ゼロトラストは、今日のテクノロジー分野で特に注目を集めるバズワード（あるいはバズフレーズ）の1つです。F5の調査「State of Application Strategy 2022」では、3番目に期待されるテクノロジーに選ばれ、組織のあらゆる階層で大きな関心を集めています。
見落とされがちな事実の1つは、ゼロトラストは本質的に考え方であるということです。テクノロジーやソリューションではありません。だからこそ、私はゼロトラストに関するF5の基本的な信念に立ち返り続けています。
「ゼロトラストセキュリティの本質は、考え方、すなわち信念体系にあると私たちは考えています。そこから生まれる手法や戦術に特定のテクノロジーを活用することで、幅広いセキュリティ脅威への対処に応用できます。」
だからこそ、セキュリティルール・ゼロを改めて見直すことが重要です。
「ルールゼロ」という概念をご存じない方のために説明すると、これはルールが重要な役割を果たすロールプレイングゲームに由来します。ルールは、やり取りの順序やサイコロの出目の解釈、できることとできないことを定めます。現実の世界と同じです。しかし、ロールプレイングゲームには、ほかのすべてのルールに優先する「ルールゼロ」があります。「ゲーム内のあらゆる事柄について、最終的な裁定を下すのはGMである」つまり、GMはいつでもルールを変更、追加、削除できるということです。実際、GMはよくそうします。
セキュリティにも「ルールゼロ」があると知ると、驚く方もいるかもしれません。そのルールとは、次のとおりです。
「ユーザー入力を信頼してはならない。決して。」
これは新しいルールではありません。これまで何度も繰り返し取り上げられてきたものであり、セキュリティのベストプラクティスの根幹を成すことを改めて認識していただくために、私も何度もこのルールについて書いてきました。このルールに従わないと、広範かつ危険な悪用へと急速に発展しかねない脆弱性につながります。
セキュリティルールゼロは今なお重要であり、かつてないほど重要になっているとも言えます。APIの普及とデジタルサービスの急増に伴い、ボットやスクリプト、悪意のある攻撃者はこれまで以上に増えています。また、依然として主要な攻撃手法である「クレデンシャルスタッフィング」に加え、セキュリティルールゼロに従っていないデジタルサービスやAPIを悪用した攻撃も、たびたび報じられています。
ユーザー入力を信頼することは、ゼロトラストの概念そのものに反します。ユーザーが人間、ソフトウェア、システムのいずれであっても、ユーザー入力を検査せずに安全に処理できると想定してはなりません。例外はありません。
ゼロトラストの中核となる原則、すなわち基本的な考え方の1つは、侵害を前提とすることです。侵害とは、マルウェアが存在している、または悪意のある攻撃者に制御されている可能性があることを意味します。これはシステムの「状態」です。その「結果」として、そのシステムから送られてくるデータ、つまりメッセージが悪意のあるものである可能性があります。
したがって、つまり、要するに、ユーザーからの入力は一切信頼してはなりません。以上です。
前述のとおり、この基本原則から、さまざまな攻撃の検知と無力化に使用できる戦術（検査）やテクノロジー（WAAP、WAF、NGF）が導き出されます。
セキュリティルールゼロは、ゼロトラストの中核を成す要素です。これを採用することで、より効果的な戦術と、すべての人にとってより強固なセキュリティにつながります。
どうぞ安全にお過ごしください。
著者について
Lori MacVittieは、F5のOffice of the CTOに所属するDistinguished Engineer兼Chief Evangelistであり、アプリケーションデリバリ、自動化戦略、インフラストラクチャに関する深い専門知識を有しています。AIエージェントのガードレール策定、脆弱なマルチクラウドアーキテクチャの分析、スケーラブルなシステムの限界の検証など、複雑な事柄を明快にすることで知られています。アプリケーション開発、ITアーキテクチャ、ネットワークおよびシステム運用の分野で、30年以上にわたる業界経験を有しています。F5入社前は、受賞歴のあるテクノロジー編集者として活躍していました。 MacVittieはコンピューターサイエンスの修士号を取得しており、セキュリティ、クラウド、エンタープライズアーキテクチャにわたる分野で多数の著作を発表しています。また、テーブルトークゲームとビデオゲームをこよなく愛し、チーズについては遠慮なく強いこだわりを語ります。
Lori Mac Vittieのその他のブログ記事関連するブログ記事
SOAS 2025：足並みの乱れが凡庸さを招く
AI導入における方針の不一致は、非効率を招きます。セキュリティ、自動化、導入の各戦略を整合させ、AIの可能性を最大限に引き出す方法をご紹介します。
WebAssemblyが重要な理由
WebAssembly（Wasm）は、あらゆるプラットフォームで高性能なアプリケーションを実現する、ポータブルで高速かつセキュアなバイナリ命令セットです。
インフラストラクチャは依然として格好の攻撃経路
クラウドコンピューティングでは、APIやドラッグ＆ドロップ式の設定ツールを活用し、ネットワークやインフラストラクチャを敬遠する人がそれらを直接扱わずに済むようにすることで、インフラストラクチャへの対応を不要にすることが長年追求されてきました。しかし、インフラストラクチャを無視することも、攻撃の主要な標的であるという事実を見過ごすこともできません。
堅牢なデータアーキテクチャがもたらす戦略的メリット
適切に構築されたデータアーキテクチャがもたらす効果は、業務プロセスの改善にとどまりません。戦略的な業務効率の向上、より深いビジネスインサイトの獲得、隣接するビジネス機会への展開にもつながり、これらすべてをより俊敏に実行できるようになります。
デジタルワークフローにおける不正検知には、データだけでは不十分
2019年には、業界全体でクレジットカード詐欺の試みが約25万件確認されました。これは約2分に1件の割合です。今日、不正を検知するには、デジタルワークフロー上のできるだけ多くのポイントから収集したデータを相互に関連付け、手作業によるデータ処理をはるかに上回る速度で分析する能力が求められます。