ゼロトラスト

2026年9月頃から、個人情報流出事故が相次ぎ、2026年10月21日は、PHPの脆弱性問題で、世界が震撼した。
生成AIの急速な性能向上により、AIエージェントによる攻撃が激化し、セキュリティを突破されやすくなった。PHPの脆弱性問題では、インターネットが終わってしまうのではないかと危惧する。もはや何も信用できないことを前提にセキュリティを組み立てる必要がある。そこで、あらためて「ゼロトラスト」について、正しく理解したい。

早速、Geminiに問うた。

ゼロトラストの3つの基本原則

Gemini応答を引用

ゼロトラストは、以下の3つの原則に基づいてシステムや運用を設計します。

1. 明示的に検証する（Verify Explicitly）

ユーザーの身元だけでなく、「デバイスは安全か」「アクセス元は不自然ではないか」など、あらゆる情報を常に検証します。

2. 最小特権のアクセス（Least Privilege Access）

ユーザーやデバイスに「業務に必要な最小限の権限」だけを渡し、万が一アカウントが乗っ取られても被害が社内全体に広がらないようにします。

3. 侵害を前提とする（Assume Breach）

「いつか不正アクセスやマルウェアの侵入は起きる」という前提に立ち、ネットワークの内部であっても油断せず、常時監視と影響範囲の最小化を行います。

2,3については、着実に手を打ちつつある。