テレワークはもはや一時的な対応ではなく、企業に定着した働き方です。総務省の調査では、テレワークを導入している企業は50.1％にのぼります。一方で、社外から社内システムへの接続をVPN（仮想専用線）に頼ったままの企業では、利用者が増えるたびに通信が遅くなる、VPN装置が単一障害点になる、VPN機器の脆弱性を突く攻撃のニュースが出るたびに不安になる、といった課題が目立つようになりました。
出典・参考資料（1件）
こうした状況で選択肢に挙がるのが、ゼロトラストの考え方にもとづくZTNA（ゼロトラスト・ネットワークアクセス）や、仮想デスクトップ（VDI）、VPNをクラウドで提供するクラウドVPN、ネットワークとセキュリティを統合するSASE（サッシー）です。VPNを使い続けるか、何に乗り換えるか、VDIとは何が違うのかは、方式ごとの仕組みと向き・不向きを押さえると判断しやすくなります。
本記事では、リモートワークの接続方式であるVPN・ZTNA・VDI・クラウドVPN／SASEを一覧で比較し、仕組みの違いと「なぜ違うのか」、費用の考え方、自社に合う方式の選び方と段階的な移行の進め方までを整理します。あわせて、ゼロトラスト型の接続・認証を実現するサービスも紹介します。
目次
一括ダウンロードする
VPN・ZTNA・VDI・クラウドVPN／SASE の違いを一覧で比較
はじめに、リモートワークの主な接続方式を横並びで比較します。接続の仕組み、セキュリティの考え方、運用の手間、利用者が増えたときの挙動、費用の構造、向いている規模・用途を方式ごとにまとめました。自社がどの方式に近いか、どこへ移るとどの課題が解けるかを見渡す出発点としてご覧ください。
| 比較項目 | 従来のVPN（リモートアクセスVPN） | ZTNA（ゼロトラスト・ネットワークアクセス） | VDI（仮想デスクトップ） | クラウドVPN（VPNaaS） | SASE（サッシー） |
|---|---|---|---|---|---|
| 接続の仕組み | 社外から社内ネットワークへ暗号化した通信路でつなぎ、社内網に入って各システムを使う | 社内網に入れず、アプリやリソース単位でアクセスを都度認可する | サーバー上の仮想デスクトップに接続し、画面転送で操作する（手元の端末にデータを残さない） | VPNをクラウドで提供する。社内網につなぐ発想は従来型と同じ | ネットワーク（SD-WAN）とセキュリティ（Webフィルタ・クラウド可視化・ZTNA など）をクラウドで統合する |
| セキュリティの考え方 | 境界型防御。一度社内網に入れば広い範囲にアクセスできる | 信頼せず都度検証。ネットワークのどこにいるかで信頼しない | データを端末に置かず、情報の持ち出しを防ぐ | 境界型の延長をクラウドで手軽に実現する | ゼロトラストを含む包括的なクラウドセキュリティ |
| 運用の手間 | VPN装置の設置・保守・脆弱性対応が必要 | クラウドサービスとして提供され装置保守は不要。初期のポリシー設計が要る | 自社構築型は仮想基盤の構築・運用が重い。クラウド型で軽減できる | 自社でVPN装置を持たず、導入が早い | 統合管理で運用を一元化できる。導入時の設計は要る |
| 利用者増加時 | 同時接続が増えると装置がボトルネックになり遅くなりやすい | クラウド側で拡張し、同時接続のボトルネックが起きにくい | サーバーの処理能力に依存する | クラウド側で拡張しやすい | クラウドのバックボーンで拡張する |
| 費用の構造 | VPN機器の購入・保守が中心（資産購入型） | 利用者数ベースのサブスクリプション（見積もり提示が多い） | 基盤の構築・運用＋利用者課金（クラウド型は公開単価の製品もある） | 利用者数ベースのサブスクリプション | 機能（モジュール）ごとのサブスクリプション（見積もり提示が多い） |
| 向いている規模・用途 | 既存の社内システムへの接続を維持したい企業 | テレワーク・クラウド利用が広く、段階的に移行したい企業 | 端末に情報を残したくない業務・BYOD（私物端末の業務利用） | 既存のVPN運用をクラウドに寄せたい移行の途中段階 | 拠点・リモート・クラウドを一つのポリシーで守りたい中〜大規模 |
※方式の呼び方は目安で、製品によっては複数方式の範囲が重なります。各方式の具体的な仕組みは以降の章で解説します。
各方式の仕組みと「なぜ違うのか」
ここからは、比較表の各方式がなぜ違う挙動になるのかを、仕組みにさかのぼって解説します。テレワークやクラウド利用が広がり、守る範囲が社内ネットワークに収まらなくなったことが、方式を見直す出発点です。
従来のVPN（境界型防御）とその限界
