界の内側にいるというだけでデバイスが信頼され、内側にある多数のデバイスへのアクセスを許されることは、最小権限の原則にもゼロトラストの定義にも反する。コロニアル・パイプライン社に対するランサムウェア攻撃は、VPNの「内側」に一度侵入した攻撃者が広範なシステムに到達できてしまう典型例として挙げられる。(Source: [[@2026__LambdaNote__ネットワークシステムについて語るときに我々の語ること - Chapter 8 セキュリティ：負の目標]] ch.8 §8.5) ゼロトラストへの反発が生じる要因として二つが挙げられる。第一に、名称が実態を単純化しすぎている——「何も信頼しない」のではなく「デバイスの所在だけを信頼の根拠にせず、単一の目的で認証できたからといって広範なリソースへのアクセスを与えない」という考え方であり、「認証後の限定的かつ特定化された信頼」と呼ぶほうが正確だが、キャッチーではない。第二に、包括的なゼロトラストの実装に必要な作業が実際にはかなり多く、単一のベンダー製品では解決できない。(Source: [[@2026__LambdaNote__ネットワークシステムについて語るときに我々の語ること - Chapter 8 セキュリティ：負の目標]] ch.8 §8.5) ゼロトラストの技術的な実装を後押ししたのがSDN・ネットワーク仮想化によるマイクロセグメンテーションである。VMware(Niciraを源流とする)のネットワーク仮想化製品では、レイヤー2スイッチング・レイヤー3ルーティングに続き分散ファイアウォールの仮想化が実現され、要所に置いたファイアウォールを通るようトラフィックを強制する必要がなくなった。任意の仮想マシンのペア間に精密な通信ルールを設定でき、デフォルトではどのVMも他のVMと通信できない状態にできる。これにより従来型ファイアウォールが前提とするゾーンベースの信頼を越えて、east-west(データセンター内の横方向)トラフィックへのきめ細かな制御が可能になった。ただし制御の粒度は分散ファイアウォールから見える範囲(典型的にはTCPポートの粒度)に制約されるため、真の意味での「トランザクション単位」の信頼評価には至らない。この不足を補うのがAPIゲートウェイやサービスメッシュであり、インフラの単位がサーバ・VMからサービス(マイクロサービス)へ移行したことで、セキュリティを強制する箇所もサービスへのAPIになったとされる。(Source: [[@2026__LambdaNote__ネットワークシステムについて語るときに我々の語ること - Chapter 8 セキュリティ：負の目標]] ch.8 §8.5, §8.7) **『Building Secure and Reliable Systems』第5章は、ゼロトラストネットワーキングを「ユーザークレデンシャルとデバイスクレデンシャルの組み合わせ」という2要素の掛け合わせとして定義し、これを「Zero Touch」という発展形と明確に区別する**: 同章はゼロトラストネットワーキングを「ネットワーク上の所在地(社内ネットワークにいること)自体は特権的なアクセスを一切与えない」という考え方だとしたうえで、代わりに「ユーザーについて知っていること」と「デバイスについて知っていること」の組み合わせでアクセスを許可すると定義する。これは本ページが既存の記述で扱う「トランザクション単位の信頼評価」を、ネットワーク層に限定して「ユーザー×デバイス」という2軸に具体化したものである。同章はさらに、Zero Touch(Zero Touch ProductionやZero Touch Networking)を、ゼロトラストの上に人間の本番への直接アクセスそのものを自動化で取り除くという、より踏み込んだ発展形として位置づける——ゼロトラストが「誰がどこから来たか」を評価するのに対し、Zero Touchは「そもそも人間を経路に置かない」という一段上の目標を持つ。(Source: [[@2020__OReilly__Building Secure and Reliable Systems - Chapter 5 Design for Least Privilege]] §Concepts and Terminology > Zero Trust Networking, Zero Touch) ## 横断的知見 - 同じ著者ペアが教科書とエッセイ集の双方でゼロトラストをほぼ同じ言葉で定義している。教科書第8章の Perspective 節は「ゼロトラストとは、ネットワーク内のあらゆるシステムを可能な限り信頼しないものとみなし、担当業務の遂行に必要な相手以外からは隔離するという考え方」と要約する。これはエッセイ集第8章が引くNISTの定義(「場所にもとづく暗黙の信頼モデルから脱却し、トランザクション単位で信頼を評価する」)や最小権限の原則と同じ内容を、教科書側はより簡潔な一文に凝縮したものである。教科書はゼロトラストという用語の来歴(John Kindervag, 2009年)や NIST SP 800-207 には立ち入らない一方、SDN によるマイクロセグメンテーションが技術的基盤であるという因果関係は両書で一致している。(Source: [[@2020__SystemsApproach__Computer Networks - A Systems Approach - Chapter 8 Network Security]] ch.8 Perspective, [[@2026__LambdaNote__ネットワークシステムについて語るときに我々の語ること - Chapter 8 セキュリティ：負の目標]] ch.8 §8.3, §8.5) - 両書はマイクロセグメンテーションを説明する例として、ほぼ同じ構図(VM 単位の通信をファイアウォールで制御する)を使う。