NSA が示すゼロトラスト：初期アクセスだけではなく継続的な検証の必要性
ゼロトラストにおけるリスク低減とは、セッション内のすべてのアクションを監視することを意味します。自社の戦略に継続的な検証が組み込まれていますか？

2026 年 4 月 16 日、Bill Munroe 著

ゼロトラストの議論は過去数年にわたって行われていますが、それには十分な理由があります。脅威の進化と攻撃の高度化によって、従来のセキュリティ対策に存在していた「暗黙の信頼」を捨て去り、継続的な検証に基づくアプローチを導入する必要があることが明確になっています。

しかし、多くのゼロトラストの導入は、初期アクセス検証の強化に重点を置いており、制御モデルの本当の変革には至っていません。この誤りはアイデンティティ保護の強化ではなく、境界を重視した対策を手放していないことにあります。今日、攻撃者は正当なアイデンティティと有効な認証情報を悪用するようになり、リスク環境を変化させています。誰がネットワークにアクセスしたかを監視するだけではもはや不十分であり、本当に重要なのはアイデンティティが検証された後に何が起きているかを理解することです。

アイデンティティから挙動の確認へ

簡単なシナリオを考えてみましょう。ある従業員が有効な多要素認証（MFA）を使ってネットワークへのアクセスに成功しました。すべてが正常に見えます。しかしその直後、そのユーザーが午前 3 時に、これまで接続したことのない国から大量の顧客データをダウンロードし始めます。静的なモデルでは、セッショントークンが有効である限り、この行動は許可されます。一方、動的な認可モデルでは、この行動が通常のパターンと一致しないことを検知し、操作のブロックや追加認証を要求します。

このシナリオは、米国国家安全保障局（NSA）がゼロトラスト実装ガイドラインで強調している重要な転換を映し出しています。アクセス制御はもはや一度きりの判断ではなく、継続的なプロセスとなります。実際には、アイデンティティやデバイスの検証は出発点にすぎず、コンテキスト、挙動、アクセス条件が変化するたびに認可を再評価する必要があります。つまり、アクセス後の判断はユーザーの行動に基づき、検証の中心はアイデンティティからアクションへと移ります。

これを実現するためには、コンテキストに応じて権限を調整し、リスクが高いと判断される際にはセッションを中断したり追加認証を要求したりできる、挙動に基づく評価の仕組みが必要です。つまり、信頼はもはや常に同じ状態ではなく、その時の状況に応じて変化するものになります。

当然ながら、このような検証の仕組みを機能させるには、アイデンティティ、デバイスポスチャ、アクセスコンテキスト、ユーザー行動をセッション全体で評価できるセキュリティ制御が不可欠です。このモデルではアクセスは一度きりのイベントではなく、ユーザーの操作内容、アクセス対象、そして信頼を付与する条件が維持されているかどうかに基づいて継続的に再評価されます。

そのためゼロトラストでは、アイデンティティとアクセス制御をセッションレベルで連携させることが重要です。認証は、ユーザーが誰かを確認するものですが、継続的な認可は、状況が変化する中でも、そのユーザーが同じ権限を持ち続けるべきかを判断します。リスクが高まれば、権限の制限、ステップアップ認証の要求、セッションの終了が行われます。

MSP にとってこれは、単に安全なアクセスを提供することから、アクセス後に何が起きているかを継続的に制御することへ焦点が移ることを意味します。目的は不正アクセスを止めることだけではなく、侵害されたアイデンティティ、盗まれたトークン、セッションにおけるリスクの高い行動による影響を最小化することです。

さらに、コンテキストインテリジェンスは単に異常を検知するだけではありません。正常なパターンを理解し、正当なばらつきとリスクのある行動を区別することで、誤検知を減らすことにも役立ちます。複数の顧客を扱うマネージド環境では、この相関と分析機能により、優先順位付けが可能になり、シグナルの量が増加した際の運用負荷を軽減できます。

アクセス後の継続的な検証：MSP にとっての真の課題

2026 年において、リスクはもはや不正アクセスだけで定義されるものではありません。最も防ぐのが難しい脅威の一つは、有効なアイデンティティの悪用です。なぜなら、攻撃者であっても、侵入時点では正規のユーザーのように見えてしまう可能性があるためです。MSP にとってこれは、マネージドセキュリティが認証段階で終わらないことを意味します。重視すべき対策は、セッション内で何が起きているかを制御することへと移り、ユーザーの活動を継続的に評価し、リスクが変化した際にはその影響を制限することが求められます。

またこれは、サービスの価値提案や顧客の期待の設定にも影響します。本当の価値は、ログイン時の不正アクセス防止だけでなく、セッション全体のリスク低減にあります。そのためには、アクセス条件を継続的に検証し、信頼が変化した際にはユーザー、デバイス、セッションの行動や動作を制限する必要があります。つまり顧客と会話すべき内容は、侵入の防止から、正当なアクセスを継続的に制御することへと変わります。

NSA のガイドラインが明確に示しているのは、ゼロトラストとはアクセス時点のアイデンティティ検証だけではないということです。これは始まりにすぎません。リスクを本当に低減するためは、セッション全体を通じて信頼を継続的に再評価し、必要に応じて制御することで実現されます。認証はユーザーが誰かを確認するものであり、継続的な認可はそのユーザーが、何を、どの条件で、どれだけの時間行えるかを決定します。このようにアイデンティティとアクセス制御を連携させることで、ゼロトラストは単なるアクセス時点の検証ではなく、運用リスクを低減するモデルへと進化します。