ゼロトラストネットワークの7つの要件とは｜ZTXの7要素とNIST SP 800-207の7原則、最小特権の実装

ゼロトラストの「7つの要件」を調べると、デバイスやデータといった名詞が7つ並ぶ記事と、「すべての通信を保護する」のような文が7つ並ぶ記事に分かれます。前者はForrester Researchが2018年に示したZTX（Zero Trust eXtended）の7要素、後者は米国立標準技術研究所（NIST）がSP 800-207で定めた7つの基本原則です。国内のベンダー解説には、前者を「7つの要件」と呼ぶ例と、後者を同じ見出しで扱う例があります。

この記事では、2つの系統を一次情報で確かめたうえで対応表で結び、NISTが「ネットワーク要件」として挙げる10項目、そして7つの要件を実装で支える最小特権の原則まで整理します。

まとめ：7つの要件は「ZTXの7要素」と「NISTの7原則」の2系統

• NECやHPの解説が「7つの要件」と呼ぶのはZTXの7要素：デバイス、ネットワーク、アイデンティティ、ワークロード、データ、可視化と分析、自動化。守る領域ごとに対策を棚卸しする枠組みです。
• NIST SP 800-207の7原則は設計の前提：リソースの定義、場所に依存しない通信保護、セッション単位の許可、動的ポリシー、資産の状態監視、厳格な認証・認可、情報収集による改善。製品の分類ではありません。
• 両者は対立せず、組み合わせて使う：7要素で「どこに手を打つか」を決め、7原則で「どう判断させるか」を決めます。米国防総省の7つの柱はZTXとほぼ同じ区切り方です。
• 最小特権は7原則の原文に書かれた要件：原則3と原則4の説明にleast privilegeが明記されており、アクセスできる範囲だけでなく、リソースが見える範囲も絞る対象に含まれます。
• 着手はアイデンティティから：IDと権限の管理は、動的ポリシーと最小特権の判断材料になります。多要素認証は、アクセス要求者の認証を強化する役割を担います。

「7つの要件」が2系統ある理由と見分け方

ゼロトラストという考え方は、ForresterのJohn Kindervag氏が2010年9月の報告書「No More Chewy Centers: Introducing The Zero Trust Model Of Information Security」で示したものです。その後、同社のChase Cunningham氏が2018年1月19日付の報告書「The Zero Trust eXtended (ZTX) Ecosystem」で、守る対象を7つの要素に分けました。原典の英語名は Data、Networks、People、Workloads、Devices、Visibility and analytics、Automation and orchestration です。国内の解説では People を「アイデンティティ」と訳すことが多く、NECの用語解説やHPのコラムが「7つの要件」として挙げる項目もこの7つと一致します。

一方、NISTは2020年8月11日にSP 800-207「Zero Trust Architecture」の最終版を公表し、第2.1節で7つの基本原則（tenets）を定めました。こちらはゼロトラスト・アーキテクチャが満たすべき前提を文で書いたもので、製品カテゴリを並べたものではありません。

手元の資料がどちらを指しているかは、項目の形で見分けられます。「デバイス」「データ」と名詞が並んでいればZTX系、「〜を保護する」「〜を監視する」と動作が並んでいればNIST系です。社内の要件定義書や提案書でどちらの7つかが混ざると、片方の観点が抜けたまま「7つ満たした」と判断してしまうので、出所を明記して使い分けてください。

7つの要件（ZTXの7要素）ごとの対策と代表技術

7要素を実際の対策に落とすと、次のように整理できます。代表技術は一例で、1つの製品が複数の要素にまたがることもあります。

デバイスとアイデンティティ：アクセスする側の要件

アクセスを許可するかどうかは、「誰が」「どの端末から」要求しているかで判断します。デバイス側では、端末の台帳と、OSやパッチの状態を常時把握する仕組みが前提になります。EDRの検知の仕組みとEPP・XDRとの違いで扱う端末の挙動監視は、ここで集めた状態をアクセス判断に渡す役割を持ちます。アイデンティティ側では、ID管理基盤と多要素認証が中心です。NIST SP 800-207も原則6の説明で、ICAM（ID・資格情報・アクセス管理）と資産管理の仕組みを備え、一部またはすべてのリソースにMFAを使うことを求めています。方式の選び方はMFA・SSO・OIDC・IDaaSの違いと選定の解説で整理しています。