リモートアクセスVPNは、社外の端末から社内ネットワークへ暗号化した通信路をつくり、社内にいるのと同じように各システムを使えるようにする仕組みです。社内ネットワークの内側を信頼し、外との境界で守るという考え方で、これを境界型防御と呼びます。
この考え方には、テレワークが広がるにつれて見えてきた限界があります。VPN装置を経由して全員が社内網に入るため、利用者が増えると装置の処理が追いつかず通信が遅くなります。装置が1台止まれば全員が接続できなくなる単一障害点にもなります。そして、いったん社内網に入った利用者は広い範囲にアクセスできるため、認証情報が漏れて第三者に侵入されると、被害が社内全体に広がりやすいという弱点があります。
米国国立標準技術研究所（NIST）も、境界型防御の課題として、いったん社内網に入ると広範なリソースへアクセスできること、社内ネットワーク内部からの攻撃を検知・遮断しにくいこと、そして社外のリモートワーカーやクラウドサービスを守れないことを指摘しています。
Traditionally, agencies (and enterprise networks in general) have focused on perimeter defense and authenticated subjects are given authorized access to a broad collection of resources once on the internal network. As a result, unauthorized lateral movement within the environment has been one of the biggest challenges […] the TICs and perimeter firewalls are less useful for detecting and blocking attacks from inside the network and cannot protect subjects outside of the enterprise perimeter (e.g., remote workers, cloud-based services, edge devices, etc.).
出典：NIST Special Publication 800-207「Zero Trust Architecture」§2｜米国国立標準技術研究所（NIST）
VPNの脆弱性を狙う攻撃は現実の脅威か
VPN機器の脆弱性を狙う攻撃は、抽象的なリスクではなく、公的機関が継続して注意を促している現実の脅威です。情報処理推進機構（IPA）が公表する「情報セキュリティ10大脅威 2026」では、組織向けの脅威として「ランサム攻撃による被害」が11年連続で第1位となり、「リモートワーク等の環境や仕組みを狙った攻撃」も第8位に挙がっています。
侵入経路の内訳も公表されています。警察庁の資料によると、令和6年のランサムウェアの被害報告件数は222件で高水準が続いており、感染経路について次のように整理されています。
上述のアンケート結果によると、VPN やリモートデスクトップ用の機器からの侵入が、全体の感染経路の８割以上を占める状況であるところ、その原因としては、ID・パスワード等が非常に安易であったことや、不必要なアカウントがきちんと管理されずに存在していたことなどが挙げられる。
出典：令和６年におけるサイバー空間をめぐる脅威の情勢等について｜警察庁
この傾向は直近でも変わっていません。警察庁の令和7年上半期の資料でも、ランサムウェアの被害報告件数は116件と高水準で、「VPN やリモートデスクトップ用の機器からの侵入が、全体の感染経路の８割以上を占める状況」と報告されています。VPN機器やリモートデスクトップが攻撃の入口になりやすいことは、方式を見直すうえで押さえておきたい前提です。
ゼロトラスト／ZTNAの考え方
ゼロトラストは、社内・社外という場所で信頼を決めるのをやめ、アクセスのたびに利用者や端末を検証するという考え方です。NISTは、ゼロトラストを「信頼は暗黙に与えられるものではなく、継続的に評価されなければならない」という前提に立つ考え方だと定義しています。
Zero trust is a cybersecurity paradigm focused on resource protection and the premise that trust is never granted implicitly but must be continually evaluated.
