ゼロトラストネットワークでは全てのデバイスのセキュリティが侵害されていると見なす。このネットワークにおいて信頼性を判断するために役立つのは、ポリシーの適用、可変要素を用いた認証方法の採用、セキュリティを確保する上での基準となるセキュリティベースラインの設定などだ。

　可変要素を用いた認証方法はゼロトラストネットワークにとってのみ重要であるだけではない。システム、アプリケーション、データへのアクセス権を取得する際にも重要になる。この方法において、システムやユーザーは、自身が名乗り出ることでその信頼性を証明し、認証の可否を判断される。

　ゼロトラストネットワークの考え方を採用する際、認証方法の設定の仕方は複数ある。その方法はデバイスとユーザー、あるいはその両方に設定できる。

　ネットワークの境界は徐々になくなってきており、ゾーンによるセキュリティレベルの設定はもはや信頼できない。そのため、全てのセッションにおいて適切に認証することが重要になる。これは、「X.509証明書」と二要素認証によるユーザーアカウントで実現する。これらの手法を組み合わせることで、強力な認証用の変数が作成され、リソース別の細かなアクセス制御が可能になる。ゼロトラストネットワークに認証された後は、この認証用の変数をリソースへのアクセス権付与の可否を判断する要素としても使用できる。

　ゼロトラストネットワークを導入する場合は、認証の処理方法を理解しておく必要がある。ゼロトラストの考え方に基づくアーキテクチャにおいて、デバイスがアクセスできるリソースやデータを決める際、この認証がいかなるものかについて理解しておくことが欠かせない。

　ゼロトラストネットワークは、デバイスやユーザーが必要なリソースのみにアクセスできることを基本とする「最小権限の原則」に基づく。これによってユーザーやデバイスが、どういった場所やアプリケーションへのアクセス権を得ているのかを明確に把握できる。これを実現するには一つの認証では不十分であり、ゼロトラストの考え方に適したポリシーを設定する必要がある。

　デバイスやユーザーの身元を特定して認証の可否を判断するために、どのような要素を使用できるかを考慮する必要がある。システムとユーザーアカウントの組み合わせに基づいてポリシーを作成することが重要だ。このポリシーにより、可変要素を用いた固有の認証方法が設定できる。細やかにアクセス権を付与するためには、アクセス先、IPアドレス、ハードウェアの情報、セキュリティリスク、信頼性、認証方法などあらゆる要素がポリシーの対象になり得る。ゼロトラストネットワークにおいては、アクセス権を広げる妥当な理由が出てくるまで、ユーザーには常に必要最小限のアクセス権を付与しておくべきだ。

　一部のベンダーは、比較的容易にゼロトラストネットワークを導入できるサービスを提供している。だが容易に導入できるということは、この場合の最重要な要素ではない。企業はベンダーに頼らなくてもゼロトラストネットワークを構築できる。とはいえ、独自にゼロトラストネットワークを構築するための人員や技術を持たない企業にとっては、そのようなベンダーを利用するのも有効な手段になる。

　ゼロトラストネットワークを構築する一般的な方法は、ソフトウェア定義のネットワーク構築と似ている。この方法では、データプレーンを介した全てのシステムによる通信を暗号化し、ここにポリシーを適用する。この情報を同一ネットワーク内の、より下位のレイヤーまで届けることで、ユーザーやデバイスは迅速かつ安全にアクセスの可否を判断できる。また、信頼性やセキュリティリスクのスコアに基づき、個々のリソースごとにユーザーのアクセス要求を作成するという方法もある。

　ゼロトラストを理解し活用するためには、次のような考え方を理解する必要がある。「ネットワーク内に存在する全ての要素を『警報機』にいったん通さなければ、いかなる信頼も与えない」ということだ。「決して信頼せず、必ず確認する」という合言葉を取り入れよう。そうすることでネットワーク内のセキュリティリスクを低減でき、攻撃者がネットワーク内を自由に動き回るのを防げるようになる。