CCSPとゼロトラストクラウドセキュリティ：2026年試験で問われること

CCSPコンプリートガイドシリーズの一部です。

ゼロトラストは業界の流行語から、CCSPの中核コンテンツへと変化しました。2025〜2026年のCBKアップデートでは、ゼロトラストアーキテクチャが複数のドメインにわたって明示的に組み込まれており、多くの大企業クラウドセキュリティプログラムがすでにゼロトラスト原則の何らかの形で運用されているという現実を反映しています。

CCSP試験のためにゼロトラストを理解するには、用語を定義する以上のことが求められます。試験では、ゼロトラスト原則を使ったアーキテクチャ上の意思決定能力が問われます——クラウドセキュリティプログラムを設計・評価する際に、シニアクラウドセキュリティプロフェッショナルが発揮するような判断力です。

CCSPのためのゼロトラスト基礎

コア原則

ゼロトラストアーキテクチャは、単一の基本的な前提のもとで運用されます：いかなるユーザー、デバイス、ネットワークの場所も、暗黙的に信頼されるべきではありません。すべてのアクセス要求は——企業ネットワーク内からであれ外部からであれ——認証・認可され、継続的に検証される必要があります。

これは、ネットワーク境界内のユーザーとシステムが暗黙的に信頼されていた境界ベースのセキュリティからの根本的な転換です。CCSP試験では、この転換がクラウド環境において特に重要な理由の理解が問われます。

クラウドにおけるゼロトラストの重要性：従来の境界セキュリティは、明確な内部/外部の境界を前提としています。クラウド環境はその境界を溶かします——ワークロードはサードパーティのデータセンターで実行され、ユーザーはどこからでもアプリケーションにアクセスし、データはCSP、パートナー、デバイス間を移動します。ゼロトラストはこの現実に対するアーキテクチャ上の対応を提供します。

NIST SP 800-207の定義

CCSP文脈でのゼロトラストの権威ある参照文書は、NIST SP 800-207（ゼロトラストアーキテクチャ）です。NISTはゼロトラストの7つの原則を定義しています：

1. すべてのデータソースとコンピューティングサービスをリソースとみなす
2. ネットワークの場所に関わらず、すべての通信を保護する
3. 個々の企業リソースへのアクセスはセッションごとに付与する
4. リソースへのアクセスは動的ポリシーで決定する
5. 企業はすべての所有・関連資産の完全性とセキュリティ態勢を監視・測定する
6. すべてのリソースの認証・認可は動的で、アクセス許可前に厳格に適用される
7. 企業は資産の現在の状態に関して可能な限り多くの情報を収集し、セキュリティ態勢の改善に使用する

CCSP問題はNIST SP 800-207を直接参照するか、シナリオ形式でこれらの原則の理解を問う可能性があります。

CCSPドメイン別のゼロトラスト

ドメイン1：クラウドアーキテクチャと設計

ドメイン1はアーキテクチャ設計レベルでゼロトラストを問います。想定される問題：

参照アーキテクチャ：ハイブリッドクラウド環境にゼロトラストを実装するにはどのアーキテクチャアプローチが最適か？問題はアイデンティティ中心vs.ネットワーク中心のセキュリティ設計の知識を問います。

論理的セグメンテーション：ユーザーが複数のCSPにまたがるワークロードにアクセスする場合、クラウドセキュリティアーキテクトはアクセス制御をどう設計すべきか？ゼロトラストの答えはネットワークゾーンベースではなくアイデンティティベースのアクセスを優先します。

CSPネイティブのゼロトラスト機能：AWS IAM、Azure AD条件付きアクセス、GCP IAMとVPCサービスコントロールはすべてゼロトラスト原則を実装しています。ドメイン1では特定のアーキテクチャ要件に対してどのネイティブ機能を指定すべきかが問われる場合があります。

SASEアーキテクチャの判断：組織はいつSASEアーキテクチャを採用すべきか？問題はSASE、従来のVPN、ZTNA単独アプローチのトレードオフを問う可能性があります。

ドメイン3：クラウドプラットフォームとインフラストラクチャセキュリティ

ドメイン3はゼロトラストの実装の詳細が最も重点的に問われる領域です。主要なトピック：

マイクロセグメンテーション：従来のネットワークセグメンテーションはVLANとファイアウォールルールを使ってゾーンを作ります。マイクロセグメンテーションはこれを個々のVM、コンテナ、サービスレベルまで拡張します。CCSP問題はマイクロセグメンテーションが適切な場面とクラウド環境でそれを効果的に実装するコントロールを問います。

