業務で使うWebブラウザは、マルウェアや不正なスクリプトなど、Web経由の脅威が社内の端末に入り込む主要な経路になっています。URLフィルタリングやアンチウイルスといった「危険を見つけて止める」対策だけでは、日々生まれる未知の攻撃やゼロデイ攻撃を防ぎきれないのが実情です。こうした課題への対策として、近年「リモートブラウザ分離（RBI）」という言葉を目にする機会が増えています。
本記事では、リモートブラウザ分離とは何か、どういう仕組みでWeb経由の脅威を防ぐのかを解説します。分離方式の違い、従来のプロキシやサンドボックスとの違い、メリットと限界、導入形態、主要な製品まで整理しました。
RBIは万能な対策ではなく、得意なことと苦手なことがはっきりしています。仕組みと限界の両面を理解したうえで、自社に必要かどうかを判断するための材料としてご活用ください。
目次
一括ダウンロードする
リモートブラウザ分離（RBI）とは？仕組みをわかりやすく解説
リモートブラウザ分離（RBI：Remote Browser Isolation）とは、Webの閲覧を利用者の端末ではなく隔離された環境で実行し、危険なコードを端末に届けずに、無害化した描画結果（画面）だけを端末に返すWebセキュリティ技術です。「Web分離」「Web無害化」とも呼ばれます。Webコンテンツを端末から切り離すことで、Web経由で攻撃を受ける範囲（攻撃対象領域）を減らします。
RBIの仕組み
RBIの動きは、おおむね次の流れです。まず利用者がリンクをクリックしたりURLを開いたりすると、そのアクセスは端末のブラウザではなく、クラウドや専用サーバー上の隔離環境にある仮想ブラウザに引き渡されます。
次に、仮想ブラウザが利用者の代わりにWebサイトへアクセスし、受け取ったコンテンツ（JavaScriptなどのコードを含む）を隔離環境の中で実行します。
最後に、実行された結果のうち安全な描画だけが端末のブラウザに送られ、利用者は普段と同じ見た目・操作感でWebを閲覧できます。危険なコードは隔離環境にとどまり、端末には届きません。
安全な描画を端末に届ける方法の代表例が、隔離環境で描画した画面をHTML5 Canvasを通じてピクセル（画像）として端末のブラウザに連続送信する方式です。この場合、Webサイトのコードそのものは端末に一切渡らず、利用者が見るのは「安全な画面」だけになります。描画の届け方には複数の方式があり、それぞれ安全性と表示品質のバランスが異なります。
出典・参考資料（2件）
RBIの分離方式の違い（ピクセル転送・DOMミラーリング・ストリーミング）
RBIは「隔離して安全な結果を返す」点は共通ですが、その描画結果をどう端末に届けるか（レンダリングモード）で複数の方式に分かれます。どの方式が優れているという話ではなく、安全性・表示品質・帯域のトレードオフの違いです。代表的な3つの方式を整理します。
| 分離方式 | ピクセル転送（画面転送型） | DOMミラーリング（再構成型） | ストリーミングメディア型 |
|---|---|---|---|
| 仕組み | 隔離環境で描画した画面を、 ピクセル（画像）として端末に転送。 コードは端末に渡らない | JavaScriptなどリスクの高い要素は 隔離側で処理し、フォント等の 低リスク要素は端末側で再構成 | 危険な要素は隔離側で処理しつつ、 動画などは端末でネイティブ再生 |
| 安全性 | 高い（Webの内容が 端末に一切触れない） | 中（実行コードは端末に渡さず 低リスクの表示要素だけ再構成） | 中〜低（動画を端末側で 再生するため用途を限定） |
| 表示品質・帯域 | 帯域の消費が大きく、 遅延が出やすい | 表示が自然で 操作感を保ちやすい | 動画などの 再生品質を保ちやすい |
| 向いている用途 | 機密情報を扱う役員・管理者、 リスクの高いサイトの閲覧 | リスクが中程度の 一般的な業務サイト | リスクの低い 動画・メディアサイト |
ピクセル転送は最も安全ですが端末側の処理を使わないため帯域や遅延の負荷が大きく、DOMミラーリングは端末側の処理も活用して表示品質を高めるぶん一部を端末で描画します。扱う情報の機微さやサイトのリスクに応じて方式を使い分ける、あるいは方式を切り替えられる製品を選ぶ、という考え方になります。
