米国政府系標準のゼロトラストを構成する「5本柱」【ランサムウェア被害に遭わない米国最新DX】
第6回｜米国政府系標準のゼロトラストを構成する「5本柱」
――ランサムウェア時代の"アメリカ標準DX"とは何か？
世界では、企業の 9割がゼロトラストを導入済み（CSO Online 2024）で、米国政府は全省庁にゼロトラストを義務化しています。
しかし日本では、「境界型」「VPN依存」「社内AD中心」の90年代型アーキテクチャが主流で、Qilin（アサヒ）・RansomHouse（アスクル）事件のように甚大な被害が拡大しています。
ゼロトラストとは、単に「疑う」ことではありません。
"企業の中で何を守るかを決め、それ以外は信用しない"
これを技術と運用で実装する「再設計」です。
その再設計の骨格が、CISA（米国サイバーセキュリティ庁）の示す 「ゼロトラストを構成する5本柱（Five Pillars）」 です。
■ ゼロトラストの5本柱（CISA標準）
-
IDENTITY（誰がアクセスするか）
-
DEVICES（どの端末からアクセスするか）
-
NETWORK（どのルートを通るか）
-
APPLICATIONS & WORKLOADS（どのアプリをどう動かすか）
-
DATA（最終的に保護すべき情報そのもの）
以下では、"経営企画部が社長に説明できるレベル" に翻訳して説明します。
1. IDENTITY（アイデンティティ）
「"人と権限"を常に確認する仕組み」
従来：
「社内に入ったら社員＝信用」
（VPNで入れたら、後はフリーパス）
ゼロトラスト：
「誰であれ、毎回、権限を確認する」
「必要な時だけ、必要な範囲だけ」
経営視点でのポイント
-
ランサムウェア侵入の 75％は不正ログイン。
-
MFA（多要素認証）、SSO、ID管理の統合は「損害を数十億円単位で削減する投資」。
-
社員・委託先・海外拠点が増えるほど、IDが企業最大の弱点になる。
2. DEVICES（端末）
「端末が"安全かどうか"を常にチェックする」
従来：
社員PCであれば信頼する。
スマホ、私物PCは"だいたいOK"。
ゼロトラスト：
安全性を満たさない端末は一歩たりとも入れない。
経営視点でのポイント
-
ランサムウェアは 端末の脆弱性から横展開 する。
-
OSアップデート不備、旧式PC、持ち込みPCが"企業内部の感染源"になる。
-
端末管理（MDM/EMM）とEDRが 社内感染の「防火壁」 になる。
3. NETWORK（ネットワーク）
「VPNのような"入口1本の城"をやめる」
従来：
VPNでつないだら城内へ。どこでも見放題。
ゼロトラスト：
業務単位で"細かい小部屋（マイクロセグメント）"に区切る。
必要な小部屋にだけ、必要な時だけ入れる。
経営視点でのポイント
-
VPNは 世界最大の攻撃対象（BadVPN、脆弱性）。
-
攻撃者が一度入れば、ERPやNASまで一直線。
-
ゼロトラスト・ネットワークは "侵入されても止まらない"構造 になる。
4. APPLICATIONS & WORKLOADS（アプリ・業務）
「アプリケーションが安全に動く"環境ごと守る"」
従来：
基幹システム、SaaS、社内ツールがバラバラ。
ゼロトラスト：
アプリの"動く環境"を統制し、異常動作を即検知する。
経営視点でのポイント
-
攻撃者はアプリの隙（API・脆弱ライブラリ）を突く。
-
重要業務（会計、物流、製造）は "守るべき小宇宙＝ワークロード"。
-
全体最適化（IaaS/SaaS/ローカル）が不可欠。
5. DATA（データ）
「最終的に守るべき"企業価値そのもの"」
従来：
データは"置かれた場所"で守る（NAS、ファイルサーバ）。
ゼロトラスト：
データそのものに保護を付ける（暗号化・DLP・アクセス制御）。
経営視点でのポイント
-
顧客情報、知財、製造レシピ、原価データは
侵害＝会社の価値が直接毀損。 -
企業秘密の漏えいは 時価総額10〜30％消失 が海外では現実。
-
保護の核は「どの情報をProtect Surfaceにするか」の定義。
■ 5本柱は"経営の優先順位"に直結している
CISAの5本柱は、技術チェックリストではなく、
経営レイヤーの再設計モデル です。
| 柱 | 経営意思決定での意味 |
|---|---|
| Identity | 人・権限の統制＝内部統制の強化 |
| Devices | IT資産管理＝予算・更新の意思決定 |
| Network | ゼロトラスト網への"投資判断" |
| Apps/Workloads | 基幹業務の保全 |
| Data | 企業価値の源泉そのものの保護 |
つまり、ゼロトラストは
"ITの話"ではなく、"経営企画部案件" です。
【セミナー告知】QilinやRansomHouseの被害から完全防御：米国最新ランサムウェア対策セミナー
-経営企画室が主導するアメリカ基準のランサムウェア対策-
一般社団法人 企業研究会
【開催にあたって】
アサヒグループやアスクルが被害に遭っているランサムウェアは、犯罪集団の手口が高度化しており、多くの上場企業が潜在ターゲットになっています。従来サイバーセキュリティはCIO/情報システム部門が管掌していましたが、アサヒに見るように全社規模の営業損失になりかねないことから、対策には経営者の意思決定が不可欠になっています。
このセミナーでは経営者の意思決定を支援する経営企画室が主導するアメリカ水準のランサムウェア対策について、ChatGPT 5を活用した情報収集から現行社内システムに堅固なランサムウェア防御策を組み入れるプロジェクト詳細まで、ノウハウを伝授します。
【講師】
インフラコモンズ代表