SASEベンダーの選び方｜主要SASE製品の機能比較とシングル・マルチベンダーの違いを解説

拠点や在宅勤務からの通信を守る仕組みとして、VPNや個別のセキュリティ製品では限界を感じ、SASE（Secure Access Service Edge）への移行を検討する企業が増えています。一方で「どのベンダーの製品を、どんな基準で選べばよいのか」という段階で迷う声は少なくありません。

SASEは提供するベンダーが多く、ネットワーク寄りの製品とセキュリティ寄りの製品で成り立ちが異なります。さらに「1社ですべてをまかなうシングルベンダーSASE」と「複数製品を組み合わせるマルチベンダー構成」という選択もあり、最初にどこを見比べればよいかが分かりにくいのが実情です。

本記事では、まず主要なSASE製品の顔ぶれを整理し、各製品が備える機能範囲を横並びで比較します。そのうえで、シングルベンダーとマルチベンダーの違い、選定で見るべき比較軸、自社に合うベンダーの絞り込み方までを解説します。自社の要件に合う候補を見極めるための判断材料としてご活用ください。

主要なSASEベンダー・製品の顔ぶれ

まず、代表的なSASE製品の顔ぶれを確認します。SASE製品は、SD-WANなどのネットワーク機能を起点に発展した系統と、SWG・CASBなどのセキュリティ機能（SSE）を起点に発展した系統に大きく分かれます。どちらの出自かによって、得意とする領域や統合の度合いが変わるため、まずは各製品がどの立ち位置にあるかを押さえると選びやすくなります。

以下は、主要なSASE製品の提供元と立ち位置の早見表です。各製品の詳細な機能範囲は、次の比較表で確認できます。ここで取り上げるのは代表的な製品で、ほかにも VMware（Broadcom）の VMware SASE、Check Point（Perimeter 81）、Aryaka などのベンダーがあります。本文に登場するSWG・ZTNA・CASBなどの略語は、後述の「SASEとSSEとは」で整理します。

SASE主要製品の機能範囲の比較

ここからは、主要なSASE製品が備える機能範囲を横並びで比較します。比較するのは、SASEの中核となるSD-WAN・SWG（セキュアWebゲートウェイ）・ZTNA（ゼロトラストネットワークアクセス）・CASB（クラウドアクセスセキュリティブローカー）・FWaaS（クラウド型ファイアウォール）・DLP（情報漏洩対策）の6つです。

各製品がこれらを自前で持つのか、別製品やオプション・連携でまかなうのかは製品ごとに異なります。同じ「対応」でも提供のされ方が違う点に注意して読み進めてください。

表の記号は、●＝自社で標準的に提供／△＝自社の別製品・オプション・上位プランで提供／×＝自前では提供なし（主軸外）を表します。

※上記は各社公式サイト・公式ドキュメントの情報に基づく一般的な傾向です。機能の提供形態やプランによる差、PoP数は、各社の最新の公表値をご確認ください。

出典・参考資料（8件）

• 参考資料：SASE｜Cato Networks公式
• 参考資料：Prisma Access｜Palo Alto Networks公式
• 参考資料：Zero Trust Exchange｜Zscaler公式
• 参考資料：Netskope One｜Netskope公式
• 参考資料：FortiSASE｜Fortinet公式
• 参考資料：Cisco Secure Access｜Cisco公式
• 参考資料：Unified SASE｜Versa Networks公式
• 参考資料：Cloudflare One（Zero Trust）｜Cloudflare公式

SASEとSSEとは｜SD-WAN起点とSSE起点の2系統を整理

ここで、SASEとSSEという用語を整理しておきます。SASE（Secure Access Service Edge）は、ネットワーク機能とセキュリティ機能をクラウド上のサービスとして統合し、拠点・在宅・モバイルのどこからの通信でも同じ基準で保護する考え方です。調査会社のGartnerが2019年に提唱した概念で、どこからアクセスしても一貫したポリシーを適用するという発想が土台にあります。

SSE（Security Service Edge）は、SASEのうちセキュリティ機能に当たる部分をまとめた概念で、Gartnerが2021年に定義しました。中心となるのはSWG・CASB・ZTNAといったクラウド型のセキュリティ機能で、FWaaSを含めて整理されることもあります。