なお、ピクセル転送で画面を連続的に送ることを指して「ストリーミング」と呼ぶこともありますが、上の表の「ストリーミングメディア型」は、動画などを端末側でそのまま再生する別の方式を指します。
出典・参考資料（1件）
従来のセキュリティ対策（プロキシ／SWG・サンドボックス・アンチウイルス）との違い
既存のプロキシやアンチウイルスに加えてなぜRBIが要るのか——多くの担当者が最初に抱く疑問です。両者の根本的な違いは、脅威への向き合い方にあります。従来の多くの対策が「危険なものを見つけて止める（検知型）」であるのに対し、RBIは「そもそも信頼せず分離し、端末に到達させない（分離型）」というアプローチを取ります。
検知型は既知の脅威には有効ですが、日々生まれる未知の攻撃やゼロデイ攻撃を網羅しきれない弱点があります。
| 対策 | リモートブラウザ分離（RBI） | プロキシ／SWG | サンドボックス | アンチウイルス（EPP） |
|---|---|---|---|---|
| アプローチ | 分離型（隔離環境で実行し、 安全な画面だけ端末に返す） | 検知型（URLやカテゴリで 危険なサイトをブロック／許可） | 検知型（隔離環境で実行し 振る舞いを分析して判定） | 検知型（シグネチャや 振る舞いでマルウェアを検知・駆除） |
| 未知・ゼロデイ脅威 | 実行を端末から切り離すため 影響を受けにくい | 既知の危険サイトが中心で 未知には弱い | 検知を回避する攻撃には すり抜けの余地 | 未知・ゼロデイに弱い |
| 主な役割 | Web経由の脅威の無害化 | 通信の制御・フィルタリング | 不審なファイル・コードの解析 | 端末上のマルウェア対策 |
RBIは従来対策を置き換えるものではなく、検知型の対策では取りこぼす「未知の脅威が実行される瞬間」を、分離によって端末から遠ざける層として組み合わせて使うのが基本です。
なお、プロキシやアンチウイルスなど複数の機能を一つにまとめたUTM（統合脅威管理）も、束ねているのは検知型の対策です。UTMを導入していても、未知の脅威を端末から遠ざける分離型のRBIとは役割が異なり、両者は補い合う関係になります。
出典・参考資料（1件）
RBIのメリットと限界
RBIは「何に効き、何には効かないか」がはっきりした技術です。導入を検討するうえで、解決できる価値と、分離だけでは防げない限界の両方を押さえておく必要があります。
RBIが解決する価値（未知・ゼロデイ脅威の無害化）
最大の価値は、Webサイトのコードを端末で実行させないことにあります。隔離環境で実行して安全な画面だけを返すため、シグネチャに登録されていない未知のマルウェアやゼロデイ攻撃であっても、端末が直接その影響を受けにくくなります。加えて、隔離環境からのダウンロードやアップロードを制御することで、Web経由の情報漏えいを抑える使い方もできます。
RBIが苦手とする脅威（フィッシング・中間者攻撃はカバー外）
RBIは「危険なコードを端末に届けない」設計であり、コードの実行を伴わない攻撃までを防ぐものではありません。たとえば、本物そっくりの偽サイトに利用者自身が認証情報を入力してしまうフィッシングがあります。利用者が見ているのが隔離環境の描画した画面であっても、入力した情報はそのまま送られてしまうため、分離だけでは防げません。
通信経路上で情報を盗み見たり改ざんしたりする中間者攻撃も、RBIの守備範囲の外です。RBIで守られるのはWeb通信の一部にとどまるという指摘（マクニカ）もあり、既存のフィッシング対策や多要素認証などと組み合わせて補う前提で考えます。
操作感の低下・遅延・帯域・コスト・表示崩れ
隔離環境で描画してから端末に転送する仕組み上、運用面の負荷も伴います。RBIを提供するベンダー自身も、課題として次の点を挙げています。
- 遅延：端末と隔離環境の間でデータをやり取りする距離が延びるほど遅延が増え、操作感が下がる。
- 帯域：画面をピクセルとして送る方式では帯域の消費が大きく、対応できないインフラでは負荷が高まる。
