テレワークやクラウドサービスの利用が当たり前になり、社員が社外から業務システムへアクセスする場面が増えました。こうした変化のなかで、「社内は安全・社外は危険」という前提に立った従来のセキュリティの考え方が通用しにくくなり、「ゼロトラスト」という言葉を見聞きする機会が増えています。
とはいえ、ゼロトラストが具体的に何を指すのか、これまでの守り方と何が違うのか、自社は何から手を付ければよいのかは、専門用語が多くて分かりにくく感じるかもしれません。
本記事では、ゼロトラストの意味を専門用語をかみ砕きながら解説します。境界型防御との違いや、実際に何をするのか（4つの領域）、拠りどころとなる公的な考え方、そして何から始めればよいかまでを整理しました。自社のセキュリティ対策を見直す出発点としてご活用ください。
目次
一括ダウンロードする
ゼロトラストとは？「社内も社外も信頼しない」考え方
ここからは、ゼロトラストという言葉の意味を結論からお伝えします。
ゼロトラストとは、社内も社外も安全だと決めつけず、誰のどのアクセスも毎回、本人・端末・権限を確かめてから通す、という考え方です。「信頼（トラスト）をゼロから出発する」という名前のとおり、「社内ネットワークの中にいるから信頼する」という前提を置かないのが出発点になります。
これは特定の製品の名前ではなく、セキュリティ全体の設計方針を指す言葉です。米国立標準技術研究所（NIST）がまとめた文書「NIST SP800-207」では、ゼロトラストを「資産やユーザーアカウントに対して、その所在するネットワークの場所や所有者だけを根拠にした暗黙の信頼を与えない」考え方と定義しています。日本でも、デジタル庁が政府情報システム向けの方針として次のように整理しています。
ゼロトラストアーキテクチャは、クラウド活用や働き方の多様化で増大する脅威に適合するために、政府情報システムの内部における攻撃者の自由な行動を阻害しようとするセキュリティ対策の考え方である。
出典：ゼロトラストアーキテクチャ適用方針（DS-210）｜デジタル庁
この定義は政府情報システムを対象にした文ですが、「増大する脅威に合わせて、内部での攻撃者の動きを抑え込む」という考え方自体は、一般企業のセキュリティ対策にもそのまま当てはまります。
出典・参考資料（2件）
ゼロトラストと境界型防御は何が違うのか
続いて、これまで主流だった「境界型防御」との違いを見ていきます。両者の考え方の違いは、次のように整理できます。
境界型防御とは、社内ネットワークと外部との境目にファイアウォールなどの壁を設け、「内側は信頼できる、外側は信頼できない」と分けて守る考え方です。デジタル庁も、境界型セキュリティを次のように説明しています。
境界型セキュリティとは、境界で内側と外側を遮断して外部からの攻撃や内部からの情報流出の防止を試みる考え方であり、ネットワークを用いた実装が基本となる。境界型セキュリティは「信頼できないもの」が内部に入り込まない、また内部には「信頼できるもの」のみが存在することが前提となるが、標的型攻撃や内部犯行などの事例から本手法は限界があると言われ、ゼロトラストアーキテクチャとの比較対象とされることが多い。
出典：ゼロトラストアーキテクチャ適用方針（DS-210）｜デジタル庁
両者の違いを、いくつかの観点で並べると次のようになります。
| 観点 | 信頼の前提 | 主に守る対象 | 在宅・クラウド利用での効き方 | 認証のタイミング |
|---|---|---|---|---|
| 従来の境界型防御 | 社内ネットワークの中にいれば信頼する | 社内と社外を分ける「境界（ネットワーク）」 | 社外から直接クラウドを使うと境界の外になり、守りが届きにくい | 入口で一度認証すれば、中では比較的自由に動ける |
| ゼロトラスト | 社内・社外を問わず、アクセスのたびに検証する | データ・端末・アカウントなどの「リソース」そのもの | 場所を問わず同じ基準で検証するため、在宅やクラウド利用でも効く | リソースごと・接続ごとに、その都度認証・認可する |
NIST SP800-207 も、ゼロトラストは「ネットワークの区画ではなく、リソース（資産・サービス・ワークフローなど）を守ることに焦点を当てる」と述べています。守る対象が「ネットワークの場所」から「データや端末そのもの」へ移るのが、発想の大きな転換点です。
