🛡 はじめに
「ゼロトラスト」という言葉は、最近のクラウドセキュリティ界隈で頻繁に登場しますが、その中でもGoogleが提唱した BeyondCorp（ビヨンドコープ） はその先駆けとして知られています。
本記事では、
- ゼロトラストとは何か？
- BeyondCorpの概要と構成
- 従来の境界型セキュリティとの違い
- 実際のクラウド環境（Google Cloud/AWS）への応用ヒント
を中心に解説します。
🔐 ゼロトラストとは何か？
ゼロトラスト（Zero Trust）とは、「誰も信頼しない」という前提に基づいたセキュリティアーキテクチャです。
🔸 特徴
- ネットワークの内外を問わず、すべてのリクエストを検証
- ユーザーとデバイスのコンテキストに基づいた動的なアクセス制御
- 従来のVPNやIP制限に依存しない
このアプローチにより、リモートワークやクラウド利用が進む現代の企業においても柔軟で強固なセキュリティ体制が構築できます。
🏛 BeyondCorpとは？
BeyondCorp は、Googleが内部インフラ向けに開発したゼロトラストアーキテクチャの実装です。
VPN不要で、社員がどこからアクセスしても、ユーザーとデバイスに基づいてアクセスを制御します。
✅ 背景
Google社内では、APT攻撃（Aurora攻撃など）をきっかけに、従来のVPN＋境界防御モデルから脱却し、「信頼しない設計」へ移行しました。
🧩 BeyondCorp の構成要素
以下の3つがコアコンポーネントとされています。
1. Device Inventory
- 社員の端末の状態を常に把握（OS、パッチ状態、暗号化有無など）
2. Access Proxy
- 社内リソースへのすべてのアクセスを仲介し、ユーザー・デバイス・リクエストの内容を評価
3. Trust Evaluation Engine
- ユーザー認証情報、デバイス状態、ポリシー、行動履歴などを元に、アクセスを「その都度」評価（Dynamic Authorization）
🔄 従来のVPNベースのセキュリティとの違い
| 項目 | 従来型セキュリティ | ゼロトラスト（BeyondCorp） |
|---|---|---|
| アクセス判定 | ネットワーク境界（IP/VPN） | ユーザー＋デバイス＋リスク評価 |
| 信頼の範囲 | 内部は基本的に信頼 | 常に検証し信頼しない |
| VPN | 必須 | 不要 |
| ログ・監査 | 限定的 | 全アクセスを細かく記録・監査 |
🌐 Google CloudでのBeyondCorp的実装
Google Cloudでは、以下のサービスを組み合わせることで BeyondCorp Enterprise に近い構成が可能です。
| 機能 | サービス名 |
|---|---|
| ID認証・MFA | Cloud Identity / Identity-Aware Proxy（IAP） |
| デバイス制御 | Endpoint Verification（Chrome拡張 or MDM連携） |
| アクセス制御 | Context-Aware Access（条件付きアクセス制御） |
| ログ・監査 | Cloud Audit Logs / Chronicle（SIEM連携） |
☁️ AWSやハイブリッド環境での応用
- AWSでは IAM Identity Center + Device Posture Check（MDM連携） による類似構成が可能
- VPN不要にするには AWS Verified Access（2023年登場） の利用が鍵
- 社内ADとSSO連携するなら、Okta, OneLogin, AzureAD 等と組み合わせ
💡 まとめ
- BeyondCorpは「誰も信頼しない」ことを前提にした セキュリティの思想
- VPNレスで業務を可能にする、クラウド時代の合理的なアーキテクチャ
- Google CloudではIAPやContext-Aware Accessで実現可能
従来の境界型セキュリティからの脱却は、単に技術を入れ替えるだけでなく、組織の文化や運用にも深く関わります。
ゼロトラスト＝プロダクト導入ではなく、ゼロトラスト＝セキュリティの原則であることを忘れずに設計することが重要です。