安全な機器も、つなぎ方で守りは変わる——分離・ゼロトラスト・SASE・OTの接続・冗長化を午後の問われ方で読む｜支援士解説2の3

この記事の重要度：Aランク（午後の大問・設問でよく問われる重要な分野）

この記事で分かること：

• 構成図を、情報の流れ・信頼境界・通信の開始方向で読む方法と、DMZ・ネットワーク分離・VDIで残る線

• ゼロトラスト、SASE（SWG・CASB・ZTNA）、保守の経路、クラウドの構成で、何を確かめるか

• 工場の制御系（OT）をITから分ける方式と、故障時の安全と継続、仮想化・コンテナが共有する層

シラバスとの対応：小項目2-3「アーキテクチャの設計」。FWのルール・DMZ・VPNの仕組みは支援士解説3の5、製品・クラウドサービスの選び方と責任の分担は支援士解説2の2、認証・認可の実装は支援士解説2の4、バックアップとRTO・RPOは支援士解説3の3で扱います。

午後の問題では、ネットワークの構成図がよく示されます。研究用のネットワークを社内から切り離した、仮想デスクトップに切り替えた、プロキシをクラウドのサービスに移した、工場の制御系と業務のネットワークをつないだ。設問は、構成を変えると何が守られ、どの通信が残り、何が止まるかを問います。一つひとつの機器が安全でも、つなぎ方次第で守りは変わります。

この記事では、架空の自治体のオンライン申請システムと過去問の題材を使い、構成図の読み方、区画と分離、ゼロトラストとSASE、保守とクラウドの経路、OTの接続、故障時の設計、仮想化とコンテナの順に整理します。

1. 構成図は、情報と要求の通り道から読む

アーキテクチャは、部品の一覧ではなく、部品の間で何が起こるかを決める構造です。架空のオンライン申請なら、住民が資料を送る、公開側で受ける、アプリケーションが処理する、データベースへ保存する、職員が審査する、保守担当が更新するという流れがあります。各段階で扱う情報、許される操作、止まった場合の影響が違います。

設計書を読む最初の手掛かりは、データフローと信頼境界です。データフローは情報が生成・移動・保存・削除される道筋、信頼境界は管理主体や保護条件が変わる境目です。インターネットと公開領域、公開領域と内部アプリ、自治体と委託先、一般利用者と管理者の間などに境界があります。同じ庁内ネットワークでも、審査用端末と管理用端末を同じ権限で扱う必要はありません。

図面では次の六つを拾います。

1. 主体：住民、職員、委託先、システム間連携のどれがアクセスするか。

2. 情報：申請書、添付ファイル、認証情報、操作記録がどこを通るか。

3. 経路：どこからどこへ、誰が通信を開始し、どの機器を通るか。

4. 境界：異なる管理主体や権限を越える場所はどこか。

5. 依存：認証、名前解決、時刻、鍵、回線、保管先のどれが止まると影響するか。

6. 証拠：図の経路と、実際の設定・試験結果が一致するか。

「DBを内部に置く」だけでは不十分です。公開側からDBへ広く到達できれば、公開側の侵害がDBへの足掛かりになります。逆に、必要な申請処理まで遮断すると業務は動きません。図面は正常時、公開側が侵害された時、部品が故障した時の三つの状況で読みます。

図1は、六つのうち主体・情報・経路と境界を、侵害や故障が起きたときの影響（依存先が止まった場合を含む）とあわせて、四つの視点にまとめたものです。図に描いた線は、最後に設定と試験の結果で確かめます。

午後の構成図には、FWのルール表や運用のルールが本文に添えられます。図の線と表の行を一つずつ対応させ、「どの機器からどの機器へ、どちらが開始する通信か」を書き出すと、設問の条件が見えてきます。ルール表の読み方は支援士解説3の5で扱います。

記述の型

• 経路の説明：「（送信元）から（宛先）への（用途）の通信は、（機器）を経由する」

• 構成の変更の効果：「（変更）によって（経路）が遮断されるので、（被害）が（範囲）の外に広がらない」

2. 区画を分けたら、通す線を決める

DMZは、インターネットから利用する機器を内部ネットワークから分ける領域です。公開Webをそこに置けば、インターネットから内部DBへ直接接続させずに済みます。ただし、DMZは「そこに置くだけで安全になる場所」ではありません。公開Webが侵害された時にも、内部へ進める経路を必要最小限に抑えることが目的です。CISA「通信基盤の可視化と要塞化のガイダンス」

架空の申請システムなら、住民の端末から公開WebへのHTTPS、公開Webから申請APIへの業務通信、申請APIからDBへの必要な接続を区別します。公開Webから職員端末や管理用機器へ接続する理由はありません。各境界で送信元、宛先、通信方式、ポート、開始方向を定め、明示したものだけ許可します。許可した通信でも、送信先の認証やアプリケーションの認可は別に必要です。

FWのルール表の読み方、ステートフルインスペクションで応答が通る仕組み、VLANを分けても区画の間の通信は経路とACLで決まることは、支援士解説3の5で扱います。設計の段階では、同じ区画の端末同士の通信は境界の機器を通らないこと、外向きの通信も更新先や外部連携の相手に絞ることを、配置と一緒に決めます。「外向きは全て許可」では、侵入された後の通信先を絞れません。

分離した区画でも、感染は起こり得る

守りたい情報を扱う区画を切り離しても、業務を続けるにはファイルの受渡しや更新のための接続が残ります。その接続の仕組みが不適切だと、分離が効きません。受渡しは、守る側の端末から受渡し用のサーバへ接続して取りに行く形にし、逆向きの開始を禁止すると、受渡し用のサーバが侵害されても、守る側の端末へ接続を始められません。