ただし、ゼロトラストは境界型防御を全否定するものではありません。デジタル庁の方針も「ゼロトラストアーキテクチャは境界型セキュリティとネットワークベースのセキュリティ対策を否定するものではない」と明記しています。これまでの対策を土台にしつつ、「社内だから安全」という前提だけに頼らない形へ見直す、と捉えるのが実態に近いといえます。
出典・参考資料（2件）
なぜ今ゼロトラストが必要なのか
ゼロトラストが近年あらためて注目されるのは、なぜでしょうか。その背景を整理します。
第一に、テレワークの広がりです。総務省の「令和7年通信利用動向調査」によると、テレワークを導入している企業の割合は50.1％となり、前年より増加しました（この調査の対象は常用雇用者が100人以上の企業です）。社員が社外から業務システムへつなぐことが一般的になり、「社内ネットワークの中にいる人だけを信頼する」前提が成り立ちにくくなっています。
第二に、クラウドサービスの利用拡大です。業務データが自社の社内ネットワークの外（クラウド）に置かれ、社外から直接アクセスされる場面が増えると、守るべき範囲は「社内」の枠に収まらなくなります。デジタル庁も「テレワークの推進によりこの流れはより強化され、イントラネット外の業務環境を前提としたサイバーセキュリティ対策を実施する必要がある」と指摘しています。
第三に、サイバー攻撃の高度化です。デジタル庁は「近年の高度化したサイバー攻撃を完全に予防・防御することは、従来の考え方と対策だけでは困難になってきた」と述べています。入口で防ぎきれない前提に立ち、万一内部に侵入されても被害を広げさせない発想が求められています。
第四に、「シャドーIT」の広がりです。会社が把握していないIT機器やクラウドサービスを従業員が業務で使うと、管理の目が届かず、境界の内側に死角が生まれます。
こうした流れは日本だけのものではありません。米国では2021年の大統領令14028（Executive Order 14028）が連邦政府にゼロトラストアーキテクチャへの移行を求め、NISTが示した手順に沿って各省庁が実装を進めています。日本のデジタル庁の方針も、この国際的な動きを踏まえて整理されたものです。
自社がテレワーク・クラウド利用・複数拠点のいずれかに当てはまるなら、ゼロトラストは「大企業や官公庁だけの話」ではなく、検討に値するテーマだといえます。
出典・参考資料（3件）
ゼロトラストは具体的に何をするのか（4つの領域）
「アクセスのたびに確かめる」を、実際にはどう実現するのでしょうか。守る対象は、公的な整理（デジタル庁のリソース分類やCISAの成熟度モデル）をもとにすると、ID・認証／端末／社内ネットワーク・通信／クラウド・データの4つの領域に分けられます。それぞれで何をするのかを順に見ていきます。
① ID・認証：誰のアクセスかを毎回確かめる
最初の領域は、「アクセスしてきたのが本当に本人か」を確かめる仕組みです。IDとパスワードだけでは、盗まれれば他人になりすまされてしまいます。そこで多要素認証（MFA＝ID・パスワードに加え、スマホのワンタイムコードや指紋などもう一つの要素で本人確認する方式）を組み合わせ、本人である確からしさを高めます。
こうしたID管理を一元化する仕組みがIDaaS（アイダース＝Identity as a Service、クラウドで提供されるID管理サービス）です。複数のクラウドサービスへ一度の認証でアクセスできるシングルサインオン（SSO）や、役職・端末の状態に応じてアクセスを許可・制限する機能をまとめて担います。
NIST SP800-207も、認証と認可はアクセスを許す前に動的かつ厳格に行う、と原則に挙げています。
② 端末：使っている機器が安全かを確かめる
次の領域は、アクセスに使われるPCやスマートフォンそのものの安全性です。本人確認ができても、その端末がマルウェアに感染していては安全とはいえません。
ここで使われるのがEDR（イーディーアール＝Endpoint Detection and Response、端末上の不審な挙動を検知して対応する仕組み）です。侵入を防ぐだけでなく、入られた後の怪しい動きを捉えて対処します。
