ゼロトラスト・セキュリティモデル

「ゼロトラスト」という言葉は、1994年4月、スティーブン・ポール・マーシュ（Stephen Paul Marsh）により、スターリング大学のコンピュータセキュリティに関する博士論文で発表された造語である。マーシュの研究は、「信頼を数学的に記述できる有限なものとして研究し、信頼の概念は道徳、倫理、合法性、正義、判断力といった人間の要素を超越するものである」というものだ。[3]

組織のITシステムに対する境界を定義することについては、2003年にジェリコ・フォーラムによって強調され、当時「境界をなくす」と呼ばれていた傾向について議論された。2009年、GoogleはBeyondCorpと呼ばれるゼロトラスト・アーキテクチャを導入した。ゼロトラストモデルという言葉は、2010年にフォレスター・リサーチ（Forrester Research）のアナリストであるジョーン・キンデンバーグ（John Kindervag）により、企業におけるより厳格なサイバーセキュリティプログラムとアクセス制御を表すために使われた[4][5]。しかし、モバイルやクラウドサービスの導入が進んだこともあり、ゼロトラスト・アーキテクチャが普及するまでには10年近くかかることになった。

2019年、国立サイバーセキュリティセンター（NCSC）は、ネットワーク・アーキテクトに対し、新しいITの展開、特にクラウドサービスの大幅な利用が予定されている場合は、ゼロトラストを検討するよう勧告した[6]。

Dimensional ResearchによるセキュリティやITの専門家を対象としたグローバル調査（2021年10月）によると、ゼロトラストセキュリティの導入の背景として、セキュリティ脅威の増加（75%）、テレワークの普及（68%)、クラウドサービスの導入（56%）を主な要因として挙げている[7] 。

2018年、米国ではNISTとNCCoE（National Cybersecurity Center of Excellence）のサイバーセキュリティ研究者がSP 800-207「Zero Trust Architecture」を発表した[8][9]。この中で、ゼロトラスト（ZT）を、「ネットワークが危険にさらされていると見なされる状況で、情報システムやサービスにおいて正確なリクエスト毎のアクセスの許可する際の不確実性を減らすために設計された概念とアイデアの集合体」として定義している。ゼロトラストアーキテクチャ（ZTA）は、ゼロトラストの概念を活用した企業のサイバーセキュリティの計画で、コンポーネントの関係、ワークフローの計画、アクセスポリシーを含んでいる。したがって、ゼロトラストエンタープライズとは、ゼロトラスト・アーキテクチャの成果として企業に導入された仮想的なものも含むネットワークインフラ及び運用ポリシーのことを指す。

NCSCでは、従来とは異なる一貫したアプローチをとっている。ゼロトラスト・アーキテクチャの背景の重要な原則としては次のような物がある。

1. 一度きりの強力なユーザーID
2. ユーザー認証
3. マシン認証
4. ポリシーの遵守やデバイスの健全性などの追加のコンテキスト
5. アプリケーションにアクセスするための認可ポリシー
6. アプリケーション内のアクセス制御ポリシー

• 信ぜよ、されど確認せよ[1] - ロシアのことわざ