午後での問われ方

• 平成30年度春期 午後I問3：創薬ベンチャ企業で、新薬のファイルを守るため、研究開発用のLANを事務用のLANから分け、間にFW2を置き、ファイル転送サーバでファイルを受け渡す設計が題材でした。ファイル転送サーバから研究開発PCが感染する可能性が低い理由として、解答例は「ファイル転送サーバから研究開発PCへの通信はFW2で禁止されているから」です。不正なファイルがアップロードされても研究開発PCが感染する可能性が低い理由は「研究開発PCからファイル転送サーバにアクセスして、ファイルをダウンロードする必要があるから」です。修正プログラムとマルウェア対策の更新を配る配信サーバの置き場所を比べる設問では、研究開発PCとの間に感染を遮る機器がない位置は「通信経路上に感染活動を遮断する機器が存在しないから」感染する可能性が高く、FW2を挟む位置は「FW2によって感染活動を遮断できるから」低いと答えます。その後、規程で禁止されたリムーバブルメディアから研究開発PCが感染し、ファイル転送サーバへファイルを上げていたことが分かり、アップロードの後に「上長による承認」の手順を加え、その完了をもってダウンロードできるようにする対策が問われました。

採点講評で指摘されたつまずき

• 平成30年度春期 午後I問3では、感染の広がりやすさの理由を問う空欄で、「研究開発PCはマルウェアに感染しないから」という解答が一部に見られたとされています。分離されたネットワークでも感染は起こり得ることを前提に、対策を考えます。

記述の型

• 分離の効果：「（境界の機器）が、区画の間の感染活動を遮断できる」

• 受渡しの向き：「守る側の端末から受渡し用のサーバへ接続して取りに行き、逆向きの開始は禁止する」

3. 接続の許可と、データの操作権限を分ける

インタフェースとは、システムや部品の間で要求と結果をやり取りする接点です。Web画面、API、DB接続、ファイル連携、管理画面などがあります。ネットワーク機器で「申請APIへのHTTPSを許可」としても、どの住民がどの申請書を読めるかは決まりません。ネットワークの許可は接続できる相手、APIの認可はその操作をしてよい主体と対象を扱います。

例えば、ログインした住民が申請番号だけを変えて他人の資料を取得できるなら、通信経路の暗号化やFWの許可設定だけでは防げません。申請APIは要求ごとに、本人と対象資料の関係を検証します。職員には担当案件だけ、保守担当には業務データの閲覧を原則与えないなど、役割に応じた権限を設計します。詳細な認可の実装は支援士解説2の4で扱いますが、どの境界で検証するかは、構成を決める段階で決めます。

DBへの接続では、通信できるアプリケーションを絞り、そのアプリが使うDBアカウントの権限も絞ります。参照だけの処理に全表の変更権限は要りません。アプリが侵害された場合を考え、到達できるDBやデータの範囲も確認します。接続文字列や鍵の保存先、権限の更新方法も設計対象です。

さらに、添付ファイルの一時保存先、バックアップ、ログ、検証環境に個人情報が移るなら、それらも守る対象です。「本番DBは内部だから安全」と説明されても、検証環境に本番データの複製が置かれ、保守接続から広く読めるなら境界が崩れます。構成図には処理本体だけでなく、情報が複製される場所を含めます。

記述の型

• 二つの制御：「ネットワークの許可は接続できる相手を、APIの認可は操作できる主体と対象を制限する」

• DBの権限：「（アプリ）が使うDBアカウントには、（処理）に必要な権限だけを与える」

4. ネットワーク分離とVDI：分けた後に残る線

ネットワーク分離は、守りたい情報を扱う区画を、インターネットや一般の業務の区画から切り離す設計です。別の回線と機器を使う物理的な分離と、FWやVLANで分ける論理的な分離があります。目的は、外からの攻撃やマルウェアが、守りたい区画に届く経路をなくすことです。ただし、業務を続けるには、分けた区画の間に何らかの線が残ります。設計では、その線を一つずつ挙げて、どう渡すかを決めます。

• インターネットの閲覧：業務用の端末から直接インターネットへ出さず、インターネット側に置いたサーバでブラウザを動かし、端末には画面だけを送る（画面転送型の仮想ブラウザ）。ブラウザの処理を別の環境で行うので、ブラウザ分離とも呼ばれる

• ファイルの受渡し：インターネット側で受け取ったファイルは、受渡し用のサーバを経由させ、マクロなど危険になり得る要素を除いて作り直す無害化を通してから渡す（無害化の仕組みは支援士解説3の2）。持ち出しは上長の承認を挟む

• 更新と定義ファイル：分離した端末にも、修正プログラムとマルウェア対策ソフトの定義ファイルは必要。配布元のサイトだけを許可するか、社内の配布サーバから配る

VDI：データを端末に残さない

VDI（仮想デスクトップ）は、サーバ上の仮想マシンでデスクトップ環境を動かし、利用者の端末には画面を送り、端末からはキーボードとマウスの操作だけを送る方式です。処理とデータはサーバ側にあるので、端末を紛失しても情報が残りにくく、起動のたびに決まった状態から始めれば、感染した状態も持ち越しにくくなります。テレワークで、クラウドのサービスとして提供される仮想デスクトップ（DaaS）を使う構成も増えています。

ただし、端末の画面には情報が表示されます。端末がマルウェアに感染していれば、表示された画面を取得されます。利用者が画面を撮影することは、技術的には止めにくいので、利用規程で禁止します。VDIを入れたら、端末側の保護（マルウェア対策、OSの更新、持ち込みの制限）と、利用規程を組み合わせます。

VDIを入れると、通信の経路も変わります。端末から業務のサービスへの通信は、VDIのサーバを経由するようになるので、クラウドサービスの接続元の制限なども、新しい経路に合わせて見直します。