あわせてMDM（エムディーエム＝Mobile Device Management、スマホやPCの設定・状態を管理者がまとめて管理する仕組み）で、端末が決められた安全基準を満たしているかを確認します。
③ 社内ネットワーク・通信の出入口：どの通信も検査してから通す
3つ目は、通信そのものを検査する領域です。ゼロトラストでは社内の通信も「信頼済み」とはみなさず、出入りする通信を確認します。
代表例が、Webアクセスを安全に中継するSWG（エスダブリュージー＝Secure Web Gateway、危険なサイトへの通信を遮断する関所のような仕組み）や、社内全体ではなく必要なアプリだけに安全につなぐZTNA（ゼットティーエヌエー＝Zero Trust Network Access）です。
クラウドの利用状況を見える化・制御するCASB（キャスビー＝Cloud Access Security Broker）も使われます。
こうしたアルファベットの名前はすべて覚える必要はなく、「社内外を行き来する通信を、検査してから通す製品群がある」と押さえれば十分です。
あわせて、社内ネットワークを流れる通信そのものを記録・監視し、不審な動きを見つけるNDR（エヌディーアール＝Network Detection and Response、通信を監視して脅威を検知・対応する仕組み）も、この領域の対策にあたります。
④ クラウド・データ：大事なデータそのものを守る
最後は、守る対象の中心であるデータそのものです。ID・端末・通信の対策をすり抜けられても、データが暗号化され、持ち出しや不正なコピーを防ぐ仕組みがあれば、被害を抑えられます。
具体的には、データの暗号化やアクセス権限の細かな設定、機密情報の持ち出しを検知・制御する仕組み、そして端末本体にデータを残さないようにする方法などがあります。クラウド上のデータについても、誰がいつアクセスしたかを記録し、不審なアクセスを見つけられるようにします。
出典・参考資料（2件）
ゼロトラストを支える構成要素と7つの原則
ここまでの4領域は、思いつきで並べたものではなく、公的な設計図に沿った整理です。ここでは、その拠りどころを紹介します。
ゼロトラストを構成する要素
米国のサイバーセキュリティ・インフラセキュリティ庁（CISA）がまとめた「Zero Trust Maturity Model（ゼロトラスト成熟度モデル）」では、ゼロトラストを支える柱として、アイデンティティ（ID）・デバイス（端末）・ネットワーク・アプリケーションとワークロード・データの5つを挙げています。
さらに、これらの柱を横断する能力として、可視化と分析・自動化・ガバナンス（管理の仕組み）が加わります。先ほどの4領域は、この柱立てを初学者向けにかみ砕いたものにあたります。
拠りどころとなる NIST SP800-207 の「7つの原則」
ゼロトラストの考え方は、NIST SP800-207が「7つの基本原則」として体系化しています。先ほどの「構成要素（柱）」とは別物で、こちらは守り方の原則をまとめたものです。要点だけをやさしく言い換えると、次のような内容です。
- データもサービスも、守るべき「リソース」として扱う
- 通信は、ネットワークの場所にかかわらず安全に保護する
- リソースへのアクセスは、接続ごとに許可する
- アクセスの可否は、利用者・端末・状況などから動的に判断する
- すべての機器の状態を継続的に監視・評価する
- 認証と認可は、アクセスを許す前に動的かつ厳格に行う
- 資産や通信の状態をできる限り集め、守りの改善に役立てる
「アクセスのたびに確かめる」「場所で信頼しない」というゼロトラストの姿勢が、これらの原則に表れています。細部まで覚える必要はありませんが、こうした公的な設計図に基づいている点を押さえておくと、個々の対策の位置づけが理解しやすくなります。
ここまで「4つの領域」「5つの柱」「7つの原則」と数字が出てきましたが、領域は実務上の分け方、柱は公的な分類、原則は守り方のルールと、役割が違うだけです。どれか一つを丸暗記する必要はありません。
出典・参考資料（3件）
ここまでで考え方の全体像はつかめたはずです。仕組みや実現技術をもう一段踏み込んで知りたい方は、次の記事で詳しく解説しています。
