社内ネットワークはもう安全地帯ではない。「城壁」を捨てたGoogleが証明した、最強のセキュリティ戦略とは

【目次】

プロローグ：崩れ去った「城壁」の神話
ゼロトラストとは？：「性善説」から「性悪説」への転換
なぜ今必要なのか？：2025年の私たちが直面している危機
【実況中継】ゼロトラストは「現場」でこう動く
ケーススタディ：失敗と成功の分かれ道
最新トレンド：2025年のゼロトラストはここまで進化した
エピローグ：疑うことは、守ること

1. プロローグ：崩れ去った「城壁」の神話

想像してみてください。中世ヨーロッパの巨大な「お城」を。

高い城壁に囲まれ、周囲には深い堀があり、入り口は跳ね橋が一つだけ。

従来のセキュリティ、いわゆる「境界型防御」は、まさにこのお城の構造そのものでした。

城壁の外側は「インターネット（危険な世界）」、城壁の内側は「社内ネットワーク（安全な世界）」と明確に分けられていました。従業員は出社して城門（ファイアウォール）を通り、一度中に入ってしまえば、そこはパラダイス。誰にも疑われることなく、城内の宝物庫（データサーバー）や書庫（ファイル）に自由にアクセスできました。

「外敵は防ぐが、身内は信じる」。

これはシンプルで分かりやすいモデルでした。しかし、時代は変わりました。

2020年代、働き方の多様化（リモートワーク）とクラウドサービスの普及により、従業員たちは城の外に出て働き始めました。データも城内の宝物庫ではなく、城外のクラウド（Google DriveやSalesforceなど）に置かれるようになりました。

こうなると、守るべき「城壁」がどこにあるのか分かりません。守るべき王様も兵士も宝物も、みんな城の外にいるのですから。

さらに恐ろしいのは、敵の変化です。現代のハッカーは、正面突破で城門を破るような真似はしません。彼らは宅配業者に変装したり（フィッシングメール）、従業員のIDカードを盗んだり（クレデンシャル情報の搾取）して、堂々と「正規の利用者」として正面玄関から入ってくるのです。

一度中に入られてしまえば、「身内は信じる」というルールの下、ハッカーは城内を荒らし放題になります。

「内側なら安全」という神話は、完全に崩壊しました。

そこで登場した新しい哲学、それが「ゼロトラスト」です。

2. ゼロトラストとは？：「性善説」から「性悪説」への転換

ゼロトラスト（Zero Trust）。直訳すれば「信頼（Trust）がゼロ」。

非常に冷たい響きですが、その本質はシンプルです。

「決して信頼せず、常に検証せよ（Never Trust, Always Verify）」

これこそが、ゼロトラストの全てです。

社内からのアクセスだろうが、社長のパソコンからのアクセスだろうが、一切特別扱いはしません。「この通信は本当に安全か？」「このユーザーは本当になりすましではないか？」と、すべてのアクセス要求に対して疑いの目を向け、その都度チェックを行います。

分かりやすく例えるなら、**「空港のセキュリティゲート」**です。

あなたが空港のラウンジ（重要なデータ）に入りたいとします。

従来のお城モデルなら、一度空港の入り口でチケットを見せれば、あとは空港内をどこでも自由に歩き回れました。管制塔に入ろうとしても止められなかったかもしれません。

しかし、ゼロトラスト型の空港では違います。

入り口でチケットを見せ（本人確認）、手荷物検査を受け（デバイスの安全性確認）、無事ロビーに入ったとします。そこからさらに「VIPラウンジ」に入ろうとすれば、またそこで搭乗券と会員証の提示を求められます。「管制塔」のドアを開けようとすれば、「あなたはパイロットではないので入れません」と即座にブロックされます。

どこにいても、どのドアを開ける時も、その都度「あなた誰？」「権限ある？」とチェックされる。

一見面倒に見えますが、これなら、万が一テロリストがロビーに侵入できたとしても、被害は最小限に食い止められます。管制塔を乗っ取られることはありません。

この概念は、2010年に米Forrester Research社のジョン・キンダーバグ氏によって提唱されました。当時は「極端すぎる」と言われましたが、現在では米国国立標準技術研究所（NIST）が発行する文書「SP 800-207」において標準的なサイバーセキュリティアーキテクチャとして定義され、世界中の政府や企業が採用を進めています。