出典：NIST Special Publication 800-207「Zero Trust Architecture」§2｜米国国立標準技術研究所（NIST）
NISTはあわせて、個々のリソースへのアクセスはセッションごとに認可され、あるリソースへの認証・認可が自動的に別のリソースへのアクセスを与えるわけではない、という原則も示しています。社内網に入れば広く使えるVPNとは対照的に、アクセスできる範囲を必要な分だけに絞る発想です。
この考え方を社外からの接続に実装したものが、ZTNA（ゼロトラスト・ネットワークアクセス）です。利用者を社内網に入れず、使いたいアプリやリソースごとに、そのつど利用者・端末・状況を確認してアクセスを認可します。認証情報が漏れても被害が広がりにくく、テレワークやクラウド利用のように守る範囲が社内に収まらない環境に向きます。
ZTNAという呼び方は、NISTが定義するゼロトラストの原則を接続方式として製品化したときの呼称です。ゼロトラストという考え方そのものと、それを実装した製品カテゴリの名前は、分けて捉えておくと混乱がありません。
VDIとの違い
VDI（仮想デスクトップ）は、サーバー上に用意した仮想のデスクトップ環境に接続し、その画面を手元の端末に転送して操作する仕組みです。実際の処理やデータはサーバー側にあり、手元の端末にはデータが残りません。端末を紛失しても情報が持ち出されにくく、私物端末の業務利用（BYOD）でも業務データを端末に置かずに済みます。
VPNやZTNAが「社内システムへどうつなぐか」という接続の方式であるのに対し、VDIは「どこで処理し、データをどこに置くか」という発想の違いがあります。情報を端末に残したくない業務では有力ですが、自社で仮想基盤を構築・運用する形は負担が大きく、近年はクラウドで提供されるVDIも選択肢になっています。
「端末に情報を残さない」方式には、VDIのほかにもリモートブラウザ分離（RBI）や仮想ブラウザ、ローカル分離など複数のやり方があり、仕組みも業務への影響も費用感も異なります。どの分離方式が自社の業務に合うかまで踏み込んで比べたい場合は、次の記事が参考になります。
クラウドVPN・SASEの位置づけ
クラウドVPN（VPNaaS）は、VPNをクラウド上のサービスとして提供するものです。自社でVPN装置を持たずに済み導入は早くなりますが、社内網につなぐという発想は従来型のVPNと変わりません。既存のVPN運用をクラウドに寄せる移行の途中段階として位置づけられます。
SASE（Secure Access Service Edge）は、ネットワーク機能（拠点間をつなぐSD-WANなど）とセキュリティ機能（Webフィルタ、クラウド利用の可視化、ZTNAなど）をクラウドで一体的に提供する考え方です。ZTNAを含む包括的な枠組みで、拠点・在宅・クラウドへの通信を一つのポリシーで管理したい場合に向きます。
ZTNAが接続単体の方式であるのに対し、SASEはそれを含むより広い統合サービスだと捉えるとわかりやすいでしょう。
一括ダウンロードする
各方式の費用の考え方（目安）
費用は金額そのものより、まず「どんな費用のかかり方をするか」という構造で捉えると比較しやすくなります。方式によって、機器を購入する形か利用者数で課金される形か、公開された定価があるか見積もりベースかが異なるためです。
従来のVPNは、VPN装置を購入・保守する資産購入型の費用が中心です。導入時にまとまった初期費用がかかり、その後は保守や機器更新の費用が続きます。
これに対しZTNA・SASE・クラウドVPNは、利用者数に応じたサブスクリプション（継続課金）が基本で、初期の機器投資を抑えやすい一方、利用者が増えるほど月々の費用も増えます。VDIは、自社で仮想基盤を構築する場合は基盤の構築・運用費がかかり、クラウド型では利用者数や稼働時間に応じた課金になります。
注意したいのは、ZTNAやSASEの主要な製品は、公式サイトに定価を掲載せず、利用規模に応じた見積もりを提示する形が多いことです。そのため「月額いくら」と一律に示すのは難しく、利用人数・拠点数・必要な機能（モジュール）によって総額が変わります。