午後での問われ方

• 平成30年度春期 午後I問2：運用業務に使うPCの通信の制限が題材でした。解答例は「運用PCから接続できるURLは、T社標準ソフトのベンダのサイトのものだけに制限するように変更する。」です。全てを遮断するのではなく、更新に必要な接続先だけを残します。

• 平成28年度春期 午後II問2（情報セキュリティスペシャリスト試験）：モバイル端末の感染を受けて、画面転送型のVDIを検討する場面が題材でした。端末と仮想端末の間では画面とキーボード・マウスの操作データだけをやり取りする要件を満たしても、端末上のマルウェアによる情報の窃取は可能だ、という会話があり、想定する攻撃として、解答例は「画面などの情報からのデータの窃取」です。VDI以外のクラウドサービスの利用ルールの変更としては「VDIサーバ及び社内LANからのHTTP及びHTTPS通信によるアクセスだけを許可するよう設定する。」が示されています。

• 令和2年度10月 午後II問2：DaaSを使うテレワーク環境が題材でした。仮想デスクトップと端末の間でクリップボードとディスクの共有を禁止しても、利用者が故意に持ち出す方法として「社内情報を表示した画面をカメラで撮影するという方法」、端末のマルウェアが社内情報を取得する方法として「社内情報を表示した画面のスクリーンショットを取るという方法」が、解答例に示されています。

採点講評で指摘されたつまずき

• 平成30年度春期 午後I問2では、運用PCの通信の制限を問う設問の正答率が低かったとされています。運用業務用のPCであっても、修正プログラムの適用やマルウェア定義ファイルの更新のために、ベンダのサイトとの通信が必要です。

• 平成28年度春期 午後II問2では、クラウドサービスの利用ルールを問う設問で、VDIからクラウドサービスにアクセスする方式をよく理解していない解答が散見されたとされています。

記述の型

• 分離した端末の更新：「接続先を、更新の配布元のサイトだけに制限する」

• VDIで残るリスク：「端末のマルウェアによる、画面に表示された情報の窃取」

• 経路の変更への対応：「（サービス）への接続元を、VDIのサーバと社内LANだけに制限する」

5. ゼロトラスト：場所でなく、要求ごとに判断する

ゼロトラストは、場所が庁内か庁外かだけでアクセスを信用せず、要求する主体・端末・対象リソース・状況を用いて許可を判断する設計原則です。境界型の対策をすべて捨てるという意味ではなく、境界内に入った後も無制限に通さないことが重要です。NIST SP 800-207は、アクセスをリソースとセッションに結び付け、認証・認可を行う考え方を整理しています。NIST「SP 800-207 Zero Trust Architecture」2・3

同文書の論理モデルでは、判断する側をPDP（ポリシー判断点）、実際の通信を通す側をPEP（ポリシー実施点）と分けます。PDPの内訳は、許可・拒否を決めるPE（ポリシーエンジン）と、その決定に基づいて経路を作る・閉じるPA（ポリシー管理者）です。PEPは対象リソースへの接続を実施・監視・終了します。製品によってこれらが別々の機器に見えるとは限りません。設計レビューでは「誰の、どの端末から、どのリソースへ」という判断と、実際にその経路しか通らない構成を照合します。

例えば委託先の保守員には、認められた時間だけ特定の管理画面への接続を許します。保守用入口を整えても、同じサーバに一般のVPN経由で直接到達できれば、その入口の制御を迂回できます。判断基盤が止まったときに新規接続をどう扱うか、既存の作業をどう終了するかも決めます。ゼロトラストは「全てのパケットで人が再認証する」という意味ではありません。アクセス判断の単位と再評価の条件を設計することです。

ゼロトラストを支える仕組み

ゼロトラストは一つの製品ではなく、次のような仕組みの組合せで実現します。

• IDの管理と認証の基盤：クラウドで提供される認証の基盤（IDaaS）で、多要素認証とシングルサインオンをまとめ、利用者と状況に応じて許可を判断する

• 端末の管理：MDMやEDRで、端末のOSの版、修正プログラムの適用、マルウェア対策の状態を確かめ、条件を満たさない端末を接続させない

• デバイス認証：組織が配布した端末にクライアント証明書を入れ、利用者の認証とは別に、端末を確かめる

• マイクロセグメンテーション：サーバや処理の単位で区画を細かく分け、許可した通信だけを通す。侵入された後の横への移動を難しくする

• 記録と継続的な評価：認証と接続の記録を集め、普段と違う使われ方を見つけたら、許可を取り消す

デバイス認証は、パスワードが盗まれた場合にも効きます。利用者のIDとパスワードがフィッシングで詐取されても、攻撃者の端末には証明書がないので、接続できません。

午後での問われ方

• 令和2年度10月 午後II問2：働き方改革のため、複数のクラウドサービスを組み合わせたテレワーク環境の構築が題材でした。出題の趣旨は、ゼロトラストの考え方では通信の相手を常に認証する必要があり、多要素認証に対応したIDaaSやMDMなどの技術が整ってきた、と述べています。DaaSのフィッシングサイトで利用者の入力が詐取されても不正アクセスを防げる対策として、解答例は「DaaS-Vでのクライアント証明書によるデバイス認証」です。VPNで接続させる別の方式でも同じ強さにするには、「クライアント証明書によるデバイス認証を行う仕組み」が要ります。

記述の型

• デバイス認証の効果：「認証情報を詐取されても、クライアント証明書のない端末からは接続できない」

• ゼロトラストの判断：「接続元の場所でなく、利用者・端末の状態・対象に応じて、要求ごとに許可を判断する」

6. SASE：中継と検査の場所をクラウドに置く

テレワークとクラウドサービスの利用が広がると、社外のPCや営業所の通信を、いったん本社のプロキシやFWに集める構成では、本社の回線が混み、通信も遠回りになります。SASE（Secure Access Service Edge）は、通信の中継と検査の機能をクラウドのサービスとして提供し、利用者がどこにいても、近くの中継点で検査して通す考え方です。主な機能は次のとおりです。