3. なぜ今必要なのか？：2025年の私たちが直面している危機

なぜ今、ここまでゼロトラストが叫ばれるのでしょうか。2025年現在、私たちを取り巻く環境には3つの大きな変化があります。

① VPNの限界と危険性

かつてテレワークといえば「VPN（仮想専用線）」が主流でした。これは、自宅から会社の城門まで「専用の長いトンネル」を掘って、城内に入る仕組みです。

しかし、VPN装置自体の脆弱性（プログラムの欠陥）を突かれる事件が後を絶ちません。また、一度VPNで接続してしまえば「城内に入った」とみなされ、広範囲のシステムにアクセスできてしまうリスクがありました。2024年から2025年にかけて多発したランサムウェア被害の多くは、実は古いVPN機器のID漏洩が侵入口でした。

② IDこそが「新しい境界線」になった

クラウドサービスの普及により、私たちはインターネット経由で直接業務アプリにアクセスします。ここで唯一の守りとなるのが「IDとパスワード」です。

攻撃者は今、ウイルスを作ることよりも、IDを盗むことに全力を注いでいます。ダークウェブでは数億件のID情報が売買されています。「パスワードを知っている＝本人」と盲目的に信じることは、もはや自殺行為なのです。

③ 内部不正の増加

悲しいことですが、脅威は外部からだけではありません。退職が決まった従業員が顧客名簿を持ち出そうとしたり、魔が差して機密データをコピーしたりする事例も増えています。

「社員だから信用する」という性善説では、こうした内部からの情報漏洩を防ぐことはできません。

4. 【実況中継】ゼロトラストは「現場」でこう動く

では、実際にゼロトラストが導入された環境では、ユーザー体験はどう変わるのでしょうか？

ある営業担当者・佐藤さん（仮名）が、出張先のカフェから社内システムにアクセスするシーンを再現してみましょう。

シーン：カフェのWi-Fiに接続し、顧客管理システムを開く

【STEP 1：本人確認（Identity）】

佐藤さんがIDとパスワードを入力します。しかし、システムはまだ信用しません。

「普段と違う場所（カフェ）からのアクセスですね。スマホに送った通知を承認してください」

ここで多要素認証（MFA）が発動します。佐藤さんがスマホでFace ID認証を行うことで、初めて「本人である可能性が高い」と判断されます。

【STEP 2：端末の健全性チェック（Device）】

次にシステムは、佐藤さんのパソコンをスキャンします。

「OSのアップデートは最新か？」「セキュリティソフトは動いているか？」「怪しいソフトが入っていないか？」

もしここで、佐藤さんがOSの更新をサボっていたり、パソコンがマルウェアに感染していたりすれば、たとえ本人であってもアクセスは拒否されます。「まずはOSをアップデートしてください」と冷たく突き返されるのです。これを「検疫」と呼びます。

【STEP 3：文脈の確認（Context）】

さらにシステムは状況（コンテキスト）を分析します。

「今は平日の午後2時。日本国内からのアクセス。不自然な点はない」

もしこれが、「深夜3時」だったり、「1時間前に東京にいたのに今はブラジルからアクセスしている（ありえない移動速度）」だったりすれば、AIが異常を検知してブロックします。

【STEP 4：最小権限の付与（Least Privilege）】

全てのチェックをパスして、ようやくアクセスが許可されます。

しかし、許可されるのは「顧客管理システムの、佐藤さんが担当するエリアのデータ」だけ。人事システムや経理システムへの扉は固く閉ざされています。

必要な時に、必要な人だけに、必要な分だけの権限を与える。これが「最小権限の原則」です。

これら一連の判断は、わずか数秒のうちに自動で行われます。

佐藤さんからすれば「スマホで認証しただけ」ですが、裏側ではこれほど厳密な審査が行われているのです。

5. ケーススタディ：失敗と成功の分かれ道

理論だけでは実感が湧きにくいかもしれません。実際に起きた事例（および典型的なシナリオ）を基に、ゼロトラストの有無が運命を分けたケースを見てみましょう。

【ケースA：失敗の教訓】VPN機器の脆弱性を突かれた病院

（※2024年に発生したChange Healthcareへのサイバー攻撃等の教訓に基づくシナリオ）

ある大規模な医療機関では、旧来のVPN装置を使用していました。

攻撃者は、ダークウェブで購入した職員のIDとパスワードを使い、VPN装置へログインを試みました。この病院では多要素認証（MFA）が一部のシステムで徹底されておらず、VPN自体にはパスワードのみで入れてしまう設定でした。

結果、攻撃者は正規の職員になりすまして「城内」へ侵入。一度内部に入ると、ネットワークは平坦（フラット）で仕切りがありませんでした。攻撃者は数日かけてネットワーク内を探索し、患者データベースサーバーへ到達。ランサムウェアを展開し、全てのデータを暗号化してしまいました。

これにより電子カルテが使えなくなり、診療停止に追い込まれる甚大な被害が発生しました。

敗因：

境界防御への過信： VPNという「城門」さえ守ればいいと思っていた。
MFAの欠如： ID/パスワードのみの認証を信頼してしまった。
ネットワークの無防備さ： 内部での移動（ラテラルムーブメント）を許してしまった。