一方、クラウド型VDIのように公開された単価を持つ製品もあります。たとえばAmazon WorkSpacesのWindows Standardバンドルは、米国西部（オレゴン）リージョンの一例として月額44米ドルと公表されています。金額を検討する際は、こうした公開単価のある製品を手がかりにしつつ、見積もりが前提の製品は早めに提供元へ問い合わせて、自社の利用規模での総額を確認するのが確実です。
自社に合う方式の選び方と段階的移行
方式の違いを押さえたら、次は自社にどれが合うかの判断です。ここでは、選ぶときに確認したい観点と、規模・状況別の現実的な選択、そして無理のない移行の進め方を整理します。
選び方のチェック項目
自社に合う方式を見極めるには、次の観点を順に確認すると判断しやすくなります。
- 何につなぎたいか（用途）：社内のファイルサーバーや基幹システムに接続したいのか、クラウドサービスやWebアプリの利用が中心か。社内システムへの接続が多ければVPNやZTNA、クラウド利用が中心ならZTNAやSASEが候補になります。
- 利用人数と拠点数：同時接続が多い、拠点が分散しているほど、装置がボトルネックになる従来型VPNの負担が増します。クラウドで拡張できる方式が向きます。
- 求める安全性のレベル：認証情報の漏えいや侵入後の被害拡大をどこまで抑えたいか。被害範囲を絞りたいならアクセスを都度認可するZTNA、情報を端末に残したくないならVDIが候補です。
- 導入・運用の手間：自社で機器や基盤を保守できる体制があるか。運用の手が限られるなら、装置保守の不要なクラウド型のサービスが負担を抑えられます。
- 多要素認証との連携：どの方式でも、認証情報の漏えいが侵入の起点になります。多要素認証（MFA）や、端末・利用状況に応じたアクセス制御と組み合わせられるかは、安全性を左右する重要な確認点です。
規模・状況別の現実的な選択
運用に割ける人手は企業によって異なり、特に情報システムの担当が少ない企業では、最初から大がかりな仕組みを入れるのは現実的でないことがあります。社内システムへの接続が中心で利用者も限られるなら、まずは多要素認証とアクセス制限で既存のVPNを固めるだけでも、認証情報の漏えいによる侵入のリスクは下げられます。
クラウドサービスの利用が広がり、VPNの遅延や運用の負担が目立ってきた企業では、装置保守の不要なZTNAやクラウドVPNが選択肢になります。拠点が多く、ネットワークとセキュリティをまとめて見直したい中〜大規模の企業では、SASEで一つのポリシーに統合する選択が合います。端末に情報を残したくない特定業務では、VDIを部分的に併用する形も現実的です。
いきなり全面移行は重い — 段階的移行の進め方
ゼロトラストへの移行は、既存のVPNをいきなり全廃する必要はありません。むしろ、一度にすべてを切り替えると現場が混乱しやすく、運用の手が限られる企業では負担が大きくなります。現実的なのは、守りたいものから順に段階を踏む進め方です。
まず着手しやすいのは、認証の強化です。警察庁の資料でも、侵入の原因としてID・パスワードが安易だったことや不要なアカウントが管理されていなかったことが挙げられており、多要素認証の導入と使われていないアカウントの棚卸しは、方式を変える前でも効果があります。
次に、クラウド利用が多い業務やリスクの高い接続からZTNAへ移し、既存のVPNとしばらく併用しながら、問題がないことを確かめて対象を広げていきます。併用期間を設けることで、切り替え時の業務停止を避けられます。
最初の一歩となる多要素認証（MFA）について、二段階認証との違いや認証の3要素、方式ごとの安全性の差を基礎から確認したい場合は、次の記事で詳しく解説しています。
ゼロトラスト型の接続・認証を実現するサービス
ここからは、前半で見た方式ごとに、代表的なサービスを取り上げます。まず押さえたいのは、どの方式を選んでも土台になる認証・アクセス制御です。多要素認証とアクセス制限は、方式を変える前でも移行の第一歩として単独で効果があります。