SSEはSASEを構成するセキュリティ側のサブセットにあたり、SD-WANなどのネットワーク機能と組み合わせることでSASEが完成する、という関係にあります。

この2系統の整理が、ベンダー選びの土台になります。SD-WANなどネットワーク機能を起点に発展したベンダーは、拠点間通信や回線の最適化に強みを持ちます。SWG・CASBなどセキュリティ機能（SSE）を起点に発展したベンダーは、クラウド利用の保護やアクセス制御に強みを持つ傾向があります。自社がネットワークとセキュリティのどちらの課題から入るかで、適した起点が変わります。

出典・参考資料（2件）

• 参考資料：Secure Access Service Edge (SASE)｜Gartner Glossary
• 参考資料：Security Service Edge (SSE)｜Gartner Glossary

シングルベンダーSASEとマルチベンダー（SSE＋SD-WAN）の違いと向き不向き

SASEの導入で最初に突き当たる分岐が、1社の製品でネットワークとセキュリティをまとめる「シングルベンダーSASE」と、SSE製品とSD-WAN製品を別々のベンダーで組み合わせる「マルチベンダー構成」のどちらを選ぶかです。両者は管理のしやすさと構成の自由度のバランスが異なります。

シングルベンダーSASEは、ネットワークとセキュリティを一つの基盤で提供するため、管理コンソール・ポリシー・ログが一元化され、拠点や接続経路によらず同じ機能を同じ品質で適用しやすいのが利点です。一方で、特定の機能だけを別の優れた製品に差し替える柔軟性は下がります。

マルチベンダー構成は、各領域で自社に合う製品を個別に選べる自由度がある反面、管理画面やポリシーが製品ごとに分かれ、運用が複雑になりやすい傾向があります。具体的には、外部向け通信はSWG、社内やクラウドへのアクセスはZTNA、拠点間はSD-WANと、通信の宛先ごとに別々の製品で保護することになります。そのため製品間でポリシーやログが分断しやすく、各製品が受け持つ範囲のつなぎ目で保護が抜けないよう、カバー範囲を確認する必要があります。シングルベンダーSASEは、これらを同じ基盤で一貫して適用できる点が強みになります。

判断の軸は、通信パターンの統一性（外部向け・データセンター向け・拠点間通信に同じ保護を適用できるか）、セキュリティ機能の網羅性（すべての接続点で必要な機能が使えるか）、運用管理の簡素さ（管理するコンポーネントが少なく統合されているか）の3点に整理できます。以下に、両構成の向き不向きをまとめます。

それぞれのメリット・デメリット

シングルベンダーSASEのメリットは、統合による運用のしやすさです。機能追加が同じ基盤の中で完結しやすく、全拠点で同じ機能と品質を提供しやすい点が評価されます。ただし「シングルベンダー」をうたう製品でも統合の度合いには差があり、実際に一元管理できるかは製品ごとに確認が必要です（詳しくは後述の選び方の軸で解説します）。

マルチベンダー構成のメリットは、各領域で最適な製品を選べる自由度です。すでに特定ベンダーのSD-WANやセキュリティ製品を導入している場合、それを活かしながら不足機能を補えます。

デメリットは、製品ごとに管理・ポリシーが分かれることによる運用の煩雑さと、地域や通信経路によって一部機能が使えないといった適用範囲のばらつきが生じやすい点です。また、複数の製品を直列につなぐ構成では、通信が各製品を通るたびに復号・検査・再暗号化を繰り返すため、処理が重なって遅延が生じやすくなります。単一のエンジンで一度に検査する統合型と比べ、この処理の重なりが性能差として表れることがあります。どちらが正解ということはなく、自社の運用体制と既存資産に合わせて選ぶことになります。

SASEベンダーを選ぶ5つの比較軸

ここからは、SASEベンダーを比較するときに見るべき5つの軸を解説します。いずれも、導入後の「思っていた使い方ができない」というつまずきを避けるための観点です。

機能範囲は自社の必要をカバーしているか

SWG・ZTNA・CASB・FWaaS・SD-WAN・DLPのうち、自社が必要とする機能を自前でカバーしているかが最初の確認ポイントです。同じ「対応」でも、標準機能として備えるのか、オプションや別製品の追加が必要なのか、他社製品との連携でまかなうのかで、費用と運用の手間が変わります。

必要な機能を書き出し、各製品がどの提供形態でそれを満たすかを照らし合わせると、見かけの機能数に惑わされずに比べられます。

PoPの配置とネットワークパフォーマンスは十分か

SASEは世界各地のPoP（接続拠点）を経由して通信を処理するため、PoPの数と配置が通信速度や安定性に直結します。特に海外拠点を持つ企業では、拠点の近くにPoPがあるか、地域によって一部のセキュリティ機能が使えない制約がないかが重要です。