ネットワークとワークロード：経路とアプリが動く場所の要件

ネットワークの要件は、「社内LANにいるから信頼する」をやめることです。社内から社外のクラウドへ、社外から社内のアプリへ、どちらの通信も同じ基準で検証します。リモートアクセスの置き換えとしてのZTNAはZTNAとVPNの違いと製品選定の解説で比較しています。ワークロードは、IaaS上の仮想マシンやコンテナ、SaaSで動くアプリが対象です。設定ミスを見つけるCSPMと、実行中のワークロードを守るCWPPは役割が異なり、その切り分けはCWPPとCSPMの違いと導入判断で説明しています。

データ：最終的に守る対象の要件

他の6要素は、最後はデータを守るための手段です。そのため、どのデータがどこにあり、どの機密度かが分からないと、ネットワークやワークロードの制御にも優先度が付けられません。最初にやることは製品導入ではなく、データの分類と保管場所の一覧化です。そのうえで、機密度の高いデータから順にDLPや暗号化、共有範囲の制限を掛けます。NISTの原則4も、リソースやデータの機密度によってアクセスのポリシーを変えてよいとしています。

可視化と分析・自動化：他の5要素を横断して支える運用の要件

可視化と分析は、端末・ID・通信・アプリのログを1か所に集め、異常を見つける要件です。自動化とオーケストレーションは、ポリシーに基づいて複数の対策を連携させる要素です。異常への対処では、アカウント停止や端末隔離などを、必要に応じて承認工程も含めた手順として実行します。ログを集めるだけで対処が手作業のままだと、検知から遮断までの時間は担当者の勤務時間に縛られます。SIEMとSOARを一体で扱う例はMicrosoft SentinelのSIEM/SOARの仕組みと料金モデルが参考になります。

NIST SP 800-207の7原則（7つの基本原則）

NIST SP 800-207は2019年9月23日と2020年2月13日の2回のドラフトを経て、2020年8月11日に最終版が公表されました。CSRCの文書履歴はこの最終版が最後で、改訂版や差し替えの表示はありません（2026年10月28日に確認）。第2.1節の7原則は次のとおりです。原文はNIST SP 800-207のPDFの6〜7ページにあります。

NISTはこの7原則を「理想の目標」と位置づけ、すべてを最も純粋な形で実装できるとは限らないと断っています。つまり、7原則は合否を判定するチェックリストではなく、どの程度近づいているかを測る方向を示したものです。ゼロトラスト全体の考え方と境界型防御との違いはゼロトラストとは？境界型防御との違い・NIST7原則と導入判断を解説で扱っています。

SP 800-207を補う文書も出ています。2023年9月13日公表のSP 800-207Aは、マルチクラウドで動くクラウドネイティブアプリのアクセス制御モデルを扱います。2025年6月10日に最終版となったSP 1800-35「Implementing a Zero Trust Architecture」は、商用製品を組み合わせて作った19件の実装例を示しています。原則から構成を考えるときは、SP 1800-35の実装例を見ると具体的な製品の組み合わせ方が分かります。

ZTXの7要素とNISTの7原則の対応表

2つの系統を結ぶと、7要素のどこを整えればどの原則を満たせるかが見えます。次の表は、SP 800-207の各原則の説明文に出てくる語を手掛かりに当社で対応づけたものです（NISTやForresterが公式に示した対応表ではありません）。

表から分かることは2つあります。1つ目は、通信保護を直接扱う原則2に加え、原則4のネットワーク位置などの属性や、原則7の通信情報の収集もネットワークに関係することです。それでも、ネットワーク側の対策だけで満たせる原則はなく、「ゼロトラスト＝VPNをZTNAに替えること」と考えると、IDや端末の状態、データの機密度に依存する部分が手付かずのまま残ります。2つ目は、7原則には「自動化」という語が出てこないことです。原則6が求める「アクセス・脅威の評価・適応・信頼の再評価を絶えず繰り返すサイクル」を、ユーザーやリソースが増えても回し続けるには人手では足りず、そこを自動化の要素が担います。

NISTの「ネットワーク要件」は10項目：SP 800-207 第3.4.1節

「ゼロトラストネットワークの要件」を文字どおりに探すと、NIST SP 800-207には第3.4.1節「Network Requirements to Support ZTA」があり、こちらは7つではなく10項目です。7原則とは別に、ゼロトラスト・アーキテクチャを支えるネットワークの条件を並べたものです。