そのうえで、接続そのものを置き換えるZTNA・SASE、情報を端末に残さない方式（リモートブラウザ分離やセキュアブラウザ）を取り上げます。前半で自社に合いそうな方式に当たりをつけた読者は、その方式を担うサービスを、以下の比較表の「タイプ（方式）」列と各紹介から探してください。
以下は、ご紹介する5つのサービスを接続の方式ごとに並べた比較表です。担う役割が異なるため、自社が置き換えたい部分（接続そのもの・端末に残すデータ・認証の土台）と照らし合わせてご覧ください。表の「端末にデータを残さない方式」列は、●が標準で対応、△が一部またはモジュールで対応、—が認証の土台のため非該当を表します。
| サービス名 | CloudGate UNO | Netskope One | Forcepoint ONE | Cloudflare Browser Isolation | moconavi |
|---|---|---|---|---|---|
| タイプ（方式） | ゼロトラスト型IDaaS（SSO・MFA・アクセス制限・ID管理） | SSE/SASE（ZTNA・クラウド可視化・Webフィルタ など） | SSE/SASE（ZTNA・クラウド制御・情報漏えい対策 など） | リモートブラウザ分離（RBI。Cloudflare One＝SASEの一機能） | クラウドMAM／セキュアブラウザ（VDI代替） |
| 主な役割（接続の対象） | クラウドサービスへのSSO・多要素認証とアクセス制限。方式を問わず土台となる「アクセスのたびに利用者を検証する」認証を担う | 社内システムへのゼロトラストアクセスと、利用中クラウドの可視化・制御（シャドーIT検出） | 社内システムへのゼロトラストアクセスと、利用中クラウドの可視化・データ保護 | Web・アプリをエッジで実行し、安全な画面情報だけを端末へ届けて脅威を遮断 | 社内システム・クラウドへのリモートアクセス。業務データを端末に残さずBYODでも公私分離 |
| 端末にデータを残さない方式 | — （認証の土台のため非該当） | △（RBIモジュールで対応） | △（RBIを選択的に提供） | ●（エッジで実行し視覚情報のみ端末へ） | ●（サンドボックス実行で端末非保持。リモートワイプ不要） |
| 提供形態 | クラウド（SaaS。国産・自社開発） | クラウド（SaaS。国内は販売パートナー経由） | クラウド（SaaS。国内は代理店経由） | クラウド（335拠点のエッジ。クライアントレス展開に対応） | クラウド（専用アプリを端末に導入。MDM・構成プロファイル不要） |
| 費用の考え方 | 月額440円〜/ユーザー（税込。Standard Plus）。初期費用は要問い合わせ | 利用者数ベースのサブスクリプション（要問い合わせ） | 利用者数ベースのサブスクリプション（最低利用者数の条件あり。要問い合わせ） | Cloudflare Oneの有料プランに準じるアドオン（エンタープライズは要問い合わせ） | サブスクリプション・ID数課金（1ライセンスから。要問い合わせ） |
| 詳細情報 | 公式資料を見る | 公式サイト | 公式サイト | 公式サイト | 公式サイト |
※料金・仕様は各社公式情報にもとづく（2026年10月時点）。最新は各社サイトをご確認ください。
ここで取り上げるのはリモートワークの接続・認証に関わるサービスですが、ログ管理やメール対策、端末管理なども含めて社内セキュリティ全体を守る対象別に見渡し、導入を検討したい方は、次のまとめ記事もあわせてご覧ください。
社内セキュリティソリューション比較｜守る対象別のタイプ・代表サービスと選び方
社内のセキュリティを強化したいものの、端末の保護から不正アクセス対策、情報漏えいの防止まで課題が広く、何から手をつければよいか判断がつかないという声は少なくありません。テレワークやクラウド利用が定着し、社外に持ち出される端末やIDが増えたこ…
1. CloudGate UNO（株式会社インターナショナルシステムリサーチ）
CloudGate UNOは、株式会社インターナショナルシステムリサーチ（ISR）が自社開発するクラウド型のID管理プラットフォームで、シングルサインオン（SSO）、多要素認証（MFA）、アクセス制限、ID管理を一つにまとめて提供します。
