経営層やニュース、取引先からの資料で「ゼロトラスト」という言葉を見かける機会が増え、自社でも検討すべきか問われたものの、いざ説明しようとすると言葉に詰まってしまう。情報システムを担当する方から、そうした声をよく聞きます。
その背景にあるのは、「社内ネットワークの内側は安全」という前提で守ってきた境界型防御や、社外から社内へつなぐVPNが、クラウド利用やリモートワークの広がりとともに通用しなくなってきたという変化です。ゼロトラストネットワークは、この前提そのものを置き換える考え方として整理されてきました。
この記事では、ゼロトラストネットワークとは何かという定義から、なぜ今必要とされるのか、どう機能するのか、どんな構成要素でできているのかまでを順に解説します。あわせて、自社では何から着手すればよいのかという段階導入の進め方も整理します。社内で説明したり、導入を検討したりするための土台として役立ててください。
目次
一括ダウンロードする
ゼロトラストネットワークとは？
ここでは、まずゼロトラストネットワークが何を指す言葉なのかを押さえます。
一言でいうと「すべてのアクセスを信頼せず、その都度検証する」考え方
ゼロトラストネットワークとは、社内・社外やネットワークの場所を問わず、あらゆるアクセスを最初から信頼しない考え方です。リソースへアクセスするたびに利用者や端末を検証し、必要な分だけアクセスを許可します。「社内から来た通信だから安全」「一度ログインしたから信頼してよい」といった暗黙の信頼を置かない点が、従来の守り方と大きく異なります。
NISTは、ゼロトラストを「ネットワークが侵害されているとみなしたうえで、正確かつ最小権限で、リクエストごとのアクセス判断を行う際の不確実性を最小化するために設計された、一連の概念と考え方」と定義しています。特定の製品名ではなく、守り方の設計思想を指す言葉だと理解しておくと、この先の話が整理しやすくなります。
「ゼロトラスト」はこの守り方の考え方全体を指す言葉で、それをネットワークのアクセス制御に当てはめたものが「ゼロトラストネットワーク」、NISTが設計の枠組みとして体系化したものが「ゼロトラストアーキテクチャ」です。本記事では、これらを地続きの考え方として扱います。
Zero trust (ZT) provides a collection of concepts and ideas designed to minimize uncertainty in enforcing accurate, least privilege per-request access decisions in information systems and services in the face of a network viewed as compromised.
出典：Zero Trust Architecture（NIST Special Publication 800-207）｜米国国立標準技術研究所（2020年8月）
なぜ「ゼロトラスト」と呼ぶのか
「ゼロトラスト（Zero Trust＝信頼ゼロ）」という言葉は、2010年に調査会社フォレスター・リサーチのジョン・キンダーバーグ氏が、ネットワークから暗黙の信頼を取り除くという考え方として提唱したものです。その後、2020年8月にNISTが「SP800-207 ゼロトラストアーキテクチャ」を発行し、基本的な考え方を体系的に整理したことで、企業が参照できる共通の土台ができました。
ゼロトラストは、特定のベンダーが打ち出した製品コンセプトではなく、調査会社の提唱を起点に公的機関が整理してきた考え方です。自社で説明する際も、この出どころを押さえておくと、根拠のある話として伝えやすくなります。
出典・参考資料（2件）
なぜ今ゼロトラストネットワークが必要なのか
ここからは、これまで主流だった守り方の何が通用しなくなったのかを、自社の環境と重ねながら見ていきます。
境界型防御とは何か、何が限界になったのか
境界型防御とは、社内ネットワークと社外の境界にファイアウォールなどを置き、「内側は安全・外側は危険」という前提で守るモデルです。いったん社内に入れば、幅広いリソースへ比較的自由にアクセスできるため、利便性は高い一方で弱点もあります。
NISTは、認証された利用者が社内ネットワークに入ると広範なリソースへのアクセスを許されてきた結果、「環境内での認可されていない横移動（lateral movement）が最大級の課題のひとつになってきた」と指摘しています。
横移動とは、攻撃者がいったん社内のどこか一点に侵入した後、内部で別のサーバーや端末へと侵害を広げていく動きのことです。境界の内側を信頼する前提に立つと、入口さえ突破されれば被害が広がりやすくなります。NISTは、境界のファイアウォールがネットワーク内部からの攻撃の検知・遮断には役立ちにくく、リモートワーカーやクラウドサービスといった境界の外にある対象を守れない点も挙げています。
Traditionally, agencies (and enterprise networks in general) have focused on perimeter defense and authenticated subjects are given authorized access to a broad collection of resources once on the internal network. As a result, unauthorized lateral movement within the environment has been one of the biggest challenges …