教科書第8章 Perspective (Figure 214) は VM A・VM B 間の通信をファイアウォールルールで制御する例を挙げ、SDN 以前は複数 VLAN とルーティング設定の組み合わせが必要だった構成を、SDN コントローラが仮想スイッチ(vSwitch)にルールを配布するだけで実現できると説明する。エッセイ集第8章は同じ技術系譜を Nicira/VMware の分散ファイアウォール仮想化という具体的な製品史として語る。教科書は一般化された図解、エッセイ集は特定企業の製品進化という、抽象度の異なる二つの語り口で同一の技術転換を裏付けている。(Source: [[@2020__SystemsApproach__Computer Networks - A Systems Approach - Chapter 8 Network Security]] ch.8 Perspective, [[@2026__LambdaNote__ネットワークシステムについて語るときに我々の語ること - Chapter 8 セキュリティ：負の目標]] ch.8 §8.5) - 相違点として、教科書第8章は Verizon 年次レポートと *The Economist* の経済分析という対照的な二つの指標を示し、「攻撃件数では悪化・経済的影響では改善」という両義的な評価を明示的に添えている。エッセイ集第8章の定義部分にはこの定量的な軌跡の評価は含まれておらず、もっぱらゼロトラストという概念そのものの反証(境界ファイアウォール・VPN は要件を満たさない)に紙幅を割いている。両書を合わせて読むことで、ゼロトラストが「なぜ必要か(概念的反証)」と「どの程度普及・効果があったか(定量指標)」の両面から裏付けられる。(Source: [[@2020__SystemsApproach__Computer Networks - A Systems Approach - Chapter 8 Network Security]] ch.8 Perspective, [[@2026__LambdaNote__ネットワークシステムについて語るときに我々の語ること - Chapter 8 セキュリティ：負の目標]] ch.8 §8.5) - 一次情報での裏取り: [[@2009__MITOCW__Principles of Computer System Design - Chapter 11 Information Security]] は Jerome H. Saltzer 自身が M. Frans Kaashoek と共著した一次資料であり、ゼロトラストの理論的起源とされる最小権限の原則を「**Least privilege principle** — 宝石を入れた金庫に弁当を入れるな(Don't store lunch in the safe with the jewels)」として明示的に定式化している(§11.1.4)。既存の [[@2026__LambdaNote__ネットワークシステムについて語るときに我々の語ること - Chapter 8 セキュリティ：負の目標]] が引く定義(「与えられたジョブを完遂するために必要な最小の権限で動作すべき」)と一次資料の記述は矛盾なく、二次情報の要約が正確であることを裏付ける。ただし一点重要な違いがある: 一次資料である本章(2009年出版)は「zero trust」という語を一度も使わない(全文検索で0件)。ゼロトラストという用語とSaltzerの最小権限原則との接続は、本章自身が行っているのではなく、後年の二次資料(LambdaNote書、Forrester社のJohn Kindervagによる2009年の用語提唱)が事後的に行った再解釈である。したがって「ゼロトラストは最小権限の原則の派生概念である」という本ページの主張は、一次資料による直接の裏付けではなく、二次資料の解釈を一次資料が(用語を介さずに)側面から支持する、という位置づけが正確である。(Source: [[@2009__MITOCW__Principles of Computer System Design - Chapter 11 Information Security]] ch.11 §11.1.4, [[@2026__LambdaNote__ネットワークシステムについて語るときに我々の語ること - Chapter 8 セキュリティ：負の目標]] ch.8 §8.3) - 一次資料は最小権限の原則を単独ではなく、オープンデザイン・秘密の最小化・完全な仲介・機構の経済性・共通機構の最小化・フェイルセーフなデフォルトと合わせた7原則の一部として提示する(詳細は [[セキュリティ設計原則]])。ゼロトラストの実装で使われる「トランザクション単位の信頼評価」は、この7原則のうち特に完全な仲介(すべての要求ごとに真正性・完全性・認可を検査する)の思想とも整合しており、最小権限の原則だけでなく完全な仲介の原則も理論的背景として位置づけられる可能性がある。この接続は本ページの既存の二次資料からは見えていなかった軸である。(Source: [[@2009__MITOCW__Principles of Computer System Design - Chapter 11 Information Security]] ch.11 §11.1.4, §11.1.6) - **Security Engineering 3e 第21章は、本ページが記録するBeyondCorpという固有名を、抽象的な理論ではなく実装の詳細まで踏み込んで裏付ける**: 本ページの既存記述はいずれもBeyondCorpを「ゼロトラストの実践例」として言及しているが、内部構造には立ち入っていなかった。