公式には「ゼロトラスト時代のSSO・アクセス制限・認証強化・ID管理プラットフォーム」と位置づけられており、方式を何にするにしても土台となる「アクセスのたびに利用者を検証する」仕組みを担います。
認証では、FIDO2準拠のパスワードレス認証を全プラン・全利用者で無制限に利用でき、物理セキュリティキーやWindows Hello・Touch IDなどの生体認証に対応します。
アクセス制限は、IPアドレス・デバイス証明書・国や地域・曜日や時間帯・ブラウザといった条件を組み合わせられ、利用環境や端末の状態に応じて認証方式を切り替えることもできます。
Google Workspace・Microsoft 365・Salesforce・Slackなど多数のクラウドサービスと連携し、契約数は1,400社以上と公表されています。月額料金はStandard Plusが1ユーザー440円（税込）からで、30日間の無料トライアルが用意されています。
同社への取材では、パスワードレス認証に切り替えた企業で見られた運用面の変化について、次のような話が聞かれました。
導入と同時にパスワードレス認証に切り替えた企業では、IT部門の業務の約20%を占めていたパスワード関連のヘルプデスク業務が「0%」になったという事例があります。
2. Netskope One（Netskope, Inc.）
米国のNetskope, Inc.が提供するNetskope Oneは、クラウド利用の可視化・制御を出発点に、Webフィルタ、ZTNA、クラウド設定の点検などを一つのプラットフォームに統合した製品です。こうしたセキュリティ機能をクラウドに束ねた基盤をSSE、ネットワーク機能まで含めた枠組みをSASEと呼びます。同社は2025年9月にNASDAQへ上場しています。
社内システムへのゼロトラストアクセス制御に加え、社員が使っているクラウドサービスの棚卸しや、未許可の利用（シャドーIT）の検出まで一体で扱えるのが特徴です。
独自の評価データベース「Cloud Confidence Index」で多数のクラウドアプリや生成AIツールをセキュリティ・コンプライアンスの観点から格付けし、利用の可否判断に使える点も持ち味です。日本法人があり、国内の複数の販売パートナー経由で導入・運用サポートが提供されています。料金は利用者数に応じたサブスクリプションで、具体的な単価は問い合わせが必要です。
3. Forcepoint ONE（Forcepoint LLC）
クラウド利用の制御、ZTNA、Webフィルタ、情報漏えい対策、クラウドファイアウォールなどを単一のサブスクリプションに束ねたSSEプラットフォームが、米国Forcepoint LLCのForcepoint ONEです。社内システムへのゼロトラストアクセスと、自社が使うクラウドアプリの可視化・保護を一体で扱えます。
クラウドアプリごとにリスクを分類するスコアリング機能や、未許可のクラウド利用を見つけるシャドーIT対策を備え、クラウドやSaaSの設定不備を点検するCSPM／SSPMをアドオンで追加できます。
情報セキュリティの国際規格ISO/IEC 27001やSOC 2 Type 2を取得しており、製品ごとに監査レポートが用意されています。日本法人・国内代理店経由で提供され、契約には最低利用者数の条件があるため、詳細は問い合わせが必要です。
4. Cloudflare Browser Isolation（Cloudflare, Inc.）
Cloudflare Browser Isolationは、信頼できないWebサイトやアプリをCloudflareのネットワーク上で実行し、安全な画面情報だけを端末へ届けるリモートブラウザ分離（RBI）です。マルウェアやランサムウェア、ゼロデイ攻撃が端末に直接届くのを防ぎます。
VDIと同じく「手元の端末に危険を持ち込まない」発想ですが、デスクトップ全体ではなくブラウザ利用に絞っている点が異なります。
