暗号・認証
ぜろとらすと
社内ネットワークであっても無条件に信頼せず、利用者、端末、アプリケーション、通信をその都度検証するセキュリティの考え方。従来の境界防御だけに依存せず、認証・認可、端末状態の確認、最小権限、ログ監視などを組み合わせる。クラウド利用やリモートワークの拡大に伴い、ITパスポートや情報セキュリティマネジメントでも基本概念として問われやすい。
暗号・認証の用語は、機密性、完全性、真正性、否認防止のどれを実現する技術かが問われます。共通鍵、公開鍵、ハッシュ、署名、証明書の役割分担を整理しておくと、組合せ問題に対応しやすくなります。
社内ネットワークにいるから安全とみなすのではなく、利用者、端末、アクセス先、状況を継続的に確認してアクセスを許可します。クラウド利用やリモートワークが前提の説明で出やすい用語です。
従来の境界型防御は、社内と社外の境界で守る考え方です。ゼロトラストは境界の内側も無条件に信頼せず、最小権限や継続的な認証・認可を重視します。
一度ログインすれば以後は信頼してよいという考え方だと判断する。
継続的に確認し、必要最小限のアクセスだけを許可する。
社内LANの境界を強化するだけの対策と考える。
境界の内外を問わず信頼しない前提でアクセス制御する。
ゼロトラストと同じ「暗号・認証」の用語では、RSA、IPsec、暗号の危殆化などが近い文脈で問われます。使う鍵の種類、守る性質、検証者、鍵管理の方法を軸に比較してください。