令和4年度 III-27

解説

この問題で問われていること

NISTのゼロトラストの基本原則に合わない記述を選ぶ問題。

解き方

① ゼロトラスト=「決して信頼せず、常に検証する」。ネットワークの内側でも信頼せず、アクセスのたびに、許可する前に認証・認可する
② ⑤「アクセスが許可された後に」認証・認可するは順番が逆
③ ⑤

正解が正しい理由

ゼロトラストは、ネットワークの内側であっても暗黙の信頼を与えず、リソースへのアクセスごとに、動的に認証と認可を行う考え方である。認証・認可は、アクセスが許可される前に行うものであり、アクセスが許可された後に実施するとする⑤は不適切である。

各選択肢について

• ① すべてのデータソースとコンピューティングサービスをリソースとみなすは、ゼロトラストの原則の1つで、適切。
• ② ネットワークの場所に関係なく、すべての通信を保護する(ネットワーク位置で信頼しない)は、ゼロトラストの原則で、適切。
• ③ すべての資産の整合性とセキュリティ動作を監視し、測定するは、ゼロトラストの原則で、適切。
• ④ 資産、ネットワークインフラ、通信の現状について、可能な限り多くの情報を収集し、セキュリティ態勢の改善に利用するは、ゼロトラストの原則で、適切。
• ⑤ 認証と認可は、アクセスが許可される前に厳格に実施される。許可された後とするのは誤りで、不適切。これが正答。

覚えるべきポイント

ゼロトラストでは、「決して信頼せず、常に検証する」。境界の内側という理由で信頼せず、リソースへのアクセス許可の前に、動的な認証・認可を行う。