1. 組織の資産は基本的なネットワーク接続（ルーティングやDNS）を持つ
2. 組織が所有・管理する資産と、その時点のセキュリティ状態を見分けられる
3. 組織はすべてのネットワーク通信を観測できる
4. 組織のリソースにはPEP（ポリシー適用ポイント）を経由しないと到達できない
5. データプレーンとコントロールプレーンは論理的に分かれている
6. 組織の資産はPEPに到達できる
7. 業務の流れの中でポリシー管理者（PA）にアクセスするのはPEPだけである
8. リモートの資産は、組織のネットワークを経由せずにリソースへアクセスできる
9. アクセス判断の基盤は負荷の変化に合わせて拡張できる
10. ポリシーや状況によっては、資産が特定のPEPに到達できないことがある

実装で効いてくるのは3項目です。2番目は、資産の識別に組織が発行した資格情報を使い、偽装できるMACアドレスのような情報には頼らないことを求めています。4番目は、リソースがインターネットからの任意の接続を受け付けず、PEPを介して認証・認可された接続を受け付ける状態を指します。リソースの存在を隠す構成もありますが、DNSなど到達可能にすべき基盤サービスは例外です。8番目には、クラウドのメールを使うためだけにVPNで社内を経由させる構成を求めない、という例が書かれています。PE・PA・PEPという論理構成要素の役割はゼロトラストアーキテクチャの構成要素と設計ステップの解説で図解しています。

米国防総省の7つの柱・CISAの5つの柱との関係

「7つの柱」という呼び方もよく見かけます。代表例は、米国防総省（DoD）がDISAとNSAのチームで作成したZero Trust Reference Architecture Version 2.0（表紙は2022年7月）の7つの柱です。User、Device、Application and Workload、Data、Network and Environment、Automation and Orchestration、Visibility and Analytics の7つで、区切り方はZTXの7要素とほぼ同じです。資料によって「7つの要件」「7つの要素」「7つの柱」と呼び名が違っても、中身はこの系統だと考えて構いません。

米国のサイバーセキュリティ・インフラセキュリティ庁（CISA）が2023年4月に公表したZero Trust Maturity Model Version 2.0は、柱を Identity、Devices、Networks、Applications and Workloads、Data の5つにしました。ZTXで独立していた可視化と分析・自動化は、ガバナンスと合わせて全部の柱にまたがる3つの横断機能になっています。各機能は Traditional、Initial、Advanced、Optimal の4段階で成熟度を測る作りで、自社の現在地を測る物差しとして使えます。

国内では、デジタル庁が2022年6月30日にゼロトラストアーキテクチャ適用方針（DS-210）を公表しており、政府情報システムにゼロトラストを当てはめるときの基本方針になっています。同じ2022年6月にはIPAの中核人材育成プログラムの成果物としてゼロトラスト移行のすゝめも出ています。

最小特権の原則をゼロトラストで実装する手順

最小特権の原則（最小権限の原則）は、ゼロトラストのために作られた言葉ではありませんが、SP 800-207は7原則の中でこれを明記しています。原則3は、タスクを完了するのに必要な最小限の権限でアクセスを許可すべきだとしています。原則4の説明には Least privilege principles are applied to restrict both visibility and accessibility. とあり、操作できる範囲だけでなく、リソースが見える範囲も絞る対象です。権限のないユーザーにはサーバーの存在自体を見せないという考え方で、前の章のネットワーク要件4番目とつながります。

実装は次の順で進めると破綻しにくくなります。

1. ロール単位で権限を束ねる（RBAC）：部署や職務ごとにロールを作り、個人に直接権限を付けない。
2. 属性で条件を足す（ABAC）：端末が管理下か、社外からか、勤務時間内か、といった属性でロールの権限をさらに絞る。原則4の動的ポリシーに当たる部分です。
3. 管理者権限は必要な時だけ渡す（JIT）：恒常的な管理者アカウントを減らし、申請と承認で期限付きの権限を貸し出す。仕組みは特権ID管理の貸出・操作記録の仕組みで解説しています。
4. 権限を定期的に棚卸しする：異動・退職で残った権限や、使われていないサービスアカウントを回収する。