• SWG（Secure Web Gateway）：Webへのアクセスを中継し、URLのフィルタリングや、TLSを復号してのマルウェアの検査を行う。クラウド版のプロキシに当たる

• CASB（Cloud Access Security Broker）：組織が使うクラウドサービスの利用状況を可視化し、許可していないサービスの利用や、情報の持ち出しを制御する

• ZTNA（Zero Trust Network Access）：利用者と端末を確かめ、許可したアプリケーションだけに接続させる。社内に置いたコネクタから中継サービスへ接続を始める方式なら、境界のFWにインターネットからの受信の許可を足さずに済む

中継サービスへは、社外のPCならエージェントのソフトウェアで、営業所ならIPsecに対応した機器で接続します。本社の通信も、本社の回線から同じ中継サービスを経由させます。接続先はインターネットのWebサイトのほか、SaaS（ソフトウェアを提供するクラウドサービス）や社内のサーバです。

TLSを復号して検査するとき、中継サービスは接続先の代わりにサーバ証明書を発行します。端末がその証明書を受け入れるように、発行に使う認証局の証明書を、信頼されたルート証明書として端末に入れておきます（ルート証明書と検証の仕組みは支援士解説3の1、検査装置の手前でTLSを終端する構成は支援士解説3の5）。また、中継サービスが止まれば、全ての拠点の通信が止まり得ます。サービスの障害時にどう業務を続けるかも、設計で決めます。

午後での問われ方

• 令和5年度春期 午後I問3：社外のPC、社内、クラウドサービスの間の通信を中継するクラウドのサービス（Pサービス）の導入が題材でした。Pサービスには、認証の基盤（IDaaS）との連携、TLSを終端してのマルウェアの検査、URLのカテゴリや利用者IDごとのフィルタリング、通信の可視化、社内に置いた通信機器（Pコネクタ）からの接続による社外から社内へのアクセスの機能がありました。本社のインターネット回線をひっ迫させない要件には、営業所からのアクセスを「プロキシサーバではなく、Pサービスを経由させる」と答えます。社外のPCから本社のサーバへのアクセスを、FWにインターネットからの通信を許可するルールを足さずに実現する要件には、Pコネクタを使うリモートアクセスの機能を選びます。

採点講評で指摘されたつまずき

• 令和5年度春期 午後I問3では、見直しの前と後の通信経路を理解していないと思われる解答が散見されたとされています。クラウドサービスのセキュリティを確保するには、クラウドサービスとの通信経路を把握し、構成の見直しで経路がどう変わるかを理解する必要があります。

記述の型

• 回線のひっ迫を避ける：「拠点のインターネット向けの通信を、本社のプロキシではなく、クラウドの中継サービスを経由させる」

• 受信の許可を足さない理由：「社内に置いたコネクタから中継サービスへ接続を開始するので、FWにインターネットからの通信の許可を追加しなくてよい」

7. 保守とクラウドの管理の経路を、別に描いて閉じる

本番の利用経路と、管理者が設定を変える経路には異なる権限が要ります。委託先の保守なら、必要な対象へ到達する中継点、認証、作業時間、操作記録、緊急時の停止方法を決めます。管理画面をインターネットへ直接公開しない設計が基本です。利用者向けWebと同じ入口で管理機能まで広く開けると、公開側の弱点が管理権限への足掛かりになります。

VPNは指定ネットワークへ安全なトンネルを作る手段ですが、接続後に到達できる範囲を別に制限する必要があります。ZTNAは対象アプリやリソースへのアクセスを、主体・端末等の条件に結び付ける構成の一つです。SASE（6.）も含め、どの名称の製品でも、対象外の直結経路がないか、障害時に何が止まるかを設計図で確かめます。NIST「SP 800-215 Guide to a Secure Enterprise Network Landscape」5・6

クラウドでは、物理ネットワークの図だけを見ても足りません。仮想ネットワーク、ルーティング、セキュリティグループ等の通信制御、管理API、ID連携、外部接続先を一緒に追います。サービスごとに利用組織と提供者の管理範囲が違うため、支援士解説2の2で確かめた契約・設定条件を設計図へ戻します。

保守の経路を絞る

外部の保守員が作業するときは、保守用の中継サーバを経由させ、そこから対象のサーバへ接続させるのが基本です。中継点に操作の記録を集められ、作業の時間帯だけ経路を開け、作業が終わったら閉じられます。さらに次を決めます。

• 接続元：保守を行う側の送信元IPアドレスを固定してもらえれば、FWのルールで中継サーバへの接続元を限定できる

• 認証：パスワード認証をやめて公開鍵認証にし、秘密鍵にはパスフレーズを設定する

• 鍵の置き場所：中継サーバが侵害された場合に備え、対象のサーバへの接続に使う秘密鍵を中継サーバに置かない

• 接続先の確認：接続先の真正性を確かめるため、初めて接続するときは、サーバのフィンガプリントを、別の手段で受け取った値と照合する

クラウドの構成を設計する

IaaSを使うときは、仮想ネットワークをサブネットに分け、インターネットから届く部分と内部の部分を分けます。サーバごとの通信の制御（セキュリティグループなど）で、必要な通信だけを許可します。管理コンソールと管理APIは、設定を全て変えられる入口なので、多要素認証、権限の最小化、操作の記録を必ず組み合わせます。設定の誤りを継続的に点検する仕組みは支援士解説2の2で扱います。