第21章 §21.1はGoogle自身の公式説明を引用し、「アクセス制御をネットワーク境界から個々のユーザー・デバイスへ移す」という定義に加え、実装の骨格として (1) サービスごとのインターネット向けアクセスプロキシ(「per-service firewall」)、(2) 複数階層の機密性区分、(3) デバイス台帳サービス、(4) アクセス制御エンジン、(5) 社員・契約社員とデバイスを紐づけるための良質なHRデータ、という5要素を挙げる。これは本ページが記録する「トランザクション単位の信頼評価」という抽象的な理想を、Googleが実際にどう組織的インフラとして構築したかという運用の詳細で埋める。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 21 Network Attack and Defence]] ch.21 §21.1, [[@2026__LambdaNote__ネットワークシステムについて語るときに我々の語ること - Chapter 8 セキュリティ：負の目標]] ch.8 §8.5) - **本ページが記録する「ゼロトラストの反例」(境界ファイアウォール・VPN)に、第21章は具体的な被害事例を追加する**: 本ページの既存記述はコロニアル・パイプライン社へのランサムウェア攻撃を「VPNの内側に侵入した攻撃者が広範なシステムに到達できてしまう」反例として挙げていた。第21章はこれとは独立に、境界防御の限界を示す一般論として「侵入者がネットワーク内の他の機械をどれだけ容易に乗っ取れるかは、ネットワークがどれだけ厳格に閉じられているかに依存し、侵害後の被害はネットワーク内の他機がどれだけ侵害機を信頼しているかに依存する」と述べ(§21.3.4)、これが「ローカルネットワークを信頼しない」("not trusting local networks")という設計判断の根拠になるとする。両者は異なる事例(コロニアル・パイプライン対 一般的な内部ネットワーク移動)から出発しながら、「境界内部での無条件の信頼が被害を拡大させる」という同一の教訓に到達している。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 21 Network Attack and Defence]] ch.21 §21.3.4, [[@2026__LambdaNote__ネットワークシステムについて語るときに我々の語ること - Chapter 8 セキュリティ：負の目標]] ch.8 §8.5) - **境界化と脱境界化は対立する二択ではなく、組織の性質による使い分けであるという視点を第21章が明示的に補う**: 本ページはこれまでゼロトラスト(脱境界化)を境界ファイアウォールに対する優位な代替として記録してきたが、第21章 §21.1は産業制御系(DNP3・Modbusのような暗号非対応プロトコルを使う電力・車両CANBUS)のように、内部を保護できないためむしろ境界を1点に集約する「再境界化(re-perimeterization)」を取る組織があると明示する。ゼロトラストが万能の解ではなく、内部ネットワークを保護できるか否かという組織の性質に応じた選択の一つであるという相対化は、本ページのこれまでの記述にはなかった視点である。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 21 Network Attack and Defence]] ch.21 §21.1) - **本ページが既存の未解決の問いとして残していた「境界防御とゼロトラストが実務上どう共存すべきか」に、第5章のbreakglass設計は逆説的な形で部分的な答えを与える**: 本ページはこれまで、エッセイ集第8章がゼロトラストの中でもファイアウォールが「中央制御のポイントとして重要」であり続けると認めつつ、具体的な共存設計までは踏み込んでいないことを未解決の問いとして記録していた。『Building Secure and Reliable Systems』第5章は、ゼロトラストネットワーキングの緊急時breakglassメカニズムについて「特定の場所(panic room、追加の物理的アクセス制御を備えた拠点)からのみ利用可能にすべきだ」と述べ、これを「ゼロトラストネットワーキングのフォールバック機構は、ネットワーク上の所在地を信頼しないという戦略の……フォールバックとして、追加の物理的アクセス制御つきでネットワーク上の所在地を信頼することになる」という逆説として自己言及的に指摘する。これは、境界防御(特定拠点への物理的な信頼の集約)とゼロトラスト(所在地に基づく信頼の否定)が、通常運用とフォールバック運用という異なる層で共存する具体的な設計パターンを示しており、本ページの未解決の問いに対する一次資料からの部分的な回答になる。ただし、これは「例外時のフォールバック」の設計に限定した回答であり、通常運用時の境界防御とゼロトラストの共存(エッセイ集第8章が示唆する「中央制御のポイント」としてのファイアウォールの役割)まで解消するものではない。(Source: [[@2020__OReilly__Building Secure and Reliable Systems - Chapter 5 Design for Least Privilege]] §Best Practices > Graceful Failure and Breakglass Mechanisms, [[@2026__LambdaNote__ネットワークシステムについて語るときに我々の語ること - Chapter 8 セキュリティ：負の目標]] ch.8 §8.5) ## 未解決の問い - ゼロトラストという用語がSaltzerの原論文や本章(2009年)自体には登場しない以上、「最小権限の原則の派生」という系譜づけが業界でいつ・誰によって最初に明示的に行われたかは、本wikiではまだ一次資料で裏付けられていない。