ゼロトラスト

2026年9月頃から、個人情報流出事故が相次ぎ、2026年10月21日は、PHPの脆弱性問題で、世界が震撼した。
生成AIの急速な性能向上により、AIエージェントによる攻撃が激化し、セキュリティを突破されやすくなった。PHPの脆弱性問題では、インターネットが終わってしまうのではないかと危惧する。もはや何も信用できないことを前提にセキュリティを組み立てる必要がある。そこで、あらためて「ゼロトラスト」について、正しく理解したい。

早速、Geminiに問うた。

Gemini応答を引用

ゼロトラストの3つの基本原則

ゼロトラストは、以下の3つの原則に基づいてシステムや運用を設計します。

1. 明示的に検証する（Verify Explicitly）

ユーザーの身元だけでなく、「デバイスは安全か」「アクセス元は不自然ではないか」など、あらゆる情報を常に検証します。

2. 最小特権のアクセス（Least Privilege Access）

ユーザーやデバイスに「業務に必要な最小限の権限」だけを渡し、万が一アカウントが乗っ取られても被害が社内全体に広がらないようにします。

3. 侵害を前提とする（Assume Breach）

「いつか不正アクセスやマルウェアの侵入は起きる」という前提に立ち、ネットワークの内部であっても油断せず、常時監視と影響範囲の最小化を行います。

さらにセキュリティを固めるためのステップ

「デバイスコードフィッシング」などの高度な攻撃手法を理解されている今、さらにセキュリティを一段階引き上げるためのポイントです。

4. デバイスの健全性（ポスチュア）チェックの強化

アクセスする際、「そのPCのOSは最新か」「指定のセキュリティソフトが有効か」をOktaやZscaler側で自動確認し、安全でない端末からのアクセスをブロックします。

5. フィッシング耐性のある認証（パスワードレス）への移行

入力するタイプのパスワードや、巧妙な偽サイトで騙されやすい認証フローを減らし、FIDO2（生体認証やハードウェアセキュリティキー）を用いた、フィッシングが物理的に不可能な認証方式を取り入れる。

対処

2026年11月3日記

2,3については、手を打ちつつある。
正しく理論武装すべく、いくつかの書籍を当たりたい。