ゼロトラストのアクセス判断
A 社は NIST SP 800-207 の考え方に基づいてゼロトラストアーキテクチャを導入している。従業員 B は，本社 LAN に接続した会社支給の PC で始業時に多要素認証を行い，営業支援システムを利用していた。その後，この PC の EDR がマルウェアの疑いのある挙動を検知し，端末のリスクが高いと報告した。直後に B がこの PC から人事システムへのアクセスを要求した場合の扱いとして，最も適切なものはどれか。
- ア本社 LAN からの要求であり，境界のファイアウォールの内側の通信なので，人事システムへのアクセスを許可する。
- イ始業時の多要素認証が有効なセッションの中での要求なので，営業支援システムと同様に人事システムへのアクセスも許可する。
- ウ要求の時点での端末の状態を含めて動的なポリシーで評価し，リスクが高いと判断して，人事システムへのアクセスを拒否するか制限する。
- エいったんアクセスを許可し，ログを SIEM で事後に分析して，不正が確認された時点で B のアカウントを停止する。
正解と解説を見る
正解 ウ
この問題の基礎知識
- 境界型防御は社内ネットワークの内側を信頼する考え方であり，ゼロトラストはネットワーク上の位置だけでは信頼を与えず，全てのアクセス要求をその都度検証する考え方である。
- NIST SP 800-207 では，リソースへのアクセスはセッション単位で許可し，あるリソースへの認証・認可によって別のリソースへのアクセスが自動的に認められることはないとしている。
- アクセスの可否は，利用者の ID や要求元の資産（端末）の状態などを含む動的なポリシーで決定し，認証と認可はアクセスを許可する前に実施する。
- EDR は端末の挙動を監視して不審な活動を検知する製品であり，その報告は端末の状態を示す情報としてアクセスの判断に用いられ得る。
ネットワーク上の位置によって信頼を与えるのは境界型防御の考え方である。SP 800-207 では，ネットワーク上の位置だけでは信頼を意味せず，社内ネットワークからの要求も他のネットワークからの要求と同じ要件を満たす必要があるとしている。
SP 800-207 では，リソースへのアクセスはセッション単位で許可し，あるリソースへの認証・認可によって別のリソースへのアクセスが自動的に認められることはないとしている。人事システムへの要求はその時点で改めて評価する。
SP 800-207 では，アクセスは利用者の ID や要求元の資産の状態などを含む動的なポリシーで決定し，侵害が判明した資産などは全ての接続を拒否するなど異なる扱いをしてよいとしている。EDR の報告は端末の状態として評価に用いられる。
SP 800-207 では，全てのリソースの認証と認可は，アクセスを許可する前に動的かつ厳格に実施される。リスクが報告されている端末からの要求を許可してから事後に対処するのは，この考え方に合わない。
照合の根拠（5 件）
- ア（誤り）: 社内 LAN からであることだけでは信頼しない（次文で社内ネットワークからの要求も同じ要件を満たす必要があるとしている）
Network location alone does not imply trust.
NIST SP 800-207 · Section 2.1 Tenet 2（新しいタブで開きます） - イ（誤り）: 営業支援システムへの認証・認可は人事システムへのアクセスを自動的に認めない
However, authentication and authorization to one resource will not automatically grant access to a different resource.
NIST SP 800-207 · Section 2.1 Tenet 3（新しいタブで開きます） - ウ（正解）: 要求元の資産の状態を含む動的なポリシーでアクセスを決める
Access to resources is determined by dynamic policy—including the observable state of client identity, application/service, and the requesting asset—and may include other behavioral and environmental attributes.
NIST SP 800-207 · Section 2.1 Tenet 4（新しいタブで開きます） - ウ（正解）: 侵害された資産などは全接続の拒否を含めて異なる扱いをしてよい
Assets that are discovered to be subverted, have known vulnerabilities, and/or are not managed by the enterprise may be treated differently (including denial of all connections to enterprise resources)
NIST SP 800-207 · Section 2.1 Tenet 5（新しいタブで開きます） - エ（誤り）: 認証・認可はアクセスを許可する前に行う。許可してから事後に分析する扱いはこれに反する
All resource authentication and authorization are dynamic and strictly enforced before access is allowed.
NIST SP 800-207 · Section 2.1 Tenet 6（新しいタブで開きます）
EDR が端末のリスクを高いと報告した直後の要求なので，要求時点の資産の状態（Tenet 4・5）を評価に含めると，人事システムへのアクセスは拒否又は制限となる。ウの解説の「侵害が疑われる資産」は原文（discovered to be subverted）に合わせて「侵害が判明した資産など」に改めた。