ゼロトラストは「すべてのアクセスを信頼せず常に検証する」セキュリティモデルです。M365 Business Premiumを活用すれば、追加コストなしでゼロトラストの基盤を構築できます。
ゼロトラストとは
ゼロトラストは「社内であろうと社外であろうと、すべてのアクセスを信頼せず、常に検証する」セキュリティモデルです。従来の「社内ネットワークは安全、社外は危険」という境界防御モデルに代わる考え方で、テレワーク・クラウド時代に適したセキュリティアーキテクチャです。
従来の境界防御モデルとの違い
| 項目 | 境界防御モデル | ゼロトラストモデル |
|---|---|---|
| 前提 | 社内は安全、社外は危険 | すべてを信頼しない |
| 防御の対象 | ネットワークの境界（ファイアウォール） | すべてのアクセス要求 |
| 認証 | 社内ネットワークに接続すればOK | 毎回のアクセスで認証・認可 |
| テレワーク | VPNが必要 | VPN不要（ID認証＋デバイス認証） |
| 侵入された場合 | 社内で自由に横移動可能 | アクセスが最小権限に制限されている |
セキュリティ対策は導入して終わりではなく、日々の運用と検知後の初動が成果を分けます。情シス365では Defender／Intune の運用も含めて、必要な時間数に応じた月額制（月12万円〜）でご支援しています。
情シス365（セキュリティ運用） を見る →3つの原則
- ① 常に検証する（Verify Explicitly）：ユーザーID、デバイスの状態、場所、リスクレベル等の複数のシグナルに基づいて毎回アクセスを検証する
- ② 最小権限アクセス（Least Privilege）：ユーザーには業務に必要な最小限の権限のみ付与。Just-In-TimeおよびJust-Enough-Accessの原則
- ③ 侵害を前提とする（Assume Breach）：「既に侵害されている」という前提で設計し、被害を最小化するためにセグメント化、暗号化、監視を徹底
Microsoft 365でのゼロトラスト実装
| ゼロトラスト要素 | M365の機能 |
|---|---|
| ID認証 | Entra ID MFA、条件付きアクセス、Entra ID Protection |
| デバイス認証 | Intune コンプライアンスポリシー、Entra Join |
| エンドポイント保護 | Defender for Business（EDR） |
| データ保護 | 感度ラベル、DLP、暗号化 |
| 監視・検知 | 統合監査ログ、Defenderアラート、サインインログ |
Business PremiumにはMFA、条件付きアクセス、Intune、Defenderがすべて含まれ、追加コストなしでゼロトラストの基盤を構築できます。
導入ステップ
- Step 1：MFAの全ユーザー適用＋レガシー認証のブロック
- Step 2：条件付きアクセスポリシーの設定（場所・デバイス制御）
- Step 3：Intune登録＋コンプライアンスポリシーによるデバイス認証
- Step 4：Defender for Businessによるエンドポイント保護
- Step 5：監査ログの有効化と継続的な監視体制の構築
よくある誤解
| 誤解 | 実際 |
|---|---|
| 製品を買えばゼロトラストになる | ゼロトラストは設計思想であり、単一製品では実現しない。ID・デバイス・ネットワーク・データの各層で検証を積み重ねる |
| VPNを廃止することがゴール | VPN廃止は手段のひとつ。目的はアクセスのたびに検証し、侵害時の影響範囲を限定すること |
| 一度に全部やる必要がある | 段階的に進められる。MFAの全社適用だけでも侵害リスクは大きく下がる |
| 大企業向けの考え方 | クラウドとテレワークが前提になった中小企業ほど、境界型防御の前提が崩れている |
成熟度で見る進め方
自社がどの段階にいるかで、次にやるべきことが決まります。
| 段階 | 状態 | 次の一手 |
|---|---|---|
| Lv1 | パスワード認証のみ。境界型防御に依存 | 全ユーザーへのMFA適用。ここが最もコスト対効果が高い |
| Lv2 | MFAは入っているが、どの端末からでもアクセスできる | 条件付きアクセスで場所・デバイスの条件を加える |
| Lv3 | デバイス管理まで到達している | DLPで情報の持ち出しを制御し、ログを集約する |
| Lv4 | ログ集約と監視ができている | リスクベースの自動対応、定期的な有効性検証へ |
Lv1の状態でSIEMやCASBを検討するのは順序が逆です。まずMFAを全ユーザーに、次に条件付きアクセス。この2つで大半の侵害は防げます。
よくある質問
ゼロトラストとは何ですか？
「何も信頼せず、常に検証する」というセキュリティの考え方です。社内ネットワークの中にいれば安全という前提を捨て、社内外を問わずすべてのアクセスを検証します。
製品を導入すればゼロトラストになりますか？
なりません。ゼロトラストは設計思想であり、単一製品では実現しません。ID・デバイス・ネットワーク・データの各層で検証を積み重ねる必要があります。
中小企業は何から始めるべきですか？
全ユーザーへのMFA適用です。最もコスト対効果が高く、Microsoft 365やGoogle Workspaceでは追加費用なしで有効化できます。その次に条件付きアクセスで場所とデバイスの条件を加えます。
VPNは廃止しなければいけませんか？
必須ではありません。VPN廃止は手段のひとつであり、目的はアクセスのたびに検証して侵害時の影響範囲を限定することです。オンプレミスのシステムが残る場合は、VPNの利用範囲を縮小しながら段階的に進めます。
まとめ
ゼロトラストは「すべてのアクセスを信頼せず常に検証する」セキュリティモデルです。M365 Business Premiumを活用すれば、追加コストなしでゼロトラストの基盤を構築できます。