- コスト：暗号化された動画などの処理には高い計算能力が必要になり、そのぶんコストがかさむ。
- 表示崩れ：サイトによっては表示が崩れることもある。
限界を補う代替の選択肢（エンタープライズブラウザ）
RBIの限界を踏まえ、近年は代替・補完として「自己保護型のエンタープライズブラウザ」も選択肢に挙がります。これは、業務用に管理された専用ブラウザ自体にセキュリティ機能（コピー＆ペーストや印刷の制御、拡張機能の管理など）を組み込み、端末上で直接保護する考え方です。
RBIのように通信を隔離環境に迂回させない分、遅延を抑えやすい一方、端末側にブラウザを導入・管理する運用が必要になります。RBIとどちらが自社に合うかは、守りたい情報・利用シーン・許容できる運用負荷から判断するとよいでしょう。
出典・参考資料（2件）
代替候補となるエンタープライズブラウザを含め、法人向けのセキュアブラウザには複数の方式があり、料金やVDIとの違いも選定のポイントになります。製品ごとの違いや選び方は、以下の記事で詳しく比較しています。
RBIの導入形態とゼロトラスト・SWG／SASE・EDRとの関係
RBIには、どこで隔離環境を動かすかによって、主に3つの導入形態があります。運用負荷・コスト・端末側の要件が異なるため、既存環境に合わせて選ぶ形が一般的です。
- クラウド型（リモート型）：クラウド上の隔離環境でWebを実行する方式。
- オンプレミス型：組織の内部IT環境の中に隔離環境を持つ方式。
- クライアント型（ローカル型）：利用者の端末内の仮想化された隔離領域（前述の検知型サンドボックスとは別の、隔離のための領域）で実行し、閲覧後にデータを消去する方式。
また、RBIは単独の製品として使うより、Secure Web Gateway（SWG）やSASE／SSEといった枠組みの一機能として組み込まれることが増えています。SWGが危険なサイトをフィルタリングし、未分類・高リスクのサイトへのアクセスだけをRBIに回して分離する、といった連携です。
RBIが「ネットワークの場所やアクセス元を無条件に信頼しない」というゼロトラストの考え方に基づく点も、各ベンダーに共通します。ゼロトラストは、米国国立標準技術研究所（NIST）のSP 800-207（原文は英語）で、資産やユーザーに対して、物理的な所在やネットワーク上の位置、資産の所有者だけを根拠にした暗黙の信頼を与えない、という考え方として定義されています。
日本でも、インターネット経由の脅威を業務環境から切り離す「インターネット分離」「無害化」は、公的に推奨されてきた考え方です。総務省は、地方公共団体向けに業務系とインターネット接続系を分けてやり取りを無害化する「三層の対策」を要請しており、画面転送によるWeb分離はこれと同じ発想の技術にあたります。
なお、端末上で脅威を検知・対応するEDRとは役割が異なり、EDRが「端末に届いた後」に検知・対応するのに対し、RBIは「そもそも端末に届かせない」層として補完的に使われます。
出典・参考資料（3件）
RBIの主要製品と提供形態
実際にRBI／ブラウザ分離を提供している代表的なベンダーと提供形態を整理します。ここに挙げるのは代表的なベンダーで、順不同です。多くはクラウド型のSWG／SASEの一機能として、あるいはエンタープライズブラウザの一部として提供されています。具体的な機能・料金は各社の公式情報で確認してください。
| 製品・ベンダー | Menlo Security | Zscaler | Netskope | Citrix | Check Point |
|---|---|---|---|---|---|
| 主な提供形態 | クラウド型RBI／セキュアエンタープライズブラウザ | クラウド型（ゼロトラスト基盤内のブラウザ分離） | SASE／SSE内のRBI（SWGと連携） | Remote Browser Isolation（旧Secure Browser） | ブラウザセキュリティ（RBI） |
