ゼロトラストの説明として，最も適切なものはどれか。
情報セキュリティ全般
ア 機器やソフトウェアの脆弱性のうち，開発元から対策方法，修正プログラムなどが提供されていない脆弱性が残っている状態のこと
なぜ違う: これは修正策が未提供のゼロデイ脆弱性に関する説明であり，ゼロトラストではない。
イ 内部ネットワークであっても必ずしも安全ではないことを前提として対策を講じる考え方のこと
ウ 秘密情報そのものは明かさずに，自分が秘密情報を知っていることを相手に知らせる方法のこと
なぜ違う: これはゼロ知識証明の説明であり，ネットワークアクセスを都度検証するゼロトラストとは異なる。
エ マルウェア定義ファイルを用いず，PCの振る舞いからマルウェア感染を検知する手法のこと
なぜ違う: これは振る舞い検知の説明であり，ゼロトラストのアクセス制御モデルではない。
正解: イ
ゼロトラストでは，ネットワークの内外だけで安全性を判断せず，利用者，端末，接続状況などを継続的に確認して必要最小限のアクセスを許可する。内部ネットワークであっても侵害されている可能性を前提にする。
出典：令和7年度 情報セキュリティマネジメント試験 科目A・B 公開問題 問3