セキュリティの単元は項目数こそ3つですが、考え方の話と道具の話が混ざっているので混乱しがちです。ここでは「前提」「構成」「道具」の3つに分けて整理します。
- ゼロトラスト＝何を前提にするか。「社内だから安全」をやめ、場所を問わず毎回確認します。
- 多層防御＝どう重ねるか。守りを何層も重ね、1つ破られても次で止めます。
- Microsoft Defender for Cloud＝実際に見る道具。いまどれくらい安全かを評価し、改善案を出します。
- この3つは同じ話ではありません。レイヤーが違うので、設問では役割で見分けます。
ゼロトラスト：「社内だから安全」をやめる
昔のセキュリティは「境界を守る」という考え方でした。社内ネットワークの内側は安全、外側は危険。だから境界に壁を作る——という発想です。
ところが、在宅勤務が広がり、クラウドを使うようになると、この前提が崩れます。利用者もデータも、境界の外にあるのが普通になったからです。
そこで出てきたのがゼロトラストです。「決して信頼せず、常に検証する」という考え方で、原則は3つあります。
| 原則 | 意味 |
|---|---|
| 明示的に確認する | 利用者・場所・端末・状況など、手に入る情報をもとに毎回判断する |
| 最小特権を使う | 必要な権限だけを、必要な間だけ与える |
| 侵害を想定する | 「すでに侵入されているかもしれない」と考えて、被害が広がらない作りにする |
「社内ネットワークからのアクセスは信頼する」という選択肢は、ゼロトラストの説明としては誤りです。ゼロトラストが否定している、まさにその前提だからです。「はい/いいえ」形式でもよく出る形なので、断定表現に注意してください。
多層防御：層を重ねて守る
多層防御（Defense in Depth）は、守りを1か所に集中させず、何層も重ねるという考え方です。公式はこう説明しています。
「Azureは多層防御戦略を採用し、物理データセンターからコンピューティング、ストレージ、ネットワーク、アプリケーション、IDまで、スタック全体で複数のセキュリティ保護レイヤーを提供します。この多層的なアプローチにより、一つの層が侵害されても、追加の層が資源を守り続けます。」
いちばん内側にあるのがデータです。守りたいものは結局データなので、そこへたどり着くまでに何枚もの層を置く、という構造になっています。
この2つはよく並べて出てきますが、答えている問いが違います。
- 多層防御：守りをどう構成するか（何層も重ねる）
- ゼロトラスト：何を前提にするか（信頼しない、毎回確認する）
「同じことを言っている」という選択肢は誤りです。
Microsoft Defender for Cloud：いまの状態を見て守る
考え方が分かっても、実際の環境が安全かどうかは別の話です。それを実際に見て、点数と改善案を出してくれるのがMicrosoft Defender for Cloudです。
できることは大きく2つあります。
| 役割 | 内容 |
|---|---|
| 状態を評価する | 設定の弱いところを見つけ、スコアと推奨事項として示す |
| 脅威から守る | 不審な動きを検出して知らせる |
さらに、Azureの中だけでなく、オンプレミスや他社クラウドの環境も対象にできます。「Azure専用の道具」ではない点も押さえておいてください。
「改善案を出してくれる」という点で Azure Advisor と似ています。違いは対象の広さです。Advisorはコスト・性能・信頼性を含む幅広い改善提案、Defender for Cloud はセキュリティに特化。問題文が「セキュリティの状態」と言っていればDefender for Cloudです。
【比較】3つの役割分担
| 種類 | 答えている問い | |
|---|---|---|
| ゼロトラスト | 考え方（前提） | 何を信頼するか → 信頼しない |
| 多層防御 | 考え方（構成） | 守りをどう並べるか → 層を重ねる |
| Defender for Cloud | サービス（道具） | いまどうなっているか → 評価して知らせる |
試験ではこう問われる
| 問われ方 | 判断のしかた |
|---|---|
| 「社内からのアクセスは信頼する」はゼロトラストか | 違う（否定している前提そのもの） |
| ゼロトラストの3原則 | 明示的に確認／最小特権／侵害を想定する |
| 「1つ破られても次で止める」 | 多層防御 |
| 多層防御の最も内側 | データ |
| 「セキュリティの状態を点数で知りたい」 | Microsoft Defender for Cloud |
| Defender for Cloud はAzure専用か | 違う（オンプレミスや他社クラウドも対象にできる） |
| Advisor と Defender for Cloud の違い | 幅広い改善提案か、セキュリティ特化か |
確認クイズ
読んだ直後に3問だけ。
ゼロトラストの考え方として、最も適切なものはどれですか。
1つ選んでください
Azureのセキュリティの考え方について、次の各文が正しいかどうかを判定してください。
各文について「はい」か「いいえ」を選んでください（文ごとに1点）
1. 多層防御では、1つの層が突破されても次の層が資産を守る。
2. 多層防御とゼロトラストは、同じことを別の言葉で言っているだけである。
3. Microsoft Defender for Cloud は、Azure以外の環境も保護の対象にできる。
自社のAzure環境が、セキュリティの観点でいまどれくらい安全なのかを数値で把握し、改善すべき点の一覧を得たい。適したサービスはどれですか。
1つ選んでください
まとめ
- ゼロトラスト＝「決して信頼せず、常に検証する」。原則は明示的に確認・最小特権・侵害を想定
- 多層防御＝守りを何層も重ね、1つ破られても次の層で止める。いちばん内側はデータ
- Microsoft Defender for Cloud＝状態を評価してスコアと推奨事項を出し、脅威も検出する。Azure以外も対象にできる
- 3つは前提・構成・道具と役割が違う。「同じもの」ではない
※本記事は、Microsoft公式のAZ-900学習ガイド（2026年7月20日現在のスキル）および Microsoft Learn の各サービス公式ドキュメントの記載（2026年8月6日確認）にもとづき、エンジニアKが作成しています。引用は公式の日本語表記のままです。仕様は変更されることがあります。最新情報は必ずMicrosoft公式サイトでご確認ください。本サイトはMicrosoft Corporationの公式サイトではありません。Microsoft、Azure、Microsoft Entra ID等は同社の商標です。
