まず、いちばん誤解されやすい点から。ゼロトラストは「誰も信用しない」という話ではありません。信用しないのは「場所」です。

NIST SP 800-207 のアブストラクトには、こう書かれています。

ここで否定されているのは「暗黙の信頼」です。従来は「社内LANにつながっている＝信用してよい」「会社支給のパソコン＝信用してよい」という前提がありました。その前提を外そう、というのがゼロトラストです。

同文書はさらに、ZTAはネットワークの区画ではなく資源そのものを守ることに焦点を当てるとしています。守る単位が「社内ネットワーク」から「データやサービス1つ1つ」へ移った、と考えると分かりやすいと思います。

第1章 おわり — 次は第2章

ゼロトラストが必要とされる理由は、理屈ではなく統計に出ています。

出典：警察庁『令和7年におけるサイバー空間をめぐる脅威の情勢等について』（2026年3月公表）、Google Cloud / Mandiant「M-Trends 2026」、IPA『情報セキュリティ10大脅威 2026』。

1行目が、境界型防御の限界をそのまま示しています。VPN機器とは、社内と社外の境界を守るために置いた装置です。その装置が、いま最も多く使われている侵入経路になっています。

そしてVPNの構造上の問題は、いったん通ってしまえば社内の広い範囲にアクセスできてしまうことです。玄関の鍵を1つ突破されると、建物全体を歩き回れます。

両者の違いを筆者が整理したものです。実際の効果は実装によって大きく異なります。

第2章 おわり — 次は第3章

NIST SP 800-207 は、ゼロトラストを「除外するもの」ではなく「備えるべき基本原則」で定義するという方針を取り、7つの原則を挙げています。同文書はこれを理想の目標であり、すべてが純粋な形で実装されるとは限らないとも明記しています。

出典：NIST SP 800-207「Zero Trust Architecture」2.1 Tenets of Zero Trust。英文は原文からの引用（見出し文のみ）、日本語は筆者訳で公式訳ではありません。右列は筆者による補足です。

この7つを眺めて気づくのは、どれも「製品を買う」という話ではないということです。

1番は資産の棚卸し。3番はアクセス権の設計。5番は端末の更新状況の管理。7番はログの取得。製品が必要なものもありますが、出発点はどれも「決めること」と「把握すること」です。

第3章 おわり — 次は第4章

もう1つ、ほとんど語られないことがあります。NIST SP 800-207 には「ゼロトラストアーキテクチャに関連する脅威」という章があり、ZTAにしても残る問題が7つ挙げられています。そのまま紹介します。

出典：NIST SP 800-207「Zero Trust Architecture」5章 Threats Associated with Zero Trust Architecture の見出し。日本語訳と右列の説明は筆者によるもので、公式訳ではありません。

とくに3番に注目してください。盗まれた認証情報で正規の利用者として入られた場合、ゼロトラストでも防ぎきれないとNIST自身が認めています。だからこそ、フィッシング耐性のある認証（パスキーなど）と、振る舞いの監視が併せて必要になります。

そして1番と2番は、ゼロトラストの構造そのものが生む新しいリスクです。判断を1か所に集めれば、そこが単一障害点になります。ゼロトラストは万能の解決ではなく、リスクの形を変える選択だということです。

第4章 おわり — 次は第5章

ゼロトラストは組織の設計方針なので、個人が導入するものではありません。ただしテレワークをしている方は、その影響を直接受けます。「以前は社内にいれば見えていた資料が、認証を求められるようになった」といった変化がそれです。

また、7原則のうちいくつかは個人の行動にそのまま置き換えられます。

NIST SP 800-207 の原則を個人の行動に置き換えた、筆者による整理です。

第5章 おわり — 次は第6章

NIST SP 800-207 には「境界型のネットワークにゼロトラストを導入する手順」という節があり、7つのステップが示されています。何から始めればよいか分からない、という場合はこの順番が答えになります。

出典：NIST SP 800-207「Zero Trust Architecture」7.3 Steps to Introducing ZTA to a Perimeter-Based Architected Network の見出し。日本語訳と右2列は筆者によるものです。

この表でいちばん伝えたいのは、製品の検討が5番目にあるということです。1〜4は費用がかからず、しかも飛ばすと5番以降が機能しません。

とくに2番の資産の洗い出しは、実施すると必ず何かが見つかります。退職者が立てた検証環境、部署が独自に契約したクラウド、解約し忘れたサービス。把握できていない資産は、ゼロトラストのポリシーの外側にあります。

なお、実装の具体例を知りたい場合は、NISTがSP 1800-35「Implementing a Zero Trust Architecture」を2025年6月に最終版として公開しています。24社のベンダーと連携し、市販製品で19通りの実装を構築・検証した結果がまとめられています。

第6章 おわり — 次は第7章

NIST自身が挙げているとおり、盗まれた認証情報で正規の利用者として入られるケースは、ゼロトラストでも防ぎきれません。起きた場合の初動を書きます。

電源に関する注意は警察庁『令和7年におけるサイバー空間をめぐる脅威の情勢等について』の「ランサムウェア被害後の対応策」にもとづきます。その他は実務上の一般的な整理です。

第7章 おわり — 次は第8章

第8章 おわり — 最後にFAQ