オンプレミスとクラウドを併用するハイブリッド構成では、アドレスの設計と、データの置き場所（配置先）も確かめます。クラウド側で予約されているアドレスと社内のアドレスが重なると、通信の経路が決まらず、つなげないことがあります。災害時に別の地域へ切り替えるサービスでは、切替え先の国や地域が、法令や契約上の要件を満たすかも確かめます。

午後での問われ方

• 令和3年度秋期 午後I問1：外部の保守員が保守PCから保守用中継サーバにSSHで接続し、そこから顧客管理サーバへ接続する構成で、不正アクセスの後の再発防止が題材でした。SSHサーバの設定では、公開鍵認証を有効にするとともに「パスワード認証」を無効にします。中継サーバが不正アクセスされた場合を想定して、顧客管理サーバへの接続に必要な「秘密鍵」を中継サーバに保存しない運用にします。保守PCを委託先の社内ネットワーク経由でインターネットへ出させ、「送信元IPアドレスを固定にする」ことができれば、FWのルールで中継サーバへのアクセスを制限できます。

• 平成30年度秋期 午後II問1：オンプレミスとクラウドを併用するハイブリッドクラウドの設計が題材でした。IaaSのサービス仕様「日本国内のデータセンタが被災した場合はシンガポールのデータセンタでサービスが継続される。」によって、「同じ重要インフラ設備を製造する工場及び生産関連サーバは同一の国又は地域内の2か所以上に配置する。」という基本要件を満たせなくなります。接続の問題として「X社のシステムの機器に割り当てているIPアドレスが、IaaS Cで予約されているプライベートアドレスと重複する可能性があるという問題」も問われました。

採点講評で指摘されたつまずき

• 令和3年度秋期 午後I問1では、接続先のフィンガプリントが記録と違うときに考えられることを問う空欄で、「接続先のサーバが稼働していない」という誤った解答が散見されたとされています。解答例は「接続先が保守用中継サーバではない」です。フィンガプリントの確認は実運用で疎かにされやすいが、接続先のサーバを確かめるために重要だとされています。

記述の型

• 接続元の限定：「保守を行う側の送信元IPアドレスを固定し、FWで中継サーバへの接続元をそのアドレスに限定する」

• 鍵の置き場所：「中継サーバが侵害されても悪用されないよう、対象のサーバへの接続に使う秘密鍵を中継サーバに保存しない」

• データの置き場所：「（サービスの仕様）では、被災時に（国外）でサービスが継続されるので、（要件）を満たせない」

8. 制御システム（OT）とIoT：止めにくい設備をどう分けるか

工場の生産設備、ビルの空調、水道や電力の設備を動かす制御システムを、OT（Operational Technology）と呼びます。業務の情報システム（IT）とは優先順位が違います。ITでは機密性を重視することが多いのに対し、OTでは設備を止めないこと（可用性）と、人や設備の安全が最優先になります。機器は長く使われることが多く、修正プログラムの適用に設備の停止やメーカの動作確認が要るので、すぐには更新できません。そのため、OTではネットワークの分離、持ち込む媒体の管理、通信の監視を組み合わせて守ります。

ITとOTの間の渡し方

生産のデータを業務のサーバへ送るなど、ITとOTの間にも線は残ります。渡し方には次のような方式があります。

• FWで向きを絞る：OT側から開始する通信とその応答だけを通し、逆方向（IT側から開始する通信）は全て遮断する。自動で即時に転送できるが、FWの設定と脆弱性に守りが依存する

• データダイオード：片方向だけにデータを送る機器。光通信の部位を使って、物理的に一方向しか流れないことを保証する製品もある。逆向きの指示は届かない

• 中継用PC：パケットを転送する機能のないPCを間に置き、人がデータをコピーして渡す

• USBメモリ：ネットワークではつながず、媒体で運ぶ。人手の負荷が高く、媒体そのものが感染の経路になる

逆向き、つまりIT側からOTの機器へ更新データを入れるときや、保守事業者が媒体を持ち込むときは、接続する前にマルウェアの有無を確かめます。

止めない監視と、IoT機器の置き場所

制御システムやIoT機器では、監視のための問合せやスキャンが、機器の動作に影響することがあります。ミラーポートなどで通信を観測する受動的な方法を中心にします（監視の仕組みは支援士解説3の4）。制御の通信は、普段の相手と内容がほぼ決まっているので、いつもと違う通信を見つけやすいという面もあります。

ネットワークカメラやセンサなどのIoT機器は、業務の端末と同じ区画に置かず、専用の区画にまとめ、必要な通信先（管理のサーバ、データを送るクラウドサービス）だけを許可します。機器そのものの初期設定や更新は支援士解説2の2で扱います。

午後での問われ方

• 令和元年度秋期 午後II問2：ITとOTが混在する工場が題材でした。FA端末のネットワーク（F-NET）から業務サーバへデータを送る仕組みとして、FW方式、USBメモリ方式、中継用PC方式、データダイオード方式が比べられました。データダイオード方式で、FA端末への攻撃が途中の段階まで成功した場合の効果として、解答例は「攻撃者の操作指示がFA端末に伝えられない」です。USBメモリをFA端末に接続する前の措置は「USBメモリをマルウェア対策ソフトでスキャンする。」です。無線LANのアクセスポイントへの不正接続を考えたときに、見直し後の構成が優れている理由は「事務LANとセンサNETはF-NETと分離されており、APに不正接続してもFA端末を攻撃できないから」です。

