令和8年度 ITパスポート試験 問92
テクノロジ／セキュリティゼロトラストセキュリティの考え方に基づいた情報セキュリティ対策の例として，適切なものはどれか。
出典：令和8年度 ITパスポート試験 問92
- アインターネットと内部ネットワークの境界にファイアウォールを配置し，インターネットからの脅威を境界で遮断する。
- イ内部ネットワークからであっても外部ネットワークからであっても，ネットワーク上の情報資源へのアクセスには二要素認証を利用する。
- ウ内部ネットワークに接続する PC にインストールされたソフトウェアに脆弱性が発見されたときに，そのセキュリティパッチは公開後直ちに適用する。
- エ内部ネットワークに接続する PC のうち，インターネットにアクセスする PC だけにマルウェア対策ソフトをインストールする。
正解：イ
解説
ゼロトラストは，「社内ネットワークの内側だから安全」とは考えず，誰が・どの機器から・どこからアクセスしても信頼せず，アクセスのたびに確認する考え方です。内部からのアクセスでも外部からのアクセスでも二要素認証を行うイの対策が，この考え方に基づく例です。境界の防御だけに頼るアは，従来の境界型防御の考え方です。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- ア誤り。内部を安全，外部を危険と見なして境界で防ぐ境界型防御の考え方で，ゼロトラストとは逆の発想です。
- イ正しい。内部・外部を問わず，アクセスのたびに二要素認証で確認するのがゼロトラストの考え方です。
- ウ誤り。パッチを速やかに適用するのは脆弱性対策として重要ですが，ゼロトラストに特有の考え方ではありません。
- エ誤り。インターネットに接続する PC だけを対策すれば内部は安全という前提で，ゼロトラストの考え方に反します。