"Zero Trust を、フレームワークから実装へ" — ZIGs Primer & Discovery Phase 完全要約
National Security Agency / January 2026 — v1.0 | 日本語解説
NSA が 2026 年 1 月に公開した Zero Trust Implementation Guidelines（ZIGs）を、背景・構造・7 ピラー・Discovery Phase の 13 Capability / 14 Activity・運用上の含意まで段階的に解説します。
2026 年 1 月、NSA は Zero Trust 実装に向けた "実務指南書" シリーズ ZIGs（Zero Trust Implementation Guidelines） の第一弾を公開した。
U/OO/102936-26 — Jan 2026
U/OO/107297-26 — Jan 2026（後続 Phase は今後リリース）
ZIGs は新規フレームワークではなく、既存の主要戦略を 実装層で結合する翻訳レイヤ として位置付けられる。
"Improving the Nation's Cybersecurity"（2021）— 連邦機関への Zero Trust 採用を義務化
Zero Trust Architecture の公式リファレンス。コンポーネント、デプロイモデル、論理構造を定義
Department of War の Zero Trust 戦略と Reference Architecture — 7 ピラー、4 フェーズの源流
Traditional → Initial → Advanced → Optimal の 4 段階で組織の成熟度を測定
"What"（NIST/DoW）と "Why"（EO）と "How mature"（CISA）に対して、ZIGs は "How to start, step by step" を提供する。Pillar・Capability・Activity の 3 階層で、各組織が自分の環境にマッピングできる構造。
場所・ネットワーク・以前の認証結果に基づく暗黙の信頼を排除。すべてのリクエストを文脈付きで再評価する。
侵害は "起こるかどうか" ではなく "既に起きている" 前提。横展開を抑え、爆発半径を最小化する設計が前提。
アクセス判断は属性・文脈・ID に基づく明示ポリシーで、人間と機械が共に検査・監査可能であること。
ログオン時のワンショット認証ではなく、セッション・トランザクション単位で 姿勢・属性 を継続評価。
境界（IP / 物理場所）ではなく、ユーザ・デバイス・ワークロードの ID とその属性が中心軸となる。
単一製品で達成不可。ID・端末・ネット・アプリ・データ・自動化・可視化を 統合運用 するモデル。
ZIGs の表向きの宛先は政府機関だが、実質的な影響範囲は 民間 + サプライチェーン 全域に及ぶ。
ZIGs はモジュラー構造で、現時点で公開されているのは Phase 1（Discovery）。後続 Phase が順次リリースされる予定。
Discovery Phase は DoW Zero Trust Framework の 7 ピラーに沿って整理される。すべての Capability / Activity は必ずいずれかのピラーに紐付く。
NSA は意図的に "Network" 単独ではなく "Network & Environment" と表記。クラウド・オンプレ・OT・SaaS で運用モデルが分断しないよう、環境横断の一貫制御 を志向することを明確化している。
Visibility は他ピラーの "後で付ける" 装飾ではなく、Discovery の 燃料 であり、Phase 2 以降の 判断材料。ここが弱いと、他のすべての投資が形骸化する。
Discovery Phase は 7 ピラーを横断する 13 の Capability と、その下に 14 の Activity を定義する。代表的なものを以下に整理。
| Pillar | Capability（代表） | Activity（具体タスク） |
|---|---|---|
| User | User Inventory / Privileged Account Inventory | HR・IdP からの権威データ収集、特権棚卸し、サービスアカウント識別 |
| Device | Device Inventory / Health Assessment | MDM + EDR + CMDB の統合、姿勢属性の収集、未管理端末発見 |
| App & Workload | Application & Code Identification | アプリ / API / 依存関係の特定、シャドー IT の発見 |
| Data | Data Cataloging & Monitoring | データ分類、所在マッピング、機密データの監視 |
| Network & Env. | Data Flow Mapping | 東西通信を含む通信フローの可視化、暗号化状態確認 |
| Automation | Policy Inventory & Development | 既存ポリシーの棚卸し、ギャップ抽出、ポリシー言語の標準化 |
| Visibility | Logging & Traffic Analysis | ログ網羅性ギャップ評価、横断トラフィック分析、保管設計 |
※ 詳細な 13/14 すべての分解は ZIG: Discovery Phase v1.0 本体（CTR_ZIG_PHASE_ONE.PDF）を参照。本表はピラー単位の代表例。
各 Activity は実務者がそのまま行動に移せる粒度で記述され、以下の 5 要素 を備える。これにより「読むだけで終わらない」ことが担保される。
どの状況・組織形態で必要か。例：ハイブリッド勤務、クラウド移行中、合併直後など。
セキュリティ・運用・コンプライアンスへの具体的なポジティブ影響。投資対効果の説明材料。
必要な機能カテゴリ（特定ベンダーは指定しない）、統合点、相互運用性の要件。
着手順、依存関係、注意点、運用上のアンチパターン。
完了条件 / 検証指標。"何を以て Activity が達成されたか" を明示。
この 5 要素が揃うことで、Activity は 調達要件・監査基準・ベンダー評価基準 としてそのまま転用できる。
境界（ネットワーク・場所）ではなく、ユーザ・端末・ワークロードの ID と属性がアクセス決定の主軸となる。IdP / SCIM / Posture の統合が前提。
最小権限は "何が存在するか" を知らなければ設計不能。可視化を後回しにした強制は誤検知と業務停止を生む。
アクセス判断は属性・文脈に基づく明示ルールで、人間と機械が共に検査可能。"ブラックボックス AI 判定" は監査に耐えない。
焦点はフレームワーク策定から日々の執行へ。ベンダーは Capability / Activity 単位で機能を説明できる必要がある。
"Zero Trust cannot be implemented effectively without first understanding the environment."
— 強制の前に 可視化。
可視化の前に 権威あるインベントリ。
インベントリの前に 5 つの問い（Who / Device / App / Data / Policy）。