このほかにも、Cloudflare、Cato Networks、Fortinet（FortiIsolator）、Forcepoint、Cisco などがRBIやブラウザ分離の機能を提供しています。国内では、Web分離・無害化として同様の仕組みを提供・取り扱う事業者もあります。製品を選ぶ際は、分離方式・導入形態・既存のSWGやゼロトラスト基盤との連携・遅延や帯域への影響を軸に比較するとよいでしょう。
出典・参考資料（5件）
一括ダウンロードする
RBIと関連するセキュリティ対策で自社に合う手段を探す
RBIがWeb経由の脅威（外から入ってくる攻撃）を端末に届けないのに対し、ここで紹介するサービスは、端末の紛失・盗難時に情報を漏らさないよう、端末側にデータを残さない・無意味化するという別軸の分離アプローチです。RBIそのものではありません。
守る対象が「外から入ってくる脅威」か「手元の端末からの情報漏えい」かで異なりますが、いずれも社内を守る「信頼せず分離する」考え方の延長にあります。RBIと合わせて、自社の守りたい情報や利用シーンに応じた比較検討の候補としてご覧ください。
| サービス名 | CACHATTO SecureContainer | Soliton SecureWorkspace | ZENMU Virtual Drive | Shadow Desktop |
|---|---|---|---|---|
| 分離のタイプ | 端末内で隔離実行 （データレス） | 端末内で隔離実行 （データレス） | 端末内でデータを無意味化 （秘密分散） | クラウドへデータを退避 （データレス） |
| 分離・保護のしくみ | 端末内に暗号化した隔離領域を作り、 その中だけで業務を実行。 退出時に領域内のデータを削除 | 既存PC上に隔離領域を作り 業務アプリを実行。ログオフ時に 読み書きしたデータを自動消去 | 秘密分散（ZENMU-AONT）で端末内の データを無意味化。分散片が揃わないと 復元できず、リモートロックも可能 | PC内のデータをクラウド等へ 自動退避し端末に残さない。 ローカルキャッシュは暗号化 |
| 提供形態 | 既存PCにインストール （オンプレミス・クラウド選択可） | 既存PCにインストール | 既存PCにインストール | 既存PCにインストール （退避先はクラウド／オンプレミス） |
| 対応OS | Windows （対応バージョンは要確認） | Windows 11 （on ARM除く） | Windows 10（20H2以降） ／Windows 11（Mac版は開発中） | Windows（日本語版、 Microsoftサポート対象バージョン） |
| 料金の目安 | 基本利用料120,000円/年＋ ユーザー96,000円/10人/年（税別） | ライセンス購入型 年額13,200円/ユーザー ／クラウド型 月額1,000円/ユーザー〜 | Enterprise 1,800円/ユーザー/月〜 Limited 500円/ライセンス/月（税抜） | 要問い合わせ |
| 詳細情報 | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | オンライン相談を予約 |
CACHATTO SecureContainer（e-Janネットワークス株式会社）
CACHATTO SecureContainer は、e-Janネットワークス株式会社が提供するデータレスクライアントです。PC上に暗号化した隔離領域（セキュアコンテナ領域）を作り、その中だけで業務を行い、サインアウトやシャットダウン時に領域内のデータを削除します。端末本体にデータを残さないことで、紛失や盗難時の情報漏えいを防ぐ考え方です。
独自VPN「CACHATTO Private Connect」と組み合わせることで、VDIやDaaSを使わずにクラウドやオンプレミスへアクセスできます。手元のPCのリソースで処理するため、ネットワークに接続しないオフライン環境でも業務を続けられます。
支給PCを専用機として使う「セキュアコンテナ AD」と、標準のWindows環境と切り替えて使う「セキュアコンテナ Switch」の2種類があり、OneDriveやBox、Googleドライブとの同期にも対応します。料金は基本利用料が年120,000円、ユーザーライセンスが10ユーザーあたり年96,000円（いずれも税別）です。
