ゼロトラストは、手放しに信頼できないアクセスをZTAやSASEなどのフレームワークで認証し、信頼を固定化することを目指すアプローチです。それに対してリーントラストは、あらゆるアクセスに信頼を求めるのではなく、信頼してもいいかどうかをリスクに応じて分けて検討し、信頼の最適化を目指します。

　ゼロトラストとリーントラストの違いは、製造業における不良品や在庫管理の例で考えると分かりやすいと言われています。

　製造業においては「不良品ゼロを目指す」よりも「不良品が出ることを前提にした在庫計画を立てる」ことが合理的であるとされます。サイバーセキュリティにおいても、同様に「悪意あるアクセスを絶対に通さない」のではなく「悪意あるアクセスで生じるリスクを考慮して、合理的に対策する」ことを現実的と考えるのがリーントラストです。一定のリスクを許容して全体を守るため、エンドポイントのセキュリティも対象に含みます。

ZTA（ゼロトラストアーキテクチャ）とは

　ZTA（Zero Trust Architecture）は、2020年にNIST（米国国立標準技術研究所）が「NIST SP 800-207」として発行した文書で定義された、「ゼロトラストを実現するためのガイドライン」です。

　本稿はPwCコンサルティングが作成した同文書の日本語訳を基に、ZTAを実現するためには何が必要なのか、具体的な要件に焦点を絞って説明します。

　ZTAは、認証と認可、暗黙のトラストゾーンの縮小に焦点を当てます。リクエストのアクションを実行するのに必要な最小限の権限を設定するため、アクセスルールは可能な限り細かいポリシー設定が必要です。アクセスの許可・不許可を決定する根拠は、下記の情報などが基になります。

• リクエストを送った主体の信頼度はどの程度か
• 主体の身元に対する信頼度を考慮した場合、リソースへのアクセスは許可されるか
• リクエストに使用されるデバイスは、適切なセキュリティ対策がなされているか
• その他に考慮すべき、信頼度を変化させる要因（例：時間、主体の場所、主体のセキュリティ態勢） はあるか

　具体的なZTAを構成する理想の論理コンポーネントは、下図のように表現されます。

　さまざまな外部データソースの結果を基に、PEでのトラストアルゴリズムの判定結果を基にアクセスの許可・不許可が決定される必要があります。トラストアルゴリズムは下記の通りです。

ZTAのアプローチ方法の種類

　ZTAを実現するための仕組みとしては、下記の3種類が挙げられます。

　また、ZTAを実現するための構成としては、下記の3種類が挙げられます。

　ZTAを実現するための要件は以上の通りです。これらの中から自社に最適な方法や構成を組み合わせて実現していく必要があります。SASE、CARTAを実現する要件は、次回に詳しく解説します。