出典：Zero Trust Architecture（NIST Special Publication 800-207）1章｜米国国立標準技術研究所（2020年8月）
VPNの前提と「社内＝安全」が崩れた背景
社外から社内へ安全につなぐ手段として広く使われてきたのがVPNです。VPNは拠点間やリモート接続を暗号化できる一方、接続した後は社内ネットワークに広くアクセスできる設計が一般的で、「つながってしまえば内側の住人」として扱われやすい構造があります。
前述のとおり、境界の内側を信頼する前提は侵入後の横移動に弱く、入口を一点突破されると被害が広がりやすいという課題は、VPN経由の接続にも同じように当てはまります。接続元を問わず検証するゼロトラストの考え方が求められるのは、このためです。
加えて、クラウドサービスの利用、在宅勤務や多拠点での業務、私物を含む多様な端末からのアクセスが当たり前になり、守るべき利用者・データ・端末の多くが「社内ネットワークの内側」に収まらなくなりました。こうして「社内にあるものは信頼できる」という前提そのものが成り立ちにくくなったことが、場所やネットワークに依存せず一貫して検証するゼロトラストが求められる背景です。
境界型防御とゼロトラストの違い
両者の考え方の違いを、主な観点で整理すると次のとおりです。
| 観点 | 信頼の前提 | 検証のタイミング | 侵入後の横移動への強さ | リモートワーク・クラウド利用 | 既存の守り方との関係 |
|---|---|---|---|---|---|
| 境界型防御 | 社内ネットワークの内側は信頼できるものとして扱う | 入口で一度認証すれば、内側では比較的自由に通信できる | 内側に入られると横移動を許しやすい | 社外の端末やクラウド上の資産は境界の外にあり守りにくい | — |
| ゼロトラスト | 社内・社外やネットワークの場所を問わず、まず信頼しない | リソースへアクセスするたびに、その都度認証・認可する | リソース単位で認可するため、横移動を抑え込みやすい | 場所やネットワークに依存せず、同じ考え方で守る | 境界型防御を排除するものではなく、組み合わせてより強固にできる |
※一般的な整理であり、個別の製品・構成により実際の挙動は異なります。
注意したいのは、ゼロトラストは境界型防御を捨てる考え方ではない点です。IPAの導入指南書も、ゼロトラストは「境界型防御で守ることが困難な脅威に対して適用する対策」であって「境界型防御を排除する考え」ではなく、既存の境界型防御も活かすことでより強固なセキュリティを構築できる、と説明しています。
ゼロトラストネットワークの仕組み（「信頼しない」をどう実現するのか）
「すべてを信頼しない」という言葉だけでは、実際に何をするのかが見えません。ここでは、その中身を具体的に見ていきます。IPAは、ゼロトラストは「すべてを信用しない」のではなく、実際には「すべてのデバイス、ユーザ、通信、ネットワークを監視し、認証・認可を行う」ことだと整理しています。
こうした考え方は、NISTが示す7つの基本的な考え方（原則）として体系化されています。IPAの導入指南書は、これを次のように邦訳しています。
1. すべてのデータソースとコンピューティングサービスをリソースとみなす
出典：ゼロトラスト導入指南書 表2-3（NIST SP800-207 の7原則の邦訳）｜独立行政法人情報処理推進機構（IPA）（2021年6月）
2. ネットワークの場所に関係なく、すべての通信を保護する
3. 企業リソースへのアクセスをセッション単位で付与する
4. リソースへのアクセスは、クライアントアイデンティティ、アプリケーション/サービス、リクエストする資産の状態、その他の行動属性や環境属性を含めた動的ポリシーにより決定する
5. すべての資産の整合性とセキュリティ動作を監視し、測定する
6. すべてのリソースの認証と認可を行い、アクセスが許可される前に厳格に実施する
7. 資産、ネットワークのインフラストラクチャ、通信の現状について可能な限り多くの情報を収集し、セキュリティ体制の改善に利用する
この原則を実務に落とし込むと、主に次の3つの動きになります。
利用者の認証（多要素認証）
まず、アクセスしてきた利用者が本人かどうかを確実に確かめます。NISTは、ゼロトラストを実装する企業では、一部またはすべてのリソースへのアクセスに多要素認証（MFA）を用いることが想定されるとしています。パスワードだけに頼らず、スマートフォンの承認や生体認証、パスキーなどを組み合わせることで、ID・パスワードを盗まれても不正ログインを防ぎやすくなります。
端末（デバイス）の状態チェック
次に、アクセスしてくる端末が安全な状態かを確認します。NISTの原則では、アクセスの可否を、利用者の身元だけでなく、リクエストしてきた資産（端末）の状態なども含めた動的なポリシーで判断するとしています。OSやソフトウェアが最新か、セキュリティ対策が有効かといった端末の健全性を評価し、問題があればアクセスを制限する、という考え方です。
アクセスごとの都度検証と最小権限
そして、企業リソースへのアクセスはセッション単位で付与し、アクセスを許す前に要求元への信頼を評価します。NISTは、この際のアクセス権は「タスクを完了するのに必要な最小限の権限（least privileges）で付与すべき」としています。
一度の認証で広い範囲へ自由に入れるのではなく、「今、この操作に必要な分だけ」をその都度許可することで、仮に一か所が突破されても被害を広げにくくするのが、ゼロトラストの中核的な動きです。
出典・参考資料（2件）
ゼロトラストネットワークの構成要素