Soliton SecureWorkspace（株式会社ソリトンシステムズ）
Soliton SecureWorkspace は、今使っているWindows PCに隔離領域を作り、その中で業務アプリを実行することで既存端末をデータレス化するソフトウェアです。隔離領域内で作成・編集したファイルはその領域に保存され、ログオフ時に読み書きしたデータが自動で消去されます。提供元は東京証券取引所プライム市場に上場する株式会社ソリトンシステムズです。
隔離領域内で動くアプリの出入り口をカーネルレベルで監視し、クリップボードや印刷、ネットワーク接続を制御します。アプリ間でデータを受け渡すCOM経由の呼び出しの監視には、特許技術（特許第6104447号）を取得しています。
対応OSはWindows 11（on ARMを除く）で、ローカルでアプリが動くためオフライン環境でも業務を続けられます。料金はライセンス購入型が年額13,200円/ユーザー、クラウド型が月額1,000円/ユーザー〜です。
ZENMU Virtual Drive（株式会社ZenmuTech）
ZENMU Virtual Drive は、秘密分散技術「ZENMU-AONT」を使って、PC内とクラウド上にデータを分散して保管するエンドポイントセキュリティソフトウェアです。PC内に作った仮想ドライブのデータを無意味化し、両方の分散片が揃わないと元のデータを復元できない仕組みでリスクを下げます。開発・提供元は株式会社ZenmuTechです。
PCの盗難・紛失時には、管理者がクラウド側からリモートロックを実行でき、端末内には無意味化された分散片しか残りません。USBやスマートフォン、Windows共有フォルダーに分散片を同期しておけば、オフライン環境でもデータを利用できます。
料金はフル機能のEnterprise Edition が月1,800円/ユーザー、機能を絞ったLimited Edition が月500円/ライセンス（いずれも税抜、年間契約）です。提供元の株式会社ZenmuTechはISO/IEC 27001:2022を取得しており（IS 803947）、松井証券では協力会社スタッフが使う端末200台に導入されています。
Shadow Desktop（アップデータ株式会社）
Shadow Desktop は、既存のWindows PCにインストールするだけで端末本体にデータを残さない状態を作る、アップデータ株式会社のデータレスクライアントです。デスクトップ・ドキュメント・ピクチャ・ダウンロードの4つのフォルダーのデータを、クラウドなどの外部ストレージへ自動でアップロードして手元に残しません。
OSやアプリケーション自体は仮想化しないため、VDIやシンクライアントと違い、通常のPCと同じ操作感で使えます。ローカルに一時保存されるキャッシュは暗号化（EFS暗号化／AES256bit）され、ファイル名も変換されます。
保存先には Amazon S3 や Microsoft Azure Blob Storage、Microsoft 365、Box Drive などのクラウドサービスやオンプレミスサーバーを選べます。
料金や契約条件は要問い合わせで、最小5ライセンスから導入でき、最大30日間の無料トライアルが用意されています。
ここで挙げた分離のアプローチは、社内を守る対策の一部です。以下の記事では、端末・ネットワーク・ID・データ・監視という守る対象別に対策のタイプと代表的なサービス、選び方を整理しています。RBIを含めて自社に必要な対策を幅広く比較検討したい方は、あわせてご覧ください。
社内セキュリティソリューション比較｜守る対象別のタイプ・代表サービスと選び方
社内のセキュリティを強化したいものの、端末の保護から不正アクセス対策、情報漏えいの防止まで課題が広く、何から手をつければよいか判断がつかないという声は少なくありません。テレワークやクラウド利用が定着し、社外に持ち出される端末やIDが増えたこ…
まとめ
リモートブラウザ分離（RBI）は、Webの閲覧を隔離環境で実行し、危険なコードを端末に届けずに安全な画面だけを返すことで、未知の脅威やゼロデイ攻撃から端末を守る技術です。描画の届け方にはピクセル転送・DOMミラーリング・ストリーミングの方式があり、安全性と表示品質のトレードオフで使い分けます。
