ITパスポート試験 令和8年度 公開問題 問92

【正解】イ

ゼロトラストセキュリティは、「内部ネットワークだから安全」とは考えず、すべてのアクセスを信頼せずに確認するという考え方です。社内からのアクセスであっても、社外からのアクセスであっても、利用者や端末が正当かどうかを認証し、必要な権限だけを与えることが重要です。二要素認証は、パスワードに加えて、スマートフォンへの通知、ワンタイムパスワード、生体認証など別の要素でも本人確認を行うため、ゼロトラストの考え方に合っています。したがって、イが正解です。

アの境界にファイアウォールを置く対策は誤りです。これは社内と社外の境界を重視する従来型の境界防御の説明です。ゼロトラストでは、境界の内側であることだけを理由に信頼しません。

ウのセキュリティパッチを直ちに適用する対策は誤りです。これは脆弱性管理の説明です。重要な対策ではありますが、内部・外部を問わずアクセスごとに検証するというゼロトラストの代表例ではありません。

エのインターネットにアクセスするPCだけにマルウェア対策ソフトを入れる対策は誤りです。内部PCも感染経路になり得るため、一部だけを守る考え方は不十分です。

【ポイント】 ゼロトラストの基本は「何も信頼せず、常に検証する」です。 代表的な対策には、多要素認証、端末状態の確認、最小権限、アクセスログの監視があります。