何から始めればいい？ゼロトラスト導入の進め方
ここからは、実際に自社で取り組む場合の進め方を整理します。まず押さえておきたいのは、ゼロトラストは一つの製品を入れれば完成するものではない、という点です。デジタル庁も導入の進め方について次のように述べています。
「ゼロトラストアーキテクチャの適用」は一過性なプロジェクトではなく、ましてや単一のソリューションを導入したことで完了するものでもない。
出典：ゼロトラストアーキテクチャ適用方針（DS-210）｜デジタル庁
デジタル庁が示す適用プロセスは、おおまかに「守るべきリソースや業務フローを洗い出す→影響の大きさから優先順位を決める→実装・導入を進める→運用して観測する→評価して改善する」という流れです。これは政府情報システムを対象にした手順ですが、同じ順序を自社の規模に合わせて踏むことで、無理なく着手できます。
現実的には、次の順で考えると進めやすくなります。
- 現状を可視化する：どのデータ・端末・クラウドサービスを、誰がどこから使っているかを棚卸しします。
- 優先順位を決める：守れないと影響が大きいもの、リスクの高いところから手を付けます。多くの場合、入口となるID・認証の強化（多要素認証の導入など）が取り組みやすい第一歩です。
- 段階的に導入する：ID・端末・通信・データの各領域へ順に広げ、運用しながら見直します。
進めるうえでのつまずきも知っておくと安心です。認証を強化すると、その分だけログインの手間が増え、利用者の負担になることがあります。既存の仕組みとの兼ね合いの調整や、導入後に設定を継続的に見直す運用の手間も生じます。だからこそ、一度に全部を目指さず、優先順位を決めて段階的に進めることが現実的です。
出典・参考資料（1件）
一括ダウンロードする
ゼロトラストを実現するサービスと最初の一歩
ここからは、先ほどの4領域に対応する具体的なサービスを紹介します。ゼロトラストは一つの製品で完結しないため、「誰のアクセスかを確かめるID基盤」「端末を守る仕組み」「社内通信を監視する仕組み」「データを端末に残さない仕組み」といった形で、守りたい領域ごとに組み合わせていくことになります。自社の優先順位に合わせて、第一歩を選ぶ参考にしてください。
以下は、ご紹介するサービスの比較表です。
| サービス名 | CloudGate UNO | Eye"247" Safety Zone | Network Blackbox | Shadow Desktop |
|---|---|---|---|---|
| 守る領域 | ① ID・認証 | ② 端末 | ③ 社内ネットワーク・通信 | ④ クラウド・データ |
| 製品の種類 | IDaaS（ID基盤） | EPP＋EDR（端末防御） | NDR（通信の監視） | データレスクライアント |
| 主な役割 | SSO・多要素認証で 誰のアクセスかを毎回確認 | PCを マルウェアから防御・検知 | 社内の全通信を記録・監視し 不審な動きを検知・調査 | PCにデータを残さず 紛失・盗難時の漏洩を防止 |
| 提供会社 | 株式会社インターナショナル システムリサーチ | 株式会社フーバーブレイン | 株式会社クワッドマイナージャパン | アップデータ株式会社 |
| 月額費用（税抜） | 400円〜／ユーザー | 要問い合わせ | 要問い合わせ | 950円〜／ユーザー |
| 詳細情報 | 公式資料を見る | 公式資料を見る | 公式資料を見る | オンライン相談を予約 |
1. CloudGate UNO（株式会社インターナショナルシステムリサーチ）
株式会社インターナショナルシステムリサーチが100％自社開発する、クラウド型のID基盤（IDaaS）です。
一度の認証で複数のクラウドサービスへアクセスできるシングルサインオン（SSO）に、多要素認証やパスキー（FIDO2準拠のパスワードレス認証）、場所・デバイス・時間によるアクセス制限を組み合わせたサービスです。公式には「ゼロトラスト時代のSSO・アクセス制限・認証強化・ID管理プラットフォーム」と位置づけられています。
全プランでパスキー認証を無制限に利用でき、役職や利用環境、端末の状態に応じて認証方式を動的に切り替える「セキュリティプロファイル」を備えます。