地域でCASBなど一部機能が使えず、トラフィックを遠回りさせて非効率になるといった失敗を避けるため、自社の拠点分布とPoPの配置を重ね合わせて見ておくと安全です。あわせて、PoPの数だけでなく、PoP間を結ぶ自社専用のバックボーン（品質を保証するプライベート網）を持つ製品かどうかも性能を左右します。公衆インターネット経由で中継する構成に比べ、遅延や安定性で有利になりやすいためです。

管理コンソール・ポリシー・ログは統合されているか

日々の運用を左右するのが、管理のしやすさです。管理コンソールが一つにまとまっているか、ポリシーを一度設定すればすべての接続点に適用されるか、ログが一元的に確認できるかがポイントになります。シングルベンダーをうたう製品でも、実際にはコンソールが機能ごとに分かれているケースがあるため、単一のエンジン・単一の画面で運用できるかを具体的に確かめると、導入後の運用負荷を見積もりやすくなります。

運用体制は自社運用かマネージドか

SASEは導入して終わりではなく、ポリシーの調整やインシデント対応といった継続的な運用が必要です。社内に運用の手が足りない場合は、ベンダーや販売代理店が運用を代行する「マネージドSASE」の提供があるかが重要な判断材料になります。自社で運用するのか、一部または全部を任せるのかを先に決めておくと、提供形態の合うベンダーに絞り込めます。

提供形態・契約は自社に合うか

直販か代理店経由か、ライセンスの体系やユーザー数の単位、クラウド提供かオンプレミス併用かといった提供形態も見ておきたい点です。SASEの料金は公開されていないことが多く、ユーザー数や拠点数、必要な機能の範囲によって見積もりが変わります。自社の規模と要件を整理したうえで、複数のベンダーに資料請求や見積もりを依頼して比べるのが確実です。

SASEベンダーの多くは海外発のため、日本法人や販売代理店の有無、日本語サポートの対応範囲、マネージド運用（代理店やSIerによる運用代行）の提供可否も、国内で使ううえで重要な確認ポイントになります。これらは製品ページだけでは分かりにくいため、資料請求や問い合わせで確かめておくと安心です。あわせて、導入社数や提供年数といったセキュリティ分野での実績や、製品を継続的に開発・改善してきた経緯のあるベンダーかどうかも、長く使い続ける観点では判断材料になります。

自社に合うSASEベンダーの絞り込み方

最後に、ここまでの比較軸を自社の状況に当てはめ、候補を2〜3社に絞る進め方を整理します。すべての製品を同じ深さで比べるのは現実的ではないため、自社の条件で候補を素早く絞り込み、残った製品の資料を取り寄せて具体的に検討するのが効率的です。

まず押さえたいのが、拠点数と海外拠点の有無です。国内中心であればPoPの配置はそれほど問題になりませんが、海外拠点が多い場合は比較表の「PoP」列でグローバルに配置が広い製品が候補になります。

次に、既存のネットワーク機器やセキュリティ製品を活かしたいかで方向が分かれます。活かしたいなら、比較表の「起点」列で既存環境に近い系統の製品やマルチベンダー構成が有力です。一から統一したいなら、シングルベンダーSASEが選びやすくなります。

そして、社内に運用の手があるかも分かれ目です。運用の手が限られる場合は、マネージドSASEを提供するベンダーや代理店を選ぶと、導入後の負担を抑えられます。

この3点（拠点分布・既存資産・運用体制）で候補を絞り込んだうえで、比較表の機能範囲とPoPの列を突き合わせると、自社に合うベンダーはおのずと2〜3社に絞られます。あとは各社の資料を取り寄せ、料金・国内の提供体制・細かな機能を見積もりで確かめて決めれば、選定は進みます。特に海外拠点の通信性能など、資料だけでは判断しにくい要素は、候補を絞ったあとにPoC（試験導入）で実際の拠点から通信速度や使い勝手を検証します。そのうえで最終決定すると、導入後のミスマッチを防げます。

SASE導入を支えるゼロトラスト型アクセス制御サービス

SASEへの移行は、拠点や在宅からのアクセスを「誰が・どの端末で・どこから」まで確かめて制御する、ゼロトラストの考え方への移行でもあります。SASE製品は各社から直接導入することになりますが、その土台となるログイン時の本人確認や端末単位のアクセス制御は、並行して強化しておくことで移行後の安全性を高められます。