• 令和7年度秋期 午後問4：SCADAで工作機械を制御する工場で、攻撃シナリオへの対策が問われました。解答例は「図3中の(け)の箇所に、追加でFW」と「USBメモリを接続したときの動きを確認するためのソフトウェアを導入した、社内LANから切り離された検査用PC」です。被害のシナリオの例として「マルウェアに感染した一般PCが、正常な通信を妨害するパケットを大量に送信して、SCADAと工作機械の間の通信ができなくなる。」が挙げられ、その備えとして「SCADA、工作機械及び製造監視用PCだけの独立したLANを構成するためのネットワーク機器」と、それらを「L社のネットワークから切り離す手順」が示されています（解答例は一例で、本文の状況に沿った仕組みと手順が書かれていればよいとされています）。

採点講評で指摘されたつまずき

• 令和元年度秋期 午後II問2では、構成の見直しの効果を問う設問の正答率が低かったとされています。ネットワークの構成を工夫することで、リスクを回避・低減できる場合は多く、構成の変更の効果を正確に捉える力を高めてほしいとされています。同じ問題では、無線LANの「MACアドレス認証」の欠点を問う空欄の正答率も低く、採用する技術の利点・欠点・限界を正しく理解するよう求められています。

• 令和7年度秋期 午後問4では、攻撃シナリオへの対策として、SCADAの利用者認証の強化を書く解答が散見されたとされています。マルウェアは、脆弱性の悪用や、正しく認証された利用者をだますことで実行されるので、マルウェア対策として利用者認証の強化はあまり効果がありません。

記述の型

• 一方向の効果：「OT側からIT側へだけデータが流れるので、攻撃者の指示がOT側の機器に届かない」

• 持込み媒体：「接続する前に、社内LANから切り離した検査用PCで、マルウェアの有無を確かめる」

• 止めない構成：「制御系の機器だけの独立したLANを構成し、異常時は社内のネットワークから切り離す」

9. 故障時に、安全と業務継続をどう両立するか

信頼性設計では、故障が起きたときに「何を守り、何を続けるか」を先に決めます。似た言葉を目的で分けましょう。

• フェールセーフ：故障時に、あらかじめ定めた安全な状態へ移す。例えば認可の結果を確認できない間、申請情報の変更を許可しない。

• フェールソフト：影響を受けた非重要機能を止め、残せる重要機能を縮退して続ける。例えば混雑時に分析用の集計を止め、申請の受付処理を優先する。

• フォールトトレランス（耐障害性）：一部が故障しても、別の構成要素で正しい機能を続けられる性質。回線やサーバの冗長化は実現手段の一つ。

• フェールオーバ：稼働中の系が使えなくなったとき、待機系などへ切り替える動作。切替え時間や失われ得るデータを測る。

フェールセーフとフェールソフトは矛盾しません。認可が確認できない更新は止めつつ、公開できる案内ページを残すという設計もあります。どの操作を止め、誰に何を案内するかは、個人情報の保護と業務の必要性を踏まえて決めます。NIST用語集「fail safe」、「fail soft」、「fault tolerant」

サーバを2台にしても、同じ電源、同じスイッチ、同じ認証基盤、同じ保存先に依存していれば、共通の故障で両方止まります。故障の影響が共通する範囲をフォールトドメインとして見ます。切替え時には、データの複製が追いついているか、二つの系が同時に書き込まないか、利用者の接続先が切り替わるかを試します。切替えだけで誤削除や暗号化されたデータまで元に戻せるわけではありません。別途バックアップと復元試験が必要です。

業務側ではRTO（復旧まで許容する目標時間）とRPO（どの時点までのデータを戻せる必要があるかという目標）を示します。技術側は回線・認証・データ保存先を含めて、その目標を満たす構成と試験を示します。NIST「SP 800-34 Rev.1 緊急時対応計画ガイド」。バックアップと復旧の計画は支援士解説3の3で扱います。

可用性を上げる構成

• 負荷分散：負荷分散装置で複数のサーバに要求を振り分け、死活の確認（ヘルスチェック）で止まったサーバを外す。1台が止まっても残りで受け付けられる

• 待機系の準備の度合い：ホットスタンバイは待機系を起動してデータを同期しておき、速く切り替えられる。コールドスタンバイは待機系を止めておき、障害時に起動して復元するので、切替えに時間が掛かる

• 回線・電源・拠点：回線を別の事業者・別の経路にする、電源を二重にする、離れた拠点に待機系を置く。同じ建物、同じ事業者の設備に依存していないかを確かめる

二つの系が互いに相手が止まったと誤って判断し、両方が主系として動くと、データが食い違います。切替えの条件と、どちらを正とするかの決め方も設計に含めます。

攻撃も可用性を損ないます。感染した端末が大量の通信を送れば、同じネットワークの重要な通信が止まります。8.の独立したLANのように、止めてはいけない通信を、ほかの通信から切り離すことも、可用性の設計です。

記述の型

• フェールセーフ：「（故障時）には（危険な操作）を止め、安全な状態にする」

• 二重化の限界：「主系と待機系が（共通の依存先）を共有しているので、それが止まると両方止まる」

10. 仮想化とコンテナは、共有する層を確認する

仮想マシン（VM）は、ハイパーバイザーなどの仮想化基盤の上で、各VMがゲストOSを動かす形です。コンテナはアプリケーションとその実行に必要な部品をまとめ、通常は同じホストOSのカーネルを共有します。いずれも分離を助けますが、VMのゲストOSとコンテナのホストカーネルでは、共有する層が異なります。コンテナの分離を、独立した物理機器やVMと同じ強さだと決めつけません。NIST「SP 800-190 Application Container Security Guide」2・3

架空の申請システムで、公開APIと審査用の処理を別のコンテナにしたとしても、両方が同じホスト、管理基盤、機密情報の保存先を共有していれば、その共通部分の侵害は両方へ影響し得ます。設計図では次を見ます。