直近1年間で年間1億回以上の認証実績と99.99％の稼働率を公表しています。国産の自社開発で、日本語サポートにも対応します。「誰のアクセスかを毎回確かめる」という、ゼロトラストの入口にあたるサービスです。
認証を強化するといっても、その方式によって攻撃への耐性には差があります。提供元の株式会社インターナショナルシステムリサーチは、パスワードレス認証（パスキー）の位置づけを次のように説明しています。
当社が採用しているパスキーのパスワードレス認証は、フィッシング攻撃に対して非常に強い耐性を持ちます。SMS認証やワンタイムパスワードなどの一般的な多要素認証を突破する攻撃手法が顕在化する中、より安全な認証環境を提供します。
2. Eye”247″ Safety Zone（株式会社フーバーブレイン）
端末を守るEPP（Endpoint Protection Platform、マルウェアの侵入を防ぐ仕組み）と、侵入後に対応するEDRを1本に組み合わせた、株式会社フーバーブレインのエンドポイントセキュリティソフトです。Bitdefenderと共同開発した検知エンジンを採用しています。
アプリケーションの動作を常時監視する振る舞い検知に加え、ランサムウェアの動きを捉えるとファイルを自動でバックアップし、直近の状態へ復元できる機能を備えます。ブラウザから各PCの状況を一元管理でき、専任の担当者を置きにくい中堅・中小企業での利用も想定されています。「使っている機器が安全か」を確かめる、端末側のゼロトラスト対策にあたります。
3. Network Blackbox（株式会社クワッドマイナージャパン）
社内ネットワークを流れる全てのパケット（通信データ）を収集し、脅威を可視化・分析するNDR製品です。株式会社クワッドマイナージャパンが提供し、収集・検知・ハンティング・フォレンジック（事後の痕跡調査）・対応の5つの機能を1製品に備えます。
通信そのものを保存するため、不審な動きが見つかった後に「いつ・どの通信で何が起きたか」をパケット単位でさかのぼって調べられる点が持ち味です。監視対象の端末にソフトを入れないミラーリング方式で導入するため、ネットワークへの負荷を抑えられます。「社内の通信も信頼せず検査する」というゼロトラストの考え方を、通信を監視する側から支える製品です。
4. Shadow Desktop（アップデータ株式会社）
PC内のデスクトップやドキュメントなどのデータを自動でクラウドへ預け、PC本体にデータを残さない状態をつくる「データレスクライアント」です。アップデータ株式会社が提供し、OSやアプリは仮想化しないため、通常のPCと同じ操作感のまま使えます。
開いたファイルは暗号化（AES256bit）された一時キャッシュとして扱われ、ファイル名も変換されるため、PCの紛失・盗難時にディスクを取り出されても中身を読み取れない設計です。シャットダウン時にはキャッシュが削除され、紛失時は管理画面から該当PCの利用を停止できます。「大事なデータを端末に残さない」という観点から、ゼロトラストを補完します。
ここで紹介したのは4領域それぞれの代表例です。守る対象ごとにどんなタイプのサービスがあり、どう選べばよいかを一覧で比較したい方は、次の記事で守る対象別に整理しています。
社内セキュリティソリューション比較｜守る対象別のタイプ・代表サービスと選び方
社内のセキュリティを強化したいものの、端末の保護から不正アクセス対策、情報漏えいの防止まで課題が広く、何から手をつければよいか判断がつかないという声は少なくありません。テレワークやクラウド利用が定着し、社外に持ち出される端末やIDが増えたこ…
まとめ
ゼロトラストとは、社内も社外も安全だと決めつけず、アクセスのたびに本人・端末・権限を確かめる考え方です。「社内は安全」という前提に立つ従来の境界型防御に対し、守る対象をネットワークの場所からデータや端末そのものへ移すのが大きな違いでした。
テレワークやクラウド利用が広がり、攻撃も高度化した今、ゼロトラストは官公庁や大企業だけのテーマではありません。実現にあたっては、ID・認証、端末、社内の通信、データという4つの領域で対策を組み合わせ、いきなり全部ではなく「現状の可視化→優先順位づけ→段階的な導入」の順で進めるのが現実的です。まずは入口となるID・認証の強化から、自社の状況に合わせて第一歩を検討してみてください。
