問題
業務システムのクラウド化やテレワークの普及によって、企業組織の内部と外部の境界が曖昧となり、ゼロトラストと呼ばれる情報セキュリティの考え方が浸透してきている。
ゼロトラストに関する記述として、最も適切なものはどれか。
選択肢
- 1組織内において情報セキュリティインシデントを引き起こす可能性のある利用者を早期に特定し教育することで、インシデント発生を未然に防ぐ。
- 2通信データを暗号化して外部の侵入を防ぐVPN機器を撤廃し、認証の強化と認可の動的管理に集中する。
- 3利用者と機器を信頼せず、認証を強化するとともに組織が管理する機器のみを構成員に利用させる。
- 4利用者も機器もネットワーク環境も信頼せず、情報資産へのアクセス者を厳格に認証し、常に確認する。
- 5利用者を信頼しないという考え方に基づき認証を重視するが、一度許可されたアクセス権は制限しない。
正解
4. 利用者も機器もネットワーク環境も信頼せず、情報資産へのアクセス者を厳格に認証し、常に確認する。
詳しい解説を見る解説を閉じる
解説
ゼロトラスト（Zero Trust）は「すべてを信頼しない（Never trust, always verify）」を原則とし、利用者・機器・ネットワーク環境のいずれも無条件には信頼せず、情報資産へのアクセスを都度厳格に認証・認可するセキュリティモデルでありエが正しい。アはセキュリティ教育の説明であってゼロトラストではない。イはVPNを撤廃する必要はなくゼロトラストネットワークアクセス（ZTNA）等を併用することもあるため誤り。ウは「組織が管理する機器のみ」のような境界型の制約ではなく、機器も含めて信頼しないのがゼロトラストの本質。オは一度許可後も継続的に確認するのがゼロトラストの特徴のため誤り。境界型防御から脱却し、最小権限・継続的検証を行うのが要点。（出典: 一般社団法人 中小企業診断協会 令和3年度 中小企業診断士1次試験 経営情報システム 第21問）
中小企業診断士トップ
一問一答・予想問題・まとめノート