• 配置：どのVM・コンテナがどのホストやクラスタで動くか。

• 通信：コンテナ間、ホスト外、管理APIへの接続をどう制限するか。

• 権限：特権コンテナやホスト領域のマウントが必要か。管理者権限を誰が持つか。

• 供給：イメージをどこから得て、どの版を更新し、脆弱性を調べるか。

• 秘密情報：接続鍵やパスワードをイメージへ埋め込まず、誰が取り出せるか。

コンテナを使っても、アプリケーションの認可漏れや公開された管理画面は消えません。基盤の設定、ホストの更新、アプリの権限をそれぞれの担当に割り当てます。

仮想化の基盤（ハイパーバイザー）には、ハードウェアの上で直接動く型と、ホストOSの上でアプリケーションとして動く型があります。どちらでも、基盤そのものの脆弱性や管理画面の権限は、その上の全ての仮想マシンに影響します。仮想マシンの中から基盤へ抜け出す攻撃も知られているので、基盤の更新と、管理の権限の分離を設計に含めます。

コンテナの配置と管理を自動化する仕組み（オーケストレーション）を使うと、その管理APIと、各コンテナに渡す秘密情報の扱いが、新しい入口になります。イメージは信頼できる取得元（レジストリ）から取り、版を確かめて使います。イメージに含まれるOSSなどの部品をSBOMで把握する方法は支援士解説3の10、開発の流れの中でのコンテナイメージの扱いは支援士解説2の8で扱います。

記述の型

• 共有する層：「コンテナはホストOSのカーネルを共有するので、カーネルの脆弱性は同じホストの全てのコンテナに影響する」

• 秘密情報：「接続の鍵やパスワードをイメージに埋め込まず、実行時に必要な権限で渡す」

11. 架空の申請システムで設計書をレビューする

架空の提案図に、公開Web、申請API、DB、職員端末、保守入口、バックアップが描かれたとします。レビューでは各部品の名称を眺めるだけでなく、必要な経路と、通してはいけない経路を描き足します。

住民から公開Webへは申請に必要な通信を通します。公開Webから申請APIへは対象の処理だけ、APIからDBへは必要な操作だけを通します。公開WebからDBや職員端末へ直接つながる線があれば、その用途と許可条件を問い直します。職員の審査経路と委託先の保守経路を分け、保守は承認された対象・時間に限定します。添付ファイルの一時保存、ログ、バックアップの置き場所も図に加えます。

次に、公開Webが侵害されたと仮定します。APIを経由しないDB接続や、保守口への横移動はできないか。API側では、正規の住民が他人の申請を取得できないか。最後に認証基盤と主回線の停止を仮定し、受付の停止・案内・切替えを誰が決めるか確認します。

確認方法は、要求と同じ単位で決めます。通信なら許可・拒否の接続試験、APIなら許可・拒否の操作試験、冗長化なら切替え・復元の試験です。図面の矢印と、FW・クラウドの設定値、試験結果を対応させます。「図では分離」と「設定でも分離」を同じ意味にしないためです。