John Kindervagのオリジナルのレポート(Forrester、2009年or2010年)を ingest すれば確認できる可能性がある。 - ゼロトラストの実装が「トランザクション単位」の理想に対して常にTCPポート粒度に制約されるという限界は本章で明示されるが、この限界を超えてアプリケーション層のセマンティクスまで踏み込んだアクセス制御(サービスメッシュ・APIゲートウェイ)がどこまでこのギャップを埋めているかは、本章では「重要性が高まっている」という定性的な言及にとどまり、定量的な評価はない。 - ゼロトラストが「マイクロセグメンテーションの延長」として語られる一方で、境界防御(ファイアウォール)自体が完全に不要になるわけではなく、「中央制御のポイントとして重要」だと本章は認めている(§8.5)。第5章のpanic room breakglassは緊急時フォールバックという限定的な場面での共存パターンを示したが(横断的知見参照)、通常運用時に境界防御とゼロトラストがどう役割分担すべきかの具体的な設計指針は依然として示されていない。 - NISTのZero Trust Architecture(SP 800-207)の定義は本章で「驚くほど明快」と評価されるが、その実装をどう検証・監査するかという運用上の課題は本章の範囲外である。 ## 関連 - ソース: [[@2026__LambdaNote__ネットワークシステムについて語るときに我々の語ること - Chapter 8 セキュリティ：負の目標]](§8.3, §8.5, §8.7) / [[@2020__SystemsApproach__Computer Networks - A Systems Approach - Chapter 8 Network Security]](Perspective) / [[@2009__MITOCW__Principles of Computer System Design - Chapter 11 Information Security]](§11.1.4, §11.1.6) / [[@2020__Wiley__Security Engineering 3e - Chapter 21 Network Attack and Defence]](§21.1 BeyondCorpの実装詳細、§21.3.4 境界内部の信頼が招く被害拡大) / [[@2020__OReilly__Building Secure and Reliable Systems - Chapter 5 Design for Least Privilege]](§Concepts and Terminology > Zero Trust Networking, Zero Touch、§Best Practices > Graceful Failure and Breakglass Mechanisms) - 概念: [[ネットワークセキュリティアーキテクチャ]](ゼロトラストが体現する上位の設計思想) / [[ネットワーク仮想化]] / [[ソフトウェア定義ネットワーク]](マイクロセグメンテーションの技術的基盤) / [[セキュリティ設計原則]](最小権限の原則の一次情報での定式化) / [[最小権限設計]](Zero Touchという発展形、breakglassのpanic room設計) - 実体: [[John Kindervag]](用語の提唱者) / [[Jerome H. Saltzer]](最小権限の原則) / [[Nicira]](分散ファイアウォール仮想化の実装元) ## 出典 - Larry Peterson・Bruce Davie 著, 進藤資訓 訳, 『ネットワークシステムについて語るときに我々の語ること』, ラムダノート, 2026, 第8章 §8.3, §8.5, §8.7. - Larry Peterson and Bruce Davie, *Computer Networks: A Systems Approach*, 6th edition, Chapter 8: Network Security, Perspective. https://book.systemsapproach.org/security.html - Jerome H. Saltzer and M. Frans Kaashoek, *Principles of Computer System Design: An Introduction*, Version 5.0, 2009, Chapter 11 §11.1.4, §11.1.6. MIT OpenCourseWare, CC BY-NC-SA 3.0 US. - Ross Anderson, *Security Engineering: A Guide to Building Dependable Distributed Systems*, 3rd Edition, John Wiley & Sons, 2020, Chapter 21, §21.1, §21.3.4. - Heather Adkins et al. (eds.), *Building Secure and Reliable Systems*, O'Reilly Media, 2020, Chapter 5.