コピー＆ペーストやファイルのアップロード・ダウンロード、キーボード入力を細かく制御でき、端末に専用ソフトを入れずにリンク単位で分離できるクライアントレス展開に対応します。ゼロトラスト／SASEの枠組みであるCloudflare Oneの一機能（アドオン）として提供され、全体の一部として組み込めます。料金はCloudflare Oneの有料プランに準じ、エンタープライズはカスタム見積もりです。
5. moconavi（株式会社レコモット）
業務データを端末に残さない設計を軸にしたリモートアクセスサービスが、株式会社レコモットのmoconaviです。スマートデバイスやPCから社内システム・クラウドサービスへ安全に接続でき、業務データを端末に保持しないため、紛失時のリモートワイプ（遠隔消去）が不要で、私物端末の業務利用（BYOD）でも業務とプライベートのデータを分離して使えます。
VDIのように「手元にデータを残さない」考え方を、専用アプリで実現する方式です。
PC向けにはChromiumベースのセキュアブラウザ「mocochro」を提供し、ローカルの仮想環境（サンドボックス）でプログラムを実行することで、ウイルス感染・データ保持・持ち出しを防ぎます。MDM（モバイル端末管理）や構成プロファイルが不要で、アプリを入れるだけで業務領域を分離できるため、私物端末を管理下に置かずに安全化できます。
導入実績は1,700社以上・34万ID以上と公表され、30日間の無料トライアルが用意されています。
まとめ
リモートワークの接続方式は、社内網に入る従来型のVPNから、アクセスを都度認可するZTNA、情報を端末に残さないVDI、VPNをクラウド化したクラウドVPN、それらを統合するSASEまで、守りたいものと運用体制に応じて選べます。
利用者が増えて遅延や単一障害点が気になるならクラウドで拡張できる方式へ、侵入後の被害範囲を絞りたいならアクセスを都度認可するZTNAへ、情報を端末に残したくないならVDIやブラウザ分離へ、というのが大きな方向性です。
移行は一度に全廃を目指す必要はなく、多要素認証と不要アカウントの整理から始め、リスクの高い接続から段階的に切り替えて既存VPNと併用するのが現実的です。まずは自社の利用規模・体制に合う方式の当たりをつけ、気になるサービスの資料を取り寄せて比較してみてください。
一括ダウンロードする
よくある質問（FAQ）
Q. ゼロトラストとは何ですか？
A. ゼロトラストとは、社内・社外という「場所」で信頼を決めず、アクセスのたびに利用者や端末を検証するというセキュリティの考え方です。
「信頼せず、都度検証する」を前提に、社内網に入れば広く使えた従来の境界型防御とは逆に、アクセスできる範囲を必要な分だけに絞ります。この考え方を社外からの接続に実装した製品カテゴリがZTNA（ゼロトラスト・ネットワークアクセス）で、ゼロトラストという思想そのものとZTNAという製品名は分けて捉えると混乱がありません。
Q. リモートワークのVPNとゼロトラスト（ZTNA）は、どちらを選べばよいですか？
A. これから新しく整えるなら、アクセスを都度認可できるゼロトラスト（ZTNA／SASE）が第一候補になります。
ただし、社内システムへの接続が中心で利用者も限られるなら、まずは既存のVPNを多要素認証（MFA）とアクセス制限で固めるだけでも侵入リスクは下げられます。クラウド利用が広がりVPNの遅延や運用負担が目立ってきた段階でZTNAやクラウドVPNへ移る、という段階的な進め方が現実的です。詳しくは本文「自社に合う方式の選び方と段階的移行」で解説しています。
Q. クラウドVPN（VPNaaS）とゼロトラスト（ZTNA）は何が違いますか？
A. クラウドVPNは「VPNをクラウドで手軽に使えるようにしたもの」で社内網につなぐ発想は従来型VPNと同じですが、ZTNAは社内網に入れずアプリ単位でアクセスを都度認可する点が根本的に異なります。
クラウドVPNは自社でVPN装置を持たずに済み導入が早いため、既存のVPN運用をクラウドに寄せる移行の途中段階に向きます。一方ZTNAは、認証情報が漏れても被害が広がりにくく、テレワークやクラウド利用のように守る範囲が社内に収まらない環境に向いています。
Q. リモートワークの接続方式として、VPNとVDIは何が違いますか？
