ゼロトラスト（zero trust）とは「社内だから安全」とせず、アクセスのたびに確認する考え方。ゼロトラストセキュリティ・ゼロトラストアーキテクチャの違い、NISTの7つの原則、デジタル庁の適用方針（2022年6月30日）、VPNとの関係を公的資料で【2026年10月版】

2026年10月13日・日本時間時点の情報です。 ゼロトラスト（zero trust）とは、ネットワークの内側か外側かで信用を決めず、アクセスの要求ごとに確認して、必要最小限の権限だけを与えるセキュリティの考え方です（NIST SP 800-207 とデジタル庁の定義を筆者が要約）。国家サイバー統括室のハンドブックの用語集は「特定の製品を購入すれば導入できるというものではない」と書いています。

3行まとめ

1. NIST SP 800-207（2020年8月）は、ゼロトラストを、ネットワークが侵害されたものと見なして、リクエストごとの最小権限のアクセス判断の不確実性を最小にする概念の集まりと定義し、7つの原則を挙げる（筆者訳）。デジタル庁の適用方針も、境界の内部が侵害されることも想定した概念と定義する。
2. デジタル庁の「ゼロトラストアーキテクチャ適用方針」（DS-210）は2022年6月30日の初版で、2026年10月13日3時41分に開いたページでも最終改定日は同じ。政府統一基準は令和5年度版（2023年7月4日）から「7.3 ゼロトラストアーキテクチャ」を置く。
3. IPA の中小企業向け事例集（2026年3月）は、VPN 装置が攻撃者の侵入口になるおそれへの対策に「ゼロトラスト型のリモートアクセスへの移行を検討する」を載せる。NIST は、原則は組織の内部と提携先との作業に当てはまり、匿名の一般利用者や消費者向けの業務には当てはまらないと書く。個人向けの導入手順は、取得した資料には見つからなかった。

ゼロトラスト（zero trust）の定義。NISTは概念と考え方の集まりと書いた

NIST（米国の国立標準技術研究所）の SP 800-207「Zero Trust Architecture」は、2020年8月に出た59ページの文書です。NIST のページは「Date Published: August 2020」と書いています。第2章の定義は次のとおりです。

Zero trust (ZT) provides a collection of concepts and ideas designed to minimize uncertainty in enforcing accurate, least privilege per-request access decisions in information systems and services in the face of a network viewed as compromised. Zero trust architecture (ZTA) is an enterprise’s cybersecurity plan that utilizes zero trust concepts and encompasses component relationships, workflow planning, and access policies.

（訳・筆者。ゼロトラスト〔ZT〕は、ネットワークが侵害されたものと見なされる状況で、情報システムとサービスにおいて、正確で最小権限の、リクエストごとのアクセス判断を行う際の不確実性を最小にするために設計された、概念と考え方の集まりである。ゼロトラストアーキテクチャ〔ZTA〕は、ゼロトラストの概念を用い、構成要素どうしの関係、業務の流れの計画、アクセスの方針を含む、企業のサイバーセキュリティの計画である。）

最小権限（least privilege）は、作業に必要な最小限の権限だけを与えることです。リソース（resource）は、守る対象のデータ・サービス・機器・アカウントなどを指します。NIST は序章で、ZT は単一のアーキテクチャではなく、技術の入れ替えだけでは移行できないとも書いています。

ZT is not a single architecture but a set of guiding principles … Transitioning to ZTA … cannot simply be accomplished with a wholesale replacement of technology.

