情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 令和7年度 科目A 公開問題 問3: ゼロトラストの説明として，最も適切なものはどれか。

正解

イ. 内部ネットワークであっても必ずしも安全ではないことを前提として対策を講じる考え方のこと

正答率 52.2%（115人中 60人が正解）

問題の解説

ゼロトラストは「何も信頼しない（never trust, always verify）」を基本理念とし，社内・社外という境界に依存せず，内部ネットワークであっても安全とは限らないことを前提に，全てのアクセスを都度検証する考え方である。イがこの前提を正しく述べているため正解。他は無対策の脆弱性，ゼロ知識証明，振る舞い検知といった別概念の説明である。

選択肢ごとの解説

• ア修正プログラム未提供の脆弱性が残る状態はゼロデイ脆弱性の説明であり，ゼロトラストではないため誤り。
• イ内部ネットワークも安全と仮定せず検証するというのはゼロトラストの基本前提そのものであり正しい。
• ウ秘密情報を明かさずに知っていることを証明する手法はゼロ知識証明の説明であり，ゼロトラストではないため誤り。
• エ定義ファイルを用いず振る舞いで感染を検知するのはビヘイビア法（振る舞い検知）の説明であり，ゼロトラストではないため誤り。