A. VPNは「社内システムへどうつなぐか」という接続の方式、VDI（仮想デスクトップ）は「どこで処理し、データをどこに置くか」という方式で、目的が異なります。
VDIはサーバー上の仮想デスクトップに接続し、画面を手元の端末に転送して操作するため、実際のデータは端末に残りません。端末の紛失時に情報が持ち出されにくく、私物端末の業務利用（BYOD）でも業務データを端末に置かずに済みます。情報を端末に残したくない業務では有力ですが、自社で仮想基盤を構築・運用する形は負担が大きく、近年はクラウド型のVDIも選択肢になっています。
Q. ゼロトラストのZTNAとSASEは何が違いますか？
A. ZTNAは社外からの接続を都度認可する単体の方式で、SASEはそのZTNAを含めてネットワーク（SD-WAN）とセキュリティをクラウドで統合した、より広い枠組みです。
ZTNAが接続そのものの置き換えに焦点を当てるのに対し、SASEはWebフィルタやクラウド利用の可視化なども含め、拠点・在宅・クラウドへの通信を一つのポリシーでまとめて管理したい場合に向きます。拠点が多く、ネットワークとセキュリティをまとめて見直したい中〜大規模の企業で選ばれやすい枠組みです。
Q. リモートワークの接続方式の費用はどのくらいかかりますか？
A. 従来型VPNは機器を購入・保守する資産購入型、ZTNA・SASE・クラウドVPNは利用者数に応じたサブスクリプション型が基本で、費用のかかり方そのものが異なります。
ZTNAやSASEの主要製品は公式サイトに定価を掲載せず、利用人数・拠点数・必要な機能に応じた見積もりを提示する形が多いため、「月額いくら」と一律には示しにくいのが実情です。
一方、クラウド型VDIのように公開単価を持つ製品もあり（たとえばAmazon WorkSpacesのWindows Standardバンドルは米国西部リージョンの一例で月額44米ドル）、こうした製品を手がかりにしつつ、見積もり前提の製品は早めに提供元へ問い合わせて自社規模での総額を確認するのが確実です。
Q. VPNだけでランサムウェアは防げますか？
A. VPNだけでランサムウェアを防ぐことはできません。むしろ、脆弱性や安易な認証情報を抱えたVPN機器自体が侵入の入口になっています。
警察庁の資料によると、ランサムウェアの感染経路はVPN機器やリモートデスクトップ用機器からの侵入が全体の8割以上を占め、その原因としてID・パスワードが安易だったことや不要なアカウントが管理されていなかったことが挙げられています。防御には、多要素認証（MFA）の導入、機器のパッチ適用、使われていないアカウントの棚卸しといった認証・運用面の対策を併せて行うことが前提になります。
出典・参考資料（1件）
Q. 既存のVPNとゼロトラストは併用できますか？
A. 既存のVPNとゼロトラストは併用でき、むしろ一度に全廃せず併用しながら段階的に移行するのが現実的な進め方です。
一度にすべてを切り替えると現場が混乱しやすいため、まず多要素認証の導入と不要アカウントの棚卸しで足元を固め、次にクラウド利用が多い業務やリスクの高い接続からZTNAへ移します。既存のVPNとしばらく併用して問題がないことを確かめながら対象を広げると、切り替え時の業務停止を避けられます。
Q. 情報システム担当がいなくても、ゼロトラストは導入できますか？
A. 情報システムの専任担当が少ない企業でも、装置の設置・保守が不要なクラウド型のサービスを選べば導入できます。
ZTNAやSASE、クラウドVPNはクラウドサービスとして提供され、自社でVPN装置を持つ必要がありません。ただし、どの利用者にどのアプリを許可するかというポリシー設計や多要素認証の整備は必要になるため、提供元や販売代理店の導入・運用サポートを活用し、無理のない範囲から始めるとよいでしょう。
社内セキュリティソリューションの料金・資料を一括チェック
MCB FinTechカタログでは、ゼロトラスト型の接続・認証やリモートアクセスを支えるサービスの最新資料を無料で一括請求できます。機能や対応範囲を並べて比較し、自社に合う方式の検討にお役立てください。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