ソフトウェア定義境界（SDP）：SDPはユーザーとリソース間に動的にプロビジョニングされた1対1のネットワーク接続を作ります。VPN（広範なネットワークアクセスを付与）とは異なり、SDPはユーザーが認可されている特定のリソースへのアクセスのみを付与します。CCSP問題はゼロトラスト整合性の観点でSDPと従来のVPNを比較する可能性があります。

IAM統合：ゼロトラストは継続的なアイデンティティ検証を必要とします。ドメイン3ではIAMがネットワークアクセス制御と統合してゼロトラストを実装する方法——例えばサービスメッシュ認証（mTLS）がマイクロサービス間のゼロトラストを実装する方法——が問われます。

Kubernetesネットワークポリシー：コンテナ環境では、KubernetesネットワークポリシーがPod通信レイヤーでゼロトラストを適用します。ドメイン3はこれらのポリシーがどのようにマイクロセグメンテーションを実装し、どう設計すべきかの理解を問います。

CASB（クラウドアクセスセキュリティブローカー）：CASBはSaaSアプリケーションアクセスのゼロトラストポリシーの適用ポイントとして機能します。ドメイン3はゼロトラストアーキテクチャ内でのCASBの配置と機能を問います。

ドメイン5：クラウドセキュリティオペレーション

ドメイン5は運用コンテキストでのゼロトラストを問います：

継続的監視：ゼロトラストは一度限りの認証ではなく継続的な検証を前提とします。ドメイン5はセキュリティオペレーションがゼロトラストアクセス決定をサポートするために、ユーザー行動、デバイスの状態、アクセスパターンの継続的監視をどう実装するかを問います。

アダプティブ認証：ゼロトラストはリスクシグナルに基づくステップアップ認証を可能にします。ドメイン5問題は、管理対象外デバイスから機密データにアクセスするユーザーにMFAステップアップを要求するなど、アダプティブ認証トリガーをどう設定すべきかを問う可能性があります。

ゼロトラストインシデント対応：ゼロトラスト下でインシデント対応はどう変わるか？「境界を越えた侵入者を検出する」のではなく、ゼロトラストオペレーションは認証済みセッション内の異常なアクセスパターンの検出に焦点を当てます。ドメイン5はこの運用上の考え方の変化を問います。

ZTNA：ゼロトラストネットワークアクセス

ZTNAはクラウドアプリケーションアクセスのVPNを置き換えるまたは補完します。CCSP試験はZTNAをアーキテクチャと運用の両コンテキストで問います。

ZTNAの仕組み

従来のVPNはユーザーにネットワークセグメントへのアクセスを付与し、そこから接続可能な任意のリソースにアクセスできます。ZTNAは以下に基づいて特定のアプリケーションへのアクセスを付与します：

1. アイデンティティ検証：ユーザーのアイデンティティがIDプロバイダーを通じて検証される
2. デバイス態勢評価：アクセスするデバイスがセキュリティポリシー（パッチレベル、暗号化状態、MDM登録など）に対して評価される
3. コンテキスト評価：時間帯、場所、行動パターン、リスクスコアが評価される
4. アプリケーション固有のアクセス：ネットワークではなく、指定されたアプリケーションのみへのアクセスが付与される

CCSPシナリオにおけるZTNA vs. VPN

ZTNAとVPNに関するCCSP試験問題は、通常ラテラルムーブメントリスクの違いと各アプローチの適切なユースケースを中心に展開されます。

SASE：Secure Access Service Edge

SASE（「サッシー」と発音）はネットワーキングとセキュリティ機能をクラウド配信サービスに統合します。2019年にGartnerが定義し、クラウドセキュリティアーキテクチャの重要なトピックになっています。

SASEコンポーネント

CCSPシナリオにおけるSASE

SASEに関するCCSP問題は通常以下を問います：

• SASEがポイントソリューションよりも適切なアーキテクチャ選択となる場面
• SASEコンポーネントがどのようにゼロトラスト原則を実装するか
• 単一ベンダーSASEとベストオブブリードの統合スタックのトレードオフ
• SASEがブランチオフィスとリモートユーザーのセキュリティを一貫した方法で処理する方法

CISAゼロトラスト成熟度モデル

CISAのゼロトラスト成熟度モデルは、ゼロトラスト実装の評価と進歩のフレームワークを提供します。規制業界の組織向けCCSPコンテンツで特に参照されます。

CISAモデル：5つの柱

CISAモデルは5つの柱にわたってゼロトラストを整理します：

1. アイデンティティ：ユーザーと非人間アイデンティティの認証・認可方法
2. デバイス：アクセス前のデバイスの健全性とコンプライアンスの検証方法
3. ネットワーク：ネットワークアクセスのセグメンテーションと制御方法
4. アプリケーションとワークロード：アプリケーションアクセスの管理とセキュリティ確保方法
5. データ：データの分類、保護、アクセス制御方法