検知型の従来対策では取りこぼす脅威を分離で遠ざける一方、フィッシングや中間者攻撃は防げず、遅延・帯域・コストといった運用面の負荷も伴います。RBIは単独で完結する対策ではなく、SWGやゼロトラスト、フィッシング対策と組み合わせて、自社のリスクと運用に合う形で位置づけることが大切です。
一括ダウンロードする
よくある質問（FAQ）
Q. 「Web分離」「無害化」とリモートブラウザ分離（RBI）は同じものですか？
A. リモートブラウザ分離（RBI）は、「Web分離」「Web無害化」と呼ばれる考え方を実現する代表的な技術の一つです。 Web分離・無害化は「インターネット経由の脅威を業務環境から切り離す」という広い概念で、その実現手段にはRBIのほか、社内の業務系とインターネット接続系を分けてやり取りを無害化する方式などもあります。
RBIはこのうち、Webの実行を隔離環境に移し、安全な画面だけを端末に返すアプローチにあたります。
Q. リモートブラウザ分離（RBI）はVDIやシンクライアントと何が違うのですか？
A. RBIが分離するのは「Webブラウザの実行」だけである点が、デスクトップ環境ごと分離するVDIやシンクライアントとの違いです。 VDIはOSやアプリを含むデスクトップ全体をサーバー側で動かすため構築・運用の負荷が大きくなりがちですが、RBIはWeb閲覧に絞って隔離するため、普段の端末環境はそのまま使いながらWeb経由の脅威だけを切り離せます。
目的が「デスクトップ全体の集約」なのか「Web経由の脅威対策」なのかで使い分けるとよいでしょう。
Q. リモートブラウザ分離（RBI）は中小企業でも導入できますか？
A. クラウド型（リモート型）のRBIであれば、自社にサーバーを持たない中小企業でも導入できます。 隔離環境をベンダーのクラウド上で動かすため専用機器の構築が不要で、利用者数に応じたサブスクリプション型で使えるサービスが増えています。ただし遅延や帯域への影響、既存対策との兼ね合いは企業規模を問わず生じるため、まずは機微情報を扱う業務や高リスクなサイト閲覧に対象を絞って始めるのが現実的です。
Q. リモートブラウザ分離（RBI）を導入すればフィッシング詐欺も防げますか？
A. RBIだけではフィッシングは防げません。 RBIは危険なコードを端末で実行させない技術であり、利用者自身が偽サイトと気づかずにID・パスワードを入力してしまう攻撃は、隔離環境越しでも入力情報がそのまま送信されるため止められません。フィッシング対策には、多要素認証やメール・URLのフィルタリングなどを併用する前提で考えます。
Q. リモートブラウザ分離（RBI）は既存のプロキシやSWGと併用すべきですか？
A. RBIは既存のプロキシやSWGを置き換えるものではなく、併用するのが基本です。 実務では、SWGが既知の危険サイトをブロックし、未分類・高リスクのサイトへのアクセスだけをRBIに回して分離する、という役割分担で組み合わせます。近年はSWGやSASE／SSEの一機能としてRBIが提供されることも多く、既存基盤と連携しやすいかどうかが製品選定の軸になります。
Q. リモートブラウザ分離（RBI）を導入すると業務に支障は出ませんか？
A. RBIは仕組み上、表示の遅延やサイトの表示崩れが起こる場合があるため、導入前の検証が欠かせません。 隔離環境で描画してから端末に転送するため、特に画面をピクセルとして送る方式では帯域の消費や遅延が大きくなりがちです。実際に業務で使うサイトで表示や操作感を試し、分離方式を用途に応じて切り替えられるか、対象サイトを限定できるかを確認しておくと、支障を抑えられます。
社内セキュリティソリューションの料金・資料を一括チェック
MCB FinTechカタログでは、Web経由の脅威対策や情報漏えい対策に役立つ社内セキュリティソリューションの最新資料を無料で一括請求できます。機能や対応範囲、費用感などをまとめて比較できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
