多層防御とゼロトラストとは？たそうぼうぎょ・ぜろとらすと
多層防御とゼロトラストとは、破られ方の異なる対策を境界・ホスト・アプリケーション・データと層に分けて重ねるのが多層防御、社内だから安全という前提を捨て、接続のつど利用者と端末と状況を検証するのがゼロトラスト。監査では層ごとに統制を識別し、どの層の証拠で何を立証できるかを整理する。
最終更新：2026-10-06
システム監査技術者を最短で暗記・合格する →背景
社内網の内側を信頼できる領域とみなす設計は、外から入る経路が限られていた時代の前提に立っていた。委託先の常駐、持ち出し端末、クラウド利用が当たり前になると、内側にいることは何の保証にもならない。監査人が職業的懐疑心をもって承認されているはずだと仮定しないのと同じ発想が、アクセス制御の設計側へ持ち込まれたものと捉えると理解しやすい。
具体例
社内網からの接続にも多要素認証と端末の健全性検査を課している場合、監査人は方針文書ではなく認証基盤のログから適用状況を自ら抽出し、例外設定の一覧と承認記録を突合して、恒久的な除外が残っていないかを確かめる。
試験での引っ掛け
ゼロトラストを多層防御の代替と読むのは誤りで、退けられているのは境界の内側なら信用してよいという前提のほうであり、両者は併せて用いる。認証を一度通せば以後は信頼する仕組みでもない。多層防御も同種の対策を重ねることではなく、破られ方の異なる対策を別の層に置くのが本旨で、監査は層ごとに別の証拠を求める。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。