ここでは、認証・アクセス制御の面からSASEを支える、資料請求して比較できるサービスを紹介します。

SASEやゼロトラスト型のアクセス制御は、社内を守る数ある対策の一部です。データ・端末・ネットワーク・人といった守る対象ごとに、どんなソリューションがあるかを俯瞰して自社に必要な対策を全体から検討したい場合は、以下の記事もあわせてご覧ください。

CloudGate UNO（株式会社インターナショナルシステムリサーチ）

CloudGate UNOは、ゼロトラストの考え方に基づくシングルサインオン（SSO）を中心に、多要素認証・アクセス制限・ID管理を一つの基盤に統合したクラウド型のアイデンティティ管理サービスです。一度の認証で複数のクラウドサービスへ安全にアクセスでき、SASEが目指す「アクセスのたびに正しさを確かめる」仕組みを認証の面から支えます。

特徴的なのは、端末・場所・時間の3つの軸で細かくアクセスを制限できる点です。私用端末からのアクセス禁止、特定拠点のみ許可、業務時間外のアクセス制御などを設定でき、拠点と在宅の両方で一貫した制御を適用できます。

認証方式は、フィッシング攻撃への耐性が高いパスキー（FIDO2）によるパスワードレス認証を全プランで利用でき、一般的なSMS認証やワンタイムパスワードを狙う攻撃にも強い環境を整えられます。ISMS（ISO/IEC 27001）を取得しており、国産の自社開発で日本語によるサポート体制を備えている点も、運用の手が限られる企業にとって選びやすい要素です。

パスワードレス認証への切り替えが運用面にもたらす変化について、提供元の株式会社インターナショナルシステムリサーチはインタビューで次のように述べています。

CloudGate UNOのように、SSOとID管理・多要素認証を一つの基盤に統合したクラウドサービスはIDaaSと呼ばれ、ほかにも複数の選択肢があります。各サービスの機能や料金を見比べて自社の認証基盤を選びたい場合は、以下の比較記事が参考になります。

YubiKey as a Service（株式会社インターナショナルシステムリサーチ）

フィッシング耐性の高い物理セキュリティキー「YubiKey」を、キー本体の提供だけでなく導入支援や継続サポートまで含めてサブスクリプション形式で利用できるのが、YubiKey as a Serviceです。買い切りではなく、製品とサポートを一体で提供する形をとっている点が特徴です。

SASEやゼロトラストの環境では、ログイン時の本人確認をいかに破られにくくするかが要になります。物理的なセキュリティキーによる認証は、パスワードやSMSを狙う攻撃に対して強い耐性を持ち、ゼロトラスト型のアクセス制御と組み合わせることで本人確認を一段と確実にできます。

契約期間中の長期製品保証、毎年一定数の無償予備キー提供、専用の優先サポート窓口など、全社展開の運用負荷を抑える仕組みがそろっています。CloudGate UNOと組み合わせて、パスワードレス環境を整える使い方にも適しています。

ゼロトラストにおいて認証の強化がどのような位置づけになるのか、提供元の株式会社インターナショナルシステムリサーチはインタビューで次のように語っています。

ログイン時の本人確認を担う多要素認証（MFA）には、物理セキュリティキーのほかにアプリ認証・生体認証・ワンタイムパスワードなどの方式があります。方式ごとの違いや製品を比較して自社に合う認証を選びたい場合は、以下の記事もご覧ください。

まとめ

SASEベンダーを選ぶときは、まず主要製品の顔ぶれと、各製品がネットワーク起点かセキュリティ起点かという立ち位置を押さえることから始めます。そのうえで、SWG・ZTNA・CASB・FWaaS・SD-WAN・DLPの機能範囲を自社の必要と照らし合わせ、シングルベンダーでまとめるかマルチベンダーで組み合わせるかを決めていきます。

比較の軸は、機能範囲・PoP配置とパフォーマンス・管理の統合度・運用体制・提供形態の5つです。拠点分布・既存資産・運用の手の3点で候補を絞り込み、残った製品の資料を取り寄せて料金と細かな機能を確認すれば、自社に合うSASEベンダーを無理なく選べます。SASE製品の選定と並行して、ゼロトラスト型のアクセス制御・認証サービスを整えることで、移行後の安全性をさらに高められます。