構成図の設問で使う五つの問い

構成図の設問では、次の五つの問いが役立ちます。

1. 図に示された経路以外に、保守、バックアップ、外部連携の経路はないか。

2. 境界の装置は、必要な通信だけを通す設定か。許可の方向は何か。

3. ネットワーク接続の許可と、API・DBの操作権限を混同していないか。

4. 一つの部品が侵害・故障したとき、どこまで影響が広がるか。

5. 図の説明を、設定値と試験結果で確かめられるか。

「DMZにある」「二重化した」「ゼロトラスト製品を導入した」という単独の事実を、安全性や継続性の証明とみなさないようにします。

12. 午前II（科目A-2）で正誤を見分けるポイント

• 「DMZに置いたサーバは保護されているので、DMZから内部への通信を広く許可してよい」→ 誤り。侵害された場合を考え、必要な通信だけを許可する

• 「VLANで区画を分ければ、区画の間の通信は経路の設定に関係なく遮断される」→ 誤り。区画の間の通信は、経路とACLで決まる

• 「ゼロトラストでは、社内のネットワークからの接続であっても、主体と端末を確かめて要求ごとに許可を判断する」→ 正しい

• 「SWGは、利用者のWebへのアクセスを中継し、URLのフィルタリングや通信の検査を行う」→ 正しい

• 「CASBは、組織が使うクラウドサービスの利用状況を可視化し、利用を制御する」→ 正しい

• 「データダイオードは、双方向の通信を暗号化して中継する装置である」→ 誤り。片方向だけにデータを送る

• 「VDIでは、端末にデータを残しにくいが、端末の画面に表示された情報の窃取は防げない」→ 正しい

• 「フェールセーフは、故障時に機能を縮退させて、重要な処理を続けることである」→ 誤り。それはフェールソフト。フェールセーフは安全な状態へ移す

• 「フォールトトレランスは、構成要素の一部が故障しても、システム全体として機能を維持する性質である」→ 正しい

• 「フールプルーフは、利用者が誤った操作をしても、危険な状態にならないようにする設計である」→ 正しい

• 「稼働率0.9の装置を2台並列にすると、全体の稼働率は0.81になる」→ 誤り。0.81は直列の場合。並列は1−(1−0.9)×(1−0.9)＝0.99

• 「ホットスタンバイは、待機系を止めておき、障害時に起動する方式である」→ 誤り。それはコールドスタンバイ

• 「コンテナは、コンテナごとに独立したOSのカーネルを持つ」→ 誤り。通常はホストOSのカーネルを共有する

理解度チェック

本文の理解を確かめるためのオリジナル問題です。実際の過去問ではありません。

問1　DMZから内部への通信

公開WebをDMZに置いた申請システムで、DMZから内部への許可として、最も適切なものはどれか。

• ア：DMZに置いた機器は安全なので、内部の全ての機器への接続を許す

• イ：必要な申請APIを宛先と用途で特定し、ほかの内部の機器への接続の開始は拒否する

• ウ：インターネットからDBへ直接接続できるようにして、処理を短くする

• エ：DBへの接続を許すなら、職員の端末への接続も同じ扱いにする

正解：イ。公開側が侵害された場合を考え、必要な線だけを残します。アとエは範囲が広過ぎ、ウは公開側とDBの境界をなくしています。

問2　分離した区画の受渡し

研究用の区画を事務用の区画から分け、間にFWを置いた。区画の間でファイルを受け渡す構成として、最も適切なものはどれか。

• ア：受渡し用のサーバから研究用の端末へ、ファイルを自動で送り込む通信を許可する

• イ：研究用の端末から受渡し用のサーバへ接続してファイルを取りに行き、逆向きの接続の開始は禁止する

• ウ：区画を分けたので、研究用の端末には修正プログラムの適用もマルウェア対策も不要とする

• エ：FWを外し、USBメモリで自由にやり取りする

正解：イ。守る側から開始する向きに限れば、受渡し用のサーバが侵害されても、研究用の端末へ接続を始められません。ウは、分離した区画でも感染は起こり得るという前提に反します。

問3　VDIで残るリスク

画面転送型の仮想デスクトップ（VDI）を導入し、端末との間でクリップボードとディスクの共有を禁止した。残るリスクとして、最も適切なものはどれか。

• ア：仮想デスクトップ上のファイルが、端末のディスクに自動で保存される

• イ：端末のマルウェアが、表示された画面を取得して情報を持ち出す

• ウ：端末から仮想デスクトップへのキーボード操作ができなくなる

• エ：残るリスクはない

正解：イ。端末には画面が送られるので、端末のマルウェアによる画面の取得や、画面の撮影は残ります。アは共有の禁止で防いでいる内容です。

問4　ゼロトラストの論理的な役割

NIST SP 800-207の論理モデルの説明として、最も適切なものはどれか。

• ア：PEPが方針を決め、PEは通信を中継するだけである

• イ：PEが許可・拒否を判断し、PAが経路を設定し、PEPが接続を通して監視する

• ウ：庁内からの通信は、判断を通さず常に許可する

• エ：ZTNAの製品を一つ導入すれば、迂回経路の確認は不要になる

正解：イ。判断、経路の管理、接続の実施を分けて考えます。アは役割が逆で、ウとエは場所や製品を無条件に信用しています。

問5　データダイオードの効果

工場の制御系の端末から業務のサーバへデータを送る仕組みに、データダイオードを使う。その効果として、最も適切なものはどれか。

• ア：制御系の端末が、マルウェアに感染しなくなる

• イ：制御系の端末が感染しても、外部の攻撃者からの指示が制御系に届かない

• ウ：業務のサーバから制御系の端末へ、更新データを自動で配れる

• エ：保守事業者が持ち込むUSBメモリの検査が不要になる

正解：イ。データは片方向にしか流れないので、指示を送り込めません。感染そのものを防ぐわけではなく（ア）、逆向きには送れず（ウ）、持ち込む媒体は別の経路です（エ）。

実務と国・自治体では

実務では、提案書の構成図に利用者の経路しか描かれていないことがよくあります。保守事業者の接続、ログの転送、バックアップ、クラウドの管理画面、更新の配布元を描き足し、目的・送信元・宛先・開始方向・承認者を一覧にします。図と装置の設定が食い違えば、実際の守りを決めるのは設定です。変更のたびに、図・設定・試験の結果を一緒に更新します。

自治体の情報システムでは、総務省のガイドラインが示す「三層の構え」（マイナンバー利用事務系、LGWAN接続系、インターネット接続系の分離）が、この記事の分離の考え方の具体例です。インターネット接続系との間でファイルを受け渡すときの無害化や、画面転送による閲覧は、4.で見た「残る線」の設計そのものです。政府機関等の統一基準も、通信回線のアクセス制御と経路の制御、外部からの保守の保護、変更時の設定の見直しを求めています。資料の位置付けは支援士解説1の1で整理しています。

まとめ

• 構成図は、箱でなく線を読む。 情報の流れ、信頼境界、通信の開始方向を追い、正常時・侵害時・故障時の三つで確かめる。

• 分けたら、残る線を設計する。 DMZ・分離・VDIでも、受渡し・更新・画面の線は残る。分離した区画でも感染は起こり得る。

• 場所で信用しない。 ゼロトラストは利用者・端末・対象で要求ごとに判断し、SASEは中継と検査の場所をクラウドに移す。見直しの前後の経路を描く。

• 管理とOTの線は別に守る。 保守は中継点・接続元・鍵で絞り、OTは片方向の転送、持込み媒体の検査、独立したLANで止めない。

• 故障と共有を前提にする。 フェールセーフとフェールソフト、二重化の共通の依存先、VMとコンテナが共有する層を確かめる。

さらに深く学ぶなら

この記事の範囲を超えて、仕組みをもっと深く知りたい人向けの本です（試験対策の本ではありません）。

• ゼロトラストの原則と、認証・認可・デバイス・通信の設計を1冊で学べる（2025年の第2版）

関連記事

• 前提：その製品、安全に使えますか？｜支援士解説2の2（製品・クラウドサービスの導入）

• 次に読む：ログインできれば、安全なのか｜支援士解説2の4（認証・認可の実装）

• あわせて読む：ネットワークを分ければ安全になる？｜支援士解説3の5（FW・DMZ・VPN）

• あわせて読む：バックアップがあれば業務は戻る？｜支援士解説3の3（バックアップと復旧）

2026年10月改訂：午後の出題例と記述の型を加え、ネットワーク分離とVDI、SASE、保守の経路とクラウドの構成、制御システム（OT）とIoTの節を補い、確認問題を四択で作り直して、構成を見直しました。