CISAの成熟度モデルは、この流れを段階で書き分けています。Traditionalでは最小特権を権限の付与時にだけ設定し、Initialでは付与後にも一部を見直し、Advancedではリスクと端末の状態の評価に基づいて権限を変えます。付与時に最小特権を設定したまま見直さない運用は、CISAがTraditionalの特徴として挙げる状態に当たります。

避けたいのは、「まず広めに付けて、あとで絞る」運用です。絞る作業は業務が止まるリスクを伴うため後回しにされ、過剰な権限がそのまま定着します。最初は狭く付け、足りない分を申請で広げる方向で始めてください。ID管理と認可の分担はIDおよびアクセス管理（IAM）の構成と導入判断で詳しく扱っています。

7つの要件の導入順序とアイデンティティの優先整備

7つを同時に整えるのは現実的ではありません。着手の順番は、他の要件が判断材料として使う情報から先に用意する、という考え方で決めます。

最初はアイデンティティです。利用者やサービスのIDと権限を整理し、動的ポリシー（原則4）と最小特権の判断材料を用意します。MFAは、対象リソースへのアクセス時の認証を強化するために導入します。次がデバイスで、端末の台帳と状態を把握し、その情報をアクセス制御に連携すると、原則5に沿って脆弱性のある端末のアクセス制限や拒否を判断できます。ネットワーク（ZTNAへの置き換え）はその後です。ZTNAを導入しても、認証の成功だけで全リソースへのアクセスを許可すれば、リソースごとの最小特権を実現できません。

失敗しやすいのは、7要素ごとに製品を1つずつ揃えて完了とする進め方です。製品同士がIDや端末の状態を受け渡せなければ、原則4の動的な判断は成り立ちません。製品を選ぶ前に、どのログとどの属性をどの製品に渡すかを決めておく必要があります。社内システムの認証をIDaaSに寄せる設計や、既存システムへのSSO組み込みは、当社の認証基盤・ID管理システム開発でも支援しています。導入手順と費用の見積もり方はゼロトラストの構成技術と導入手順・費用の解説にまとめています。

よくある質問

ゼロトラストの7つの要件とは何ですか？

NECやHPなど国内ベンダーの解説で7つの要件として挙げられるのは、デバイス、ネットワーク、アイデンティティ、ワークロード、データ、可視化と分析、自動化の7つです。Forresterが2018年に示したZTX（Zero Trust eXtended）の7要素が元になっており、守る領域ごとに対策を整理する枠組みです。NIST SP 800-207の7原則を同じ「7つの要件」の名前で紹介する記事もあるため、項目の中身で見分けてください。

7つの要件とNISTの7原則は同じものですか？

別のものです。7つの要件（ZTXの7要素）は守る領域の分類、NIST SP 800-207の7原則はゼロトラスト・アーキテクチャの設計の前提を文で示したものです。対立はしないため、7要素で対策の範囲を決め、7原則でアクセスの判断方法を決める、という組み合わせ方をします。

ゼロトラストにおける最小特権とは何ですか？

業務に必要な最小限の権限だけを、必要な期間だけ与えることです。NIST SP 800-207は原則3と原則4の説明で最小特権を明記しており、操作できる範囲に加えて、リソースが見える範囲も制限の対象にしています。

NIST SP 800-207の最新版はいつのものですか？

2020年8月11日公表の最終版です。2026年10月28日時点で、CSRCの文書履歴に改訂版や差し替えの表示はありません。補足文書として、クラウドネイティブアプリ向けのSP 800-207A（2023年9月）と、実装例集のSP 1800-35（2025年6月）が出ています。

ゼロトラストの7つの柱と7つの要件の違いは何ですか？

中身はほぼ同じです。7つの柱は米国防総省のZero Trust Reference Architectureでの呼び方で、User、Device、Application and Workload、Data、Network and Environment、Automation and Orchestration、Visibility and Analyticsの7つです。ZTXの7要素と区切り方がほぼ一致します。

関連記事

• ゼロトラストとは？境界型防御との違い・NIST7原則と導入判断を解説
• ゼロトラストアーキテクチャとは？NISTの構成要素と設計ステップを解説
• ゼロトラストネットワーク（ZTNA）とは？VPNとの違いと製品選定・導入判断を解説
• ゼロトラストセキュリティとは？構成技術と導入手順・費用を実装視点で解説
• IDおよびアクセス管理（IAM）とは：ID管理と認可の違い、企業IAM基盤の構成と導入判断