CISAモデル：成熟度ステージ

各柱について、CISAは3つの成熟度ステージを定義します：

CCSP適用

金融サービス、医療、政府など規制された組織が関与するCCSPシナリオでは、CISAの成熟度モデルがゼロトラストプログラムの現状評価と次のステップを考えるフレームワークを提供します。ある組織が占める成熟度ステージを特定したり、次のステージへ進めるコントロールを識別したりする問題が出題される可能性があります。

アイデンティティ中心のアクセス制御

ゼロトラストのコア原則は、ネットワークの場所ではなくアイデンティティが主要なセキュリティコントロールであることです。これはクラウドセキュリティアーキテクチャに重大な影響を与えます。

新しい境界としてのアイデンティティ

ゼロトラストクラウド環境では：

• 人間のアイデンティティは強力な認証（MFA、パスワードレス、FIDO2/パスキーなどのフィッシング耐性のある方法）で検証される
• 非人間のアイデンティティ（サービスアカウント、アプリケーション、ワークロード）は共有認証情報ではなくIAMロール、サービスプリンシパル、ワークロードアイデンティティフェデレーションで管理される
• アクセス決定はネットワークセグメントのメンバーシップではなく、アイデンティティ＋コンテキストに基づいて動的に行われる

ゼロトラスト下での特権アクセス管理

ゼロトラストは特権アクセスの管理方法を変えます：

• ジャストインタイム（JIT）アクセス：特権アクセスは永続的に割り当てられるのではなく、時間制限付きの特定タスクに対して付与される
• ジャストエナフアクセス（JEA）：特権は特定タスクに必要な最小限にスコープされる
• セッション記録と監視：すべての特権セッションが記録・行動分析される

CCSP試験でのゼロトラスト問題の出題形式

コンテンツを理解するだけでは不十分——試験でゼロトラスト問題がどのように構成されているかを理解する必要があります。

問題パターン：「最初に取るべき行動はどれか？」

ゼロトラスト問題はしばしば優先順位を問います：

「組織はクラウドに移行してゼロトラストを実装したい。現在の環境はスプリットトンネリングのVPNを使用している。クラウドセキュリティプロフェッショナルが最初に推奨すべき行動はどれか？」

答えは評価や計画ステップを含みます——現在のアイデンティティインフラストラクチャの評価、ZTNA対応のためのアプリケーションインベントリの評価——技術的実装への飛躍ではありません。CCSPは計画/ガバナンスの回答を評価します。

問題パターン：「この要件に最も適切なコントロールはどれか？」

「クラウドセキュリティアーキテクトがKubernetesクラスター内のマイクロサービス間のラテラルムーブメントを防ぎたい。最も適切なコントロールはどれか？」

選択肢にはクラスターレベルのネットワークセキュリティグループ、Kubernetesネットワークポリシー、mTLSを使ったサービスメッシュ、Pod間のVPNトンネルなどが含まれる可能性があります。答えはKubernetesネットワークポリシー（または正確なシナリオによってはサービスメッシュ）です。

問題パターン：リスク/ガバナンスの決定

「組織がリモートアクセスにZTNAを実装したが、ブランチオフィス接続には従来のVPNを使い続けている。CISOがリスクについて尋ねた。最も重大なリスクはどれか？」

答えは一貫性のないアクセス制御モデルがギャップを生み出すことの特定に関わります——ブランチオフィストラフィックはZTNAトラフィックと同じゼロトラストコントロールを受けず、ゼロトラスト原則を損なう部分的な信頼モデルが生じます。

CCSP試験のゼロトラストコンテンツへの対策

主要な参照文書を読む：

• NIST SP 800-207（ゼロトラストアーキテクチャ）——特に原則とデプロイメントシナリオ
• CISAゼロトラスト成熟度モデル——5つの柱と成熟度ステージ
• CSAセキュリティガイダンス（第8章——インフラストラクチャセキュリティと関連章）

CBKドメインにゼロトラストをマッピングする——スタンドアロントピックとして学習するのではなく。ゼロトラストの概念に出会ったら、これはアーキテクチャ設計の問題か（ドメイン1）？実装の問題か（ドメイン3）？運用監視の問題か（ドメイン5）？と自問しましょう。

シナリオ問題を練習する——ゼロトラスト整合型と非整合型の回答を選択するものを。試験はゼロトラストを定義するよう求めません——ゼロトラスト原則を与えられたシナリオに適用するよう求めます。

前の記事：CCSPアソシエイト認定パス | CCSPコンプリートガイド