（訳・筆者：ZTは単一のアーキテクチャではなく、指針となる原則の集まりである…。ZTA への移行は…技術を丸ごと入れ替えるだけでは成し遂げられない。）

NIST の使い方では、ZT は考え方、ZTA はそれを使った組織の計画です。デジタル庁の適用方針と政府統一基準は「ゼロトラストアーキテクチャ」を使い、「ゼロトラストセキュリティ」は、本記事が取得した範囲では IPA の「トラスト入門」（2025年3月）の見出しと、デジタル庁の検証事業の資料（2025年12月26日付）にある自治体プロジェクトの説明に出てきました。

日本の公的機関は、ゼロトラストをどう書いているか

「何も信用しない」という意味ではない、と書く資料もあります。IPA の中核人材育成プログラムの受講生（5期生）がまとめた「ゼロトラスト移行のすゝめ」（2022年6月）は「ゼロトラストは「全てを信用しない」概念というよりは「全てを確認した上で認証・認可を行う」概念である。」と書いています。ただしこの資料は、PDF の免責事項に、IPA と産業サイバーセキュリティセンターの「意見を代表するものではなく、作成者の見解に基づいている」「本書の有効期限は，発行日から２年間とする。」と書いています。前年の「ゼロトラスト導入指南書」（2021年6月・4期生）のページも「本書は作成から2年が経過しており、有効期限が過ぎております。よって、本書はあくまで参考資料としてご活用ください。」と注記しています。

従来の「境界型」とは何が違うのか。公的資料の説明を同じ観点で並べた表

表の整理は筆者です。境界に置く機器の一つ、ファイアウォールはファイアウォールとはに書きました。

NISTの7つの原則（tenets）。原文の1文目と訳

NIST は第2.1節で、基本の原則の面からゼロトラストを定義しようとしています。原則は理想の目標で、「not all tenets may be fully implemented in their purest form for a given strategy」（すべての原則が純粋な形で完全に実装されるとは限らない）とも断っています。各原則の1文目の原文と筆者の訳です。

1. All data sources and computing services are considered resources.（すべてのデータの出どころとコンピューティングのサービスは、リソースと見なす。）
2. All communication is secured regardless of network location.（すべての通信は、ネットワーク上の場所にかかわらず保護する。）
3. Access to individual enterprise resources is granted on a per-session basis.（個々の企業リソースへのアクセスは、セッション〔ひと続きの接続〕単位で付与する。）
4. Access to resources is determined by dynamic policy—including the observable state of client identity, application/service, and the requesting asset—and may include other behavioral and environmental attributes.（リソースへのアクセスは、クライアントの身元、アプリケーション／サービス、要求する機器の観測できる状態を含む動的な方針で決まり、ほかの行動や環境の属性を含むこともある。）
5. The enterprise monitors and measures the integrity and security posture of all owned and associated assets.（企業は、所有する機器と関連する機器すべての完全性とセキュリティの状態を監視し、測定する。）
6. All resource authentication and authorization are dynamic and strictly enforced before access is allowed.（すべてのリソースの認証と認可は動的で、アクセスが許可される前に厳格に実施する。）一部または全部のリソースへのアクセスに多要素認証（MFA）を使うことを含む、と NIST は書く。
7. The enterprise collects as much information as possible about the current state of assets, network infrastructure and communications and uses it to improve its security posture.（企業は、機器・ネットワーク基盤・通信の現在の状態について可能な限り多くの情報を集め、セキュリティの状態を改善するために使う。）

日本の行政の取り組み。デジタル庁の適用方針（2022年6月30日・初版）と政府統一基準

デジタル庁「ゼロトラストアーキテクチャ 適用方針」（DS-210）。 PDF は22ページで、表紙に「2022年（令和4年）6月30日　デジタル庁」、改定履歴の表は、2022年6月30日の「初版決定」の1行だけです。位置づけは本文に書かれています。

「本文書は、政府情報システムを適用対象として想定している。なお、本文書はゼロトラストアーキテクチャへの理解を深める参考文書であり、適用の遵守を求めるものではない。」

適用方針は6つで、（1）リソースの識別（2）主体の身元確認・当人認証（3）ネットワークの保護（4）リソースの状態の確認（5）アクセス制御ポリシーによる評価とアクセス管理（6）リソースとアクセスの観測、が並びます。NIST と同じく、「ゼロトラストアーキテクチャは特定の実装やソリューションを指すものではない。」と明記しています。2026年10月13日3時41分に開いた「デジタル社会推進標準ガイドライン」のページでも、DS-210 の「策定日または最終改定日」は2022年6月30日でした。

