令和8年度 ITパスポート 問92（テクノロジ）
出典：令和8年度 ITパスポート試験 公開問題 問92（独立行政法人情報処理推進機構（IPA））
ゼロトラストセキュリティの考え方に基づいた情報セキュリティ対策の例として，適切なものはどれか。
- アインターネットと内部ネットワークの境界にファイアウォールを配置し，インターネットからの脅威を境界で遮断する。
- イ内部ネットワークからであっても外部ネットワークからであっても，ネットワーク上の情報資源へのアクセスには二要素認証を利用する。
- ウ内部ネットワークに接続するPCにインストールされたソフトウェアに脆弱性が発見されたときに，そのセキュリティパッチは公開後直ちに適用する。
- エ内部ネットワークに接続するPCのうち，インターネットにアクセスするPCだけにマルウェア対策ソフトをインストールする。
正解と解説を見る
正解：イ
【ゼロトラストとは】
従来の境界型防御は、社内ネットワークの内側は安全、外側は危険と考え、境界にファイアウォールを置いて守ります。しかし、クラウドの利用やテレワークが広がり、内部に侵入されたり、内部の人が不正をしたりする危険もあるので、内側だから安全とはいえなくなりました。
ゼロトラストは「何も信頼しない」を前提に、内部・外部を問わず、全てのアクセスについて、利用者や端末をその都度確認してから許可する考え方です。多要素認証や、アクセスのたびの検証、必要最小限の権限の付与などで実現します。
【選択肢の検討】
ア：境界にファイアウォールを置いてインターネットからの脅威を遮断するのは、境界型防御の考え方です。
イ：内部からでも外部からでも、情報資源へのアクセスに二要素認証を求めるのは、ゼロトラストの考え方に基づく対策です。
ウ：セキュリティパッチを速やかに適用することは大切な対策ですが、ゼロトラスト特有の考え方ではありません。
エ：インターネットにアクセスするPCだけにマルウェア対策ソフトを入れるのは、内部を信頼する考え方で、ゼロトラストとは逆です。
よって、正解は選択肢イです。