よくあるご質問（FAQ）

Q. SASE（Secure Access Service Edge）とは何ですか？

A. SASEとは、ネットワーク機能とセキュリティ機能をクラウド上のサービスとして統合し、拠点・在宅・モバイルのどこからの通信でも同じ基準で保護する考え方です。調査会社のGartnerが2019年に提唱した概念です。

SWG・ZTNA・CASB・FWaaSといったセキュリティ機能と、SD-WANなどのネットワーク機能を一つの基盤でまかなう点が特徴です。VPNや個別製品を組み合わせる従来型に比べ、どこからアクセスしても一貫したポリシーを適用しやすくなります。

Q. SASEとSSEの違いは何ですか？

A. SASEとSSEの違いは、SASEがネットワーク機能とセキュリティ機能の両方を含む概念であるのに対し、SSE（Security Service Edge）はそのうちセキュリティ機能だけを取り出した概念である点です。

SSEの中心はSWG・CASB・ZTNAといったクラウド型のセキュリティ機能で、FWaaSを含めて整理されることもあります。このSSEにSD-WANなどのネットワーク機能を組み合わせることでSASEが完成する、という関係にあります。

Q. シングルベンダーSASEは本当に1社ですべてをまかなえますか？

A. シングルベンダーSASEでも、「1社が提供している」ことと「本当に統合されている」ことは別物で、確認が必要です。製品によっては、買収などで加えた機能の管理コンソール・ポリシー・ログが、実際には分かれている場合があります。単一のエンジン・単一の画面で運用でき、ログが一元的に確認できるかを具体的に確かめると、見かけ上の統合と本当の統合を見分けられます。

Q. 国内中心・中小規模の企業でもSASEは必要ですか？

A. SASEが必要かどうかは、企業規模よりも、拠点や在宅からの通信をどう守るかという課題の有無で決まります。VPNが同時接続や速度で限界に達している、拠点と在宅で守り方がバラバラ、SWG・ZTNA・CASBを別々の製品で入れて運用が煩雑、といった状況があれば、規模にかかわらず検討する価値があります。

国内中心の企業であれば、海外PoPの配置はそれほど問題になりにくく、機能範囲と運用のしやすさを軸に選ぶとよいでしょう。

Q. 既存のVPNやSD-WANからSASEへ乗り換えるべきですか？

A. SASEへ乗り換えるべきかは一律には決まらず、既存資産を活かしたいならマルチベンダー構成、一から統一したいならシングルベンダーSASE、という選び分けになります。すでに特定ベンダーのSD-WANやセキュリティ製品を導入しているなら、それを活かしながら不足機能を補うマルチベンダー構成が現実的です。

VPNの限界や複数製品の運用負荷が課題であれば、まず拠点分布・既存機器・運用の手を整理し、候補を2〜3社に絞って資料や見積もりで比較すると判断しやすくなります。

Q. SASEの料金相場はどのくらいですか？

A. SASEの料金は公開されていないことが多く、ユーザー数・拠点数・必要な機能範囲によって変わるため、「要お問い合わせ」が基本です。同じ製品でも、必要な機能を標準で備えるのか、オプションや別製品の追加が必要なのかで費用が変わります。自社の規模と要件を整理したうえで、複数のベンダーに資料請求や見積もりを依頼して比べるのが確実です。

Q. SASEで使われるZTNAとVPNの違いは何ですか？

A. ZTNA（ゼロトラストネットワークアクセス）とVPNの違いは、ZTNAがアクセスのたびに利用者・端末・状況を確かめて必要な範囲だけを許可するのに対し、VPNは一度接続すると社内ネットワーク全体へ到達しやすい点です。

SASEはこのZTNAを中核機能の一つとして備え、「誰が・どの端末で・どこから」まで確かめて制御するゼロトラストの考え方に沿ってアクセスを守ります。拠点と在宅のどちらからの接続でも、同じ基準で最小限のアクセスだけを許可できるのが特徴です。

Q. マネージドSASEとは何ですか？自社運用とどう選べばよいですか？

A. マネージドSASEとは、ベンダーや販売代理店が、ポリシー調整やインシデント対応といったSASEの運用を代行する提供形態です。SASEは導入して終わりではなく継続的な運用が必要なため、社内に運用の手が足りない場合はマネージドSASEが有力な選択肢になります。自社で運用するのか、一部または全部を任せるのかを先に決めておくと、提供形態の合うベンダーに絞り込みやすくなります。

社内セキュリティソリューションの料金・資料を一括チェック

MCB FinTechカタログでは、ゼロトラスト型のアクセス制御・認証をはじめとする社内セキュリティソリューションの最新資料を無料で一括請求できます。機能や料金、サポート体制を比べながら、自社に合うサービスを検討できます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。