政府統一基準（サイバーセキュリティ戦略本部が決定し、国家サイバー統括室が掲載）。 ゼロトラストの節は令和5年度版（令和5年7月4日）で加わり、内閣サイバーセキュリティセンターの令和6年1月の資料は「ゼロトラストアーキテクチャに関する対策を加え」と書いています。最新の令和7年度版（令和7年6月27日決定、令和8年9月14日一部改定）の「7.3 ゼロトラストアーキテクチャ」は、次のように書きます。

「ゼロトラストアーキテクチャは、組織内外を問わずネットワークは常に侵害されているものであるとの前提のもと、情報資産を保護し、情報セキュリティリスクの最小化を図るための情報セキュリティ対策における論理的・構造的な考え方である。」

この節は、アクセスの要求ごとに継続的に認証・認可する仕組みの一部である「動的なアクセス制御」を実装する場合の対策を定めます。

国と地方のネットワーク。 デジタル庁の検討会は2024年5月31日に報告書を掲載し、概要に「国は、ゼロトラストアーキテクチャの考え方を導入したGSSに、原則移行し、柔軟な働き方とセキュリティの両立を実現。」と書きました（GSS は政府共通の標準的PC・ネットワーク環境）。2025年12月26日付の資料では、7つの自治体のプロジェクトが、地方のシステムへのゼロトラストアーキテクチャの考え方の導入を検証しています。

ゼロトラストとVPNはどう関係するのか

VPN の仕組みはVPN とは、警察庁の統計の VPN 機器と侵入経路の数字はランサムウェアとはに書いたので、ここでは繰り返しません。NIST SP 800-207 は、ネットワークの要件（3.4.1節）にこう書きます。

Remote enterprise assets should be able to access enterprise resources without needing to traverse enterprise network infrastructure first. For example, a remote subject should not be required to use a link back to the enterprise network (i.e., virtual private network [VPN]) to access services utilized by the enterprise and hosted by a public cloud provider (e.g., email).

（訳・筆者：社外にある企業の機器は、先に企業のネットワーク基盤を経由しなくても、企業のリソースにアクセスできるべきである。たとえば、社外の主体が、企業が使うパブリッククラウド上のサービス（メールなど）にアクセスするために、企業ネットワークへ戻るリンク〔VPN〕を使うことを求められるべきではない。）

前述の受講生の「ゼロトラスト移行のすゝめ」（2022年6月）は、VPN はネットワークに対するアクセス認証なので、一度攻撃を受けると社内ネットワークのさまざまな機器にアクセス可能になり、ゼロトラストの概念に「適していない」と書いていました。

IPA の中小企業向け事例集（2026年3月）は、VPN 装置の存在が外部から確認できる状態の事例（インターネットから見える機器を調べる ASM 診断を受けた126社のうち10社）のカードで、「より強固にする対策」に「VPNのログインに多要素認証（MFA）を必須にする」と「ゼロトラスト型のリモートアクセスへの移行を検討する」を並べています。

VPN は通信を暗号化してつなぐ仕組み、ゼロトラストは誰が何に触れてよいかを毎回確認する考え方で、比べる層が違います（筆者の整理）。本記事が取得した資料のうち、VPN をやめるべきだと書くものはありませんでした。

個人や小さな会社に関係はあるのか。資料が書いている範囲

• NIST は、文書を「intended to describe zero trust for enterprise security architects」（企業のセキュリティ設計者向け）とし、原則は組織の内部や提携先との協業の作業に当てはまり、「not to anonymous public or consumer-facing business processes」（匿名の一般向け・消費者向けの業務には当てはまらない）と書きます。
• デジタル庁 の適用方針の対象は政府情報システムです。
• 国家サイバー統括室 のハンドブック第6章（中小企業等向け）は、137ページで「ゼロトラストに即切り替えは難しいことが多いですが、将来を見据えるのであれば検討の価値はあります。」と書きます。

