ゼロトラストの説明として、最も適切なものはどれか。

選択肢

• ア機器やソフトウェアの脆弱性のうち、開発元から対策方法、修正プログラムなどが提供されていない脆弱性が残っている状態のこと
• イ内部ネットワークであっても必ずしも安全ではないことを前提として対策を講じる考え方のこと
• ウ秘密情報そのものは明かさずに、自分が秘密情報を知っていることを相手に知らせる方法のこと
• エマルウェア定義ファイルを用いず、PCの振る舞いからマルウェア感染を検知する手法のこと

正解と解説

正解：イ 内部ネットワークであっても必ずしも安全ではないことを前提として対策を講じる考え方のこと

ゼロトラストは「社内ネットワークだから安全」という境界防御の前提を捨て、社内外を問わずすべてのアクセスを信頼せずに検証するという考え方です。利用者・端末・通信を都度認証・認可し、最小権限を与えることを基本とします。したがって、内部ネットワークも安全とは限らないという前提に立つ記述が該当します。

選択肢ごとの解説

• ア対策が未提供の脆弱性が残っている状態はゼロデイの説明です。
• イ正解。社内も信頼しない前提で常に検証するのがゼロトラストの考え方です。
• ウ秘密を明かさずに知っていることを示す方式はゼロ知識証明の説明です。
• エ定義ファイルによらず挙動から検知する手法はビヘイビア法（振る舞い検知）です。

同じ分野の他の問題

• セキュリティバイデザインの説明はどれか。2018年度 春期 午前 問14
• JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）において，“エンティティは，それが主張する…2018年度 春期 午前 問8
• JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）において定義されている情報セキュリティの特…2017年度 秋期 午前 問11
• JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）における真正性及び信頼性に対する定義a〜d…2017年度 春期 午前 問24
• 情報の“完全性”を脅かす攻撃はどれか。2016年度 秋期 午前 問21