【ケースB：成功のモデル】Googleの「BeyondCorp」

ゼロトラストの最も有名な成功例は、Google自身が構築した「BeyondCorp」です。

2009年、Googleは「オーロラ作戦」と呼ばれる高度なサイバー攻撃を受けました。これを機に、彼らは「社内ネットワークなど存在しないと思え」という急進的な方針転換を行いました。

彼らはVPNを全廃しました。

Googleの社員は、世界中のどこにいても、カフェからでも自宅からでも、VPNなしで社内アプリに直接アクセスします。その代わり、社員が使うPC（デバイス）の状態は厳密に管理され、アクセスするたびに強力な認証が行われます。

「社内LANに繋がっているから安全」という概念を完全に捨て去り、「デバイスの健全性とユーザーの認証」だけに依存するモデルを作り上げたのです。

これにより、Google社員は働き方が自由になっただけでなく、セキュリティレベルも劇的に向上しました。たとえハッカーがGoogleのWi-Fiに侵入できたとしても、各アプリケーションへのアクセス権限がないため、何も盗むことができないのです。

6. 最新トレンド：2025年のゼロトラストはここまで進化した

ゼロトラストの概念は進化し続けています。2025年現在、特に注目されている最新の研究とトレンドを紹介します。

① 「フィッシング耐性」のあるMFAの標準化

2024年頃まで、多要素認証といえば「SMSで届く6桁の数字」や「認証アプリのプッシュ通知」が一般的でした。しかし、攻撃者は偽のログイン画面（フィッシングサイト）にユーザーを誘導し、この6桁のコードさえも入力させて盗み取る手法（Adversary-in-the-Middle攻撃）を編み出しました。

これに対抗するため、2025年のゼロトラストでは「FIDO2（ファイドツー）」や「パスキー（Passkeys）」と呼ばれる技術が標準になりつつあります。これらは、指紋や顔認証と暗号技術を組み合わせたもので、偽サイトではそもそも認証が動作しない仕組みになっています。「騙されようがない認証」へのシフトが進んでいます。

② AIによる「振る舞い検知」の高度化

NIST（米国国立標準技術研究所）の研究でも強調されていますが、静的なルール（場所や時間）だけでは高度な攻撃を防ぎきれません。

最新のゼロトラストシステム（SASE/SSEソリューションなど）にはAIが搭載されており、ユーザーの「マウスの動かし方」や「キーボードの打ち方」、「普段アクセスしないファイルへの興味」といった微細な振る舞いの変化（アノマリー）を検知します。

「IDは合っているし、パスワードも合っている。場所もいつも通り。でも、何かがおかしい」という人間の勘のような違和感を、AIが数値化してブロックする時代になっています。

③ CISA成熟度モデルバージョン2.0の浸透

米国のCISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）が発表した「ゼロトラスト成熟度モデル 2.0」では、従来の柱に加え、「自動化とオーケストレーション」が重要視されています。

攻撃を検知してから人間がログを見て判断するのでは遅すぎます。異常を検知した瞬間、自動的にその端末をネットワークから隔離し、アカウントを一時停止する。そうした「自律的に防御するシステム」への移行が、2025年の企業の目標となっています。

7. エピローグ：疑うことは、守ること

ここまで読んでいただき、ゼロトラストへの印象はどう変わりましたか？

「毎回疑われるなんて面倒くさい」と感じたかもしれません。しかし、その「疑い」こそが、あなたの大切な仕事、顧客のプライバシー、そして企業の未来を守るための「愛ある厳しさ」なのです。

デジタルの世界には、もはや安全な「城壁」はありません。荒野を旅する私たちにとって、ゼロトラストという考え方は、最強のボディガードとなります。

もし明日、会社のシステムから「多要素認証を設定してください」や「OSをアップデートしてください」と言われたら、面倒がらずに協力してあげてください。それは、システムがあなたを疑っているからではなく、あなたを本気で守ろうとしている証なのですから。

セキュリティは、IT担当者だけのものではありません。私たち一人ひとりが「何も信頼しない（でも、正しく検証されれば信頼される）」という意識を持つこと。それこそが、2025年を生き抜くための最も確実な防具なのです。

【読者の皆様へ：次にできるアクション】

ご自身のスマートフォンや普段お使いのWebサービス（Google、Amazon、SNSなど）で、「2段階認証（MFA）」や「パスキー」が有効になっているか、今すぐ設定画面を確認してみてください。それが、あなた個人でできる「ゼロトラスト」の第一歩です。設定方法が分からないサービスがあれば、お手伝いしますのでおっしゃってくださいね。