組織が設計として進めるもので、個人が自分の機器に入れる製品や設定の名前ではない、というのが筆者の整理です。個人向けの導入手順は、本記事が取得した資料には見つかりませんでした。NIST の原則6が挙げる多要素認証は二段階認証とはとパスキーとはに、原則7に近いログの分析はSIEM とはに書きました。これらを使えばゼロトラストになると書く資料は、確認した範囲にありません。

AIとの関係。国家サイバー統括室などの2026年5月18日の注意喚起

内閣官房国家サイバー統括室、内閣府政策統括官（経済安全保障担当）、警察庁、金融庁など9つの府省庁等は2026年5月18日、「AI 性能の高度化を踏まえたサイバーセキュリティ対策の強化について（重要インフラ事業者等に対する注意喚起）」を出しました。AI が攻撃に悪用されて速さと規模が増すおそれを挙げ、基本的な対策（脆弱性管理、アカウント管理・認証・アクセス制御、バックアップなど）の確実な実施を求めたうえで、ゼロトラストは次のように出てきます。

「加えて、更なるサイバーセキュリティ対策水準の向上のため、内部・外部を問わず全てのアクセスを信頼せず継続的に検証する「ゼロトラスト」の考え方に基づくシステム設計・運用への移行、侵害を前提として組織内の不審な活動や攻撃痕跡等を能動的に検知・分析する取組（脅威ハンティング等）の強化、高性能 AI を活用したサイバーセキュリティ対策の強化（例：脅威検知・インシデント対応・脆弱性発見等）等、更なる取組の検討・実施を推奨します。」

AI エージェントの安全に絡めて「ゼロトラスト」の語を使う記事は、同サイトに別にあります（Google「ゼロトラスト・エージェント」第2回）。本記事の公的な定義とは別の話題です。

筆者が公式ページとPDFを開いて確かめたこと（2026年10月13日3時34分から3時42分）

ログインせず、画面を表示しない設定のブラウザ（Playwright・headless）でページを開き、PDF は文字にして確かめました。

• 3時34分：NIST のページの履歴は、2019年9月と2020年2月の草案（Draft）のあと「08/11/20: SP 800-207 (Final)」で、「Planning Note (04/19/2024)」に非公式の翻訳の案内がありました。PDF の定義は印刷ページ4ページ、7つの原則は6〜7ページです。用語集の「Zero Trust」の項は、SP 800-207 と同じ文言でした。
• 3時37分：IPA の中小企業向け事例集（55ページ）で「ゼロトラスト」が出るのは、PDF の13・14ページ目（VPN 装置のカード）と50ページ目（用語集）の3か所でした。
• 3時41分：IPA の「ゼロトラストという戦術の使い方」のページの更新履歴は「2023年8月23日　利用上の注意を更新しました。」でした。IPA の事例集のページは「公開日：2026年3月27日」でした。

製品の機能・導入費用・日本の企業での導入状況は、この記事では確かめていない

• 特定の製品・サービスの機能、費用、比較。
• 日本の企業や自治体の導入率・成果の統計。受講生の「ゼロトラスト移行のすゝめ」は民間企業3社の調査を引いていますが、元の報告書は確かめていません。
• NIST の SP 800-207A や実装例の文書、デジタル庁の DS-211・DS-212 の本文、政府統一基準の遵守事項の全文。
• 本記事の訳と、NIST のページが案内する非公式の日本語訳（PwC が IPA 向けに作成）との照合。

本文で名指しした資料と、保存してある記録

本文で名指しした資料は、すべて出典欄に URL と取得時刻を載せ、取得した原文と撮影画像は時刻つきで保存しています。定義や日付は変わることがあるので、使う前に各機関の最新のページを見てください。