with azbil
A to Z通过A to Z，涨知识啦！ Keyword
- NEW
零信任
是指一种针对信息系统及业务数据的访问与操作行为，始终进行正当性验证与监控的安全理念。不再沿用传统模式划分“可信任内部”与“不可信任外部”并防护边界，而是以“不信任任何访问和操作行为”为前提，采取各种安全防护措施。
© 林 宏之
为什么现在的安全模式发生了变化？
近年来，我们在新闻中看到有关计算机病毒和网络攻击的报道越来越多。攻击手段也愈发狡猾，不少用户收到伪装成业务联络的邮件后，不慎点击其中的链接并登录，在毫无察觉的情况下便遭受了损失。鉴于这种状况，企业对信息安全的理念也开始发生转变。
一直以来，许多企业将网络划分为外部（互联网）与内部（公司内部系统），采用通过守护其边界来确保安全的边界防御。例如，在边界处部署防火墙*1或VPN*2连接等，以此构建防范外部非法入侵的防护机制。虽然来自外部的访问会受到严格审查，但一旦越过边界进入内部，原则上此后在公司内部系统上的操作便不再逐一进行确认。如果换成办公大楼来比喻，就是在入口处确认访客身份后，一旦进入大楼，便可自由地在公司内部四处走动，几乎可以前往任何地方。
然而，信息安全所面临的环境已经发生了巨大变化，如今“内部人员即可信任”这一前提已难以成立。其背景在于，随着远程办公的普及以及云服务使用范围的扩大，外部与内部之间的边界本身正变得越来越模糊。此外，由于担心外部网络攻击者利用盗取的ID/密码进行身份冒用，或者内部人员的违规行为以及无恶意操作而感染恶意软件*3等问题，仅靠传统的边界防御已不足以被称为完善的安全对策。
因此，一种名为“零信任”的全新信息安全理念正备受关注。在零信任模式下，对于登录信息系统、访问业务数据、浏览文件等操作，并不会简单地认定“外部不可信、内部可信”，而是始终对其正当性进行验证与监控，在此基础上才允许执行。
零信任这一概念于2010年在美国被提出，此后以美国政府机构为中心，逐步推进其具体化应用。在日本，数字厅也于2022年公布了面向政府信息系统的《零信任架构应用方针*4》，将其定位为不仅对公共机关，对民间企业而言也重要的安全措施。
根据需要保护的信息资产进行安全设计
零信任并非仅仅表明一种“不信任”的态度。重要的是，在这一前提下，企业需要根据自身应保护的信息资产以及业务内容来设计相应的安全体系。不同企业和组织所处理的信息及其重要程度都存在很大差异。因此，基于零信任理念的安全防护措施也不能一概而论，而是需要在明确“哪些信息需要保护、需要保护到何种程度”的基础上，采取适当的安全措施。
例如，在进入公司内部系统时，如果用户正确输入了密码，传统的边界防御通常会毫无疑问地直接允许其访问。然而，该密码也有可能被第三方窃取并遭到恶意滥用。在零信任模式下，基于对这些风险的预判，除密码外，还通过结合生物识别、应用程序审批等方式，严格核实访问者的身份。
此外，在传统边界防御中，一旦获得访问公司内部系统的权限，用户便可自由访问各类数据和系统，这一点也被视为存在的问题。与此相对，在零信任模式下，会根据每个用户的业务需要，仅授予其必要范围内的访问权限。在某些系统中，还会与单点登录*5等的认证基础联动，无需用户每次进行认证操作，系统即可自动判定是否允许访问，从而在用户无感知的状态下实现安全保护。不过，对于特别重要的系统或数据，仍会要求进行再次认证等更为严格的确认。通过这些机制，即使发生非法访问或信息泄露，也能够将损失的影响控制在最小范围内。
个人的意识与行为支撑着安心的工作环境
综上所述，需要一种对所有用户和访问的正当性进行验证，不受外部或内部等网络连接源影响的信息安全机制。零信任所追求的目标是：在企业制定的规则和机制下开展业务，从而维持一个让每位员工都能安心工作的环境。对企业而言，理想的状态莫过于日常业务顺畅运转、始终保持“无异常发生”的局面。
要实现这一目标，不能仅依靠安全系统本身，每位员工的安全意识同样至关重要。众多企业正以零信任为前提，通过持续开展安全教育与宣传普及活动，推进提升员工安全意识的各项举措。针对钓鱼邮件、访问非法网站、随意下载免费软件、在外连接公共免费Wi‑Fi、重复使用密码等日常行为，都会开展相关风险警示。近年来，诈骗邮件和恶意网站会利用生成式AI伪造得足以以假乱真，即便平时谨慎的人，也可能被其精巧伪装蒙蔽而中招。即便自认绝不会上当受骗，也可能因身体状态、周围环境变化导致注意力下降，进而做出错误判断。因此，正确理解企业所制定的行为规范和系统机制，始终保持“随时核查确认”的态度，显得尤为重要。
网络攻击往往首先以个人为突破口，进而尝试入侵企业的系统，这类情况并不少见。因此，不仅在工作时间内，更要在日常生活中养成确认的习惯，这不仅支撑起一个能够安心开展工作的环境，在保护企业信息资产的同时，也有助于守护个人自身的信息安全。
- *1：防火墙
部署于内部网络与外部网络的边界，用于阻断来自外部的非法访问及网络攻击的安全防护系统。 - *2：VPN
在互联网上构建虚拟专用线路，对通信内容进行加密。可以从外部安全连接到公司内部系统，并防止信息泄露或篡改的安全技术。 - *3：恶意软件
可能引发信息被盗或系统破坏等问题的恶意程序。有时通过电子邮件的附件或恶意网站等途径感染。 - *4：零信任架构应用方针
为适配政府信息系统中云服务应用、远程办公普及的业务环境，明确如何落地应用零信任理念的基本方针。 - *5：单点登录
只需完成一次认证（输入ID或密码），即可凭借该认证信息，访问多个系统及应用程序的机制。 - ※本文为2026年5月13日发布的日文版文章的译文。