一括ダウンロードする
ゼロトラストに関するよくある質問（FAQ）
Q. ゼロトラストとは何ですか？
A. ゼロトラストとは、社内・社外を問わず、すべてのアクセスを「信頼できない」ものとして毎回検証するセキュリティの考え方です。IDとパスワードが正しいか、使っている端末は安全か、その人にその権限があるかを、アクセスのたびに確かめてから通します。
特定の製品名ではなく、米国立標準技術研究所（NIST）の文書「NIST SP800-207」やデジタル庁の方針でも示されている、セキュリティ全体の設計方針を指す言葉です。
Q. ゼロトラストとVPNの違いは何ですか？
A. VPNが「社内ネットワークにつなげば中のシステムを広く使える」仕組みなのに対し、ゼロトラストは接続のたびに本人・端末・権限を確かめ、必要なアプリだけに限ってアクセスを許します。VPNは一度つながれば内部を比較的自由に動けるため、IDが盗まれたり端末が感染していたりすると、そこを起点に被害が広がりやすいという弱点があります。
ゼロトラストの考え方では、VPNの代わりにアプリ単位で安全につなぐZTNA（Zero Trust Network Access）などを用い、「つながっているか」ではなく「そのアクセスが正当か」で判断します。VPNを今すぐ捨てる必要はなく、段階的に見直していくのが現実的です。
Q. ゼロトラストは中小企業にも必要ですか？
A. 中小企業にも必要です。むしろ専任のセキュリティ担当を置きにくい中小企業こそ、ゼロトラストの考え方が役立ちます。テレワークやクラウドサービス（Microsoft 365・Google Workspaceなど）を使っていれば、守るべき範囲は会社の規模に関係なく社外へ広がっています。
いきなり大がかりな仕組みを入れる必要はなく、多要素認証でログインを強くする、端末を守るソフトを入れるなど、優先順位の高いところから一つずつ始められます。
Q. ゼロトラストの導入にはどれくらいの費用がかかりますか？
A. ゼロトラストは一つの製品で完結しないため費用は一概に言えませんが、多くは利用人数や端末台数に応じた月額制（サブスクリプション型）のサービスを組み合わせて負担する形になります。ID基盤・端末防御・通信監視・データ保護など、どの領域から着手するかで費用は大きく変わります。
全領域を一度にそろえようとせず、優先度の高い領域から始めれば初期の負担を抑えられます。正確な金額は各サービスで異なるため、複数社の資料で料金体系を見比べて検討することをおすすめします。
Q. ゼロトラストの導入にはどのくらいの期間がかかりますか？
A. ゼロトラストは一度に完成させるものではなく、領域ごとに段階的に進めるため、全体では継続的な取り組みになります。多要素認証の導入のように一つの領域だけなら比較的短い期間で始められますが、ID・端末・通信・データの各領域へ広げ、運用しながら見直していく全体像は、数か月〜年単位で段階的に進むのが一般的です。
デジタル庁も、ゼロトラストの適用は「一過性なプロジェクトではなく、ましてや単一のソリューションを導入したことで完了するものでもない」と述べています。まずは着手しやすい領域から始め、無理のない範囲で広げていくとよいでしょう。
Q. ゼロトラストを導入すると、何が変わりますか？
A. 「社内にいれば安全」という前提がなくなり、在宅・外出先・クラウドのどこからアクセスしても同じ基準で守られるようになります。あわせて、万一アカウントが乗っ取られたり端末が感染したりしても、アクセスのたびに検証する仕組みによって被害が内部へ広がりにくくなります。一方で、多要素認証などでログインの手間が増える場面もあるため、利用者の負担とのバランスを取りながら進めることが大切です。
社内セキュリティ対策の料金・資料を一括チェック
MCB FinTechカタログでは、ゼロトラストの実現に役立つID基盤・端末防御・ネットワーク監視・データ保護などのサービス資料を無料で一括請求できます。機能や対応領域を見比べて、自社に合う組み合わせを検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