ゼロトラストは単一の製品ではなく、役割の異なる複数の仕組みを組み合わせて実現します。IPAの導入指南書も、ゼロトラストを構成する要素を複数の分類で整理しています。まずは登場する略語とその役割を一覧で押さえ、その後で主な要素を順に見ていきます。
構成要素の略語・正式名称・役割の一覧
| 構成要素 | IAM / IDaaS | EDR | NDR | SWG | CASB | ZTNA | SASE | SDP | UEBA |
|---|---|---|---|---|---|---|---|---|---|
| 正式名称 | Identity and Access Management / Identity as a Service | Endpoint Detection and Response | Network Detection and Response | Secure Web Gateway | Cloud Access Security Broker | Zero Trust Network Access | Secure Access Service Edge | Software Defined Perimeter | User and Entity Behavior Analytics |
| 主な役割 | 利用者のIDと認証・アクセス権を一元管理する。クラウドで提供する形態がIDaaS。SSO（シングルサインオン）や多要素認証を担う | PCやサーバーなどの端末の挙動を監視し、不審な動きを検知して対応する | ネットワークを流れる通信を監視し、不審な動きや侵入後の痕跡を検知・調査する。端末側のEDRに対しネットワーク側を担う | 外部へのWebアクセスを安全に行うクラウド型プロキシ。アクセス先の安全性を評価し、危険な通信を遮断する | クラウドサービスの利用状況を可視化し、制御する | VPNに代わり、利用者・端末を検証したうえでアプリケーション単位でアクセスを許可する | ネットワーク機能とセキュリティ機能を単一のクラウド基盤に統合するフレームワーク | アクセスの境界をソフトウェア上で構築し、動的に制御して安全にデータを転送する | 利用者やデバイスの行動を分析し、通常と異なる挙動から脅威を検知する |
※SWG・CASB・EDR・SASE・SDP・UEBA の分類と役割はIPA「ゼロトラスト導入指南書」3.3の記載に基づきます。IAM・ZTNA・NDR は業界で一般的に使われる用語です。SDP・UEBA は比較的周辺的な要素です。
ID・認証の基盤（IAM / IDaaS）
ゼロトラストの出発点は「誰がアクセスしているか」を正しく確かめることです。その中心を担うのが、利用者のIDと認証・アクセス権を一元管理するID基盤で、クラウドで提供される形態はIDaaS（Identity as a Service）と呼ばれます。
シングルサインオンで複数のクラウドサービスへのログインをまとめつつ、多要素認証でなりすましを防ぎ、「誰に・どのリソースへの・どんな権限を与えるか」を制御します。
ゼロトラストの出発点となるこのID・認証の基盤を、どの製品で整えるかは着手の優先度を左右します。SSOや多要素認証を備えるIDaaSの代表的な製品と選び方を比べたい方は、次の記事が参考になります。
IDaaSとは？おすすめ6選を徹底比較｜メリットや選び方・導入事例も紹介
「IDaaSを比較したい」「IDaaSとは何？どのサービスがおすすめ？」 IDaaSとは、ID管理と認証をクラウド上で統合できる仕組みで、複数のクラウドサービスをまとめて管理したい企業に広がっています。 クラウドサービスの利用が増えた近年で…
エンドポイントの保護（EDR）
端末の状態を検証し、万一侵入された場合に素早く気づくために使われるのがEDR（Endpoint Detection and Response）です。PCやサーバーの挙動を継続的に監視し、マルウェアの実行や不審な通信といった兆候を検知して、隔離などの対応につなげます。ゼロトラストでは「端末が安全な状態か」を判断材料にするため、エンドポイント側の監視が重要な役割を果たします。
ネットワーク通信の監視（NDR）
EDRが端末側を見張るのに対し、ネットワークを流れる通信そのものを監視して不審な動きを捉えるのがNDR（Network Detection and Response）です。端末にEDRを導入しにくい機器も含めてネットワーク側から異常を検知し、侵入後に残る通信の痕跡を遡って調べられます。ゼロトラストの原則にある「通信の現状を監視・測定する」役割を、端末側のEDRと対になって担います。
通信・クラウド利用の制御（SWG / CASB）
社外のWebサービスやクラウドの利用を安全に保つのが、SWGとCASBです。SWG（Secure Web Gateway）は、外部へのWebアクセスを安全に行うためのクラウド型プロキシで、アクセス先URLやIPアドレスの安全性を評価し、危険だと判断した通信を遮断します。
CASB（Cloud Access Security Broker）は、どの従業員がどのクラウドサービスをどう使っているかを可視化し、利用を制御します。業務で使うクラウドが増えるほど、こうした通信・利用の制御が欠かせなくなります。
社内システムへの接続制御（ZTNA）
社内システムや業務アプリへの接続で、VPNに代わる手段として位置づけられるのがZTNA（Zero Trust Network Access）です。VPNが「つながれば社内ネットワークに広くアクセスできる」のに対し、ZTNAは利用者と端末を検証したうえで、許可したアプリケーション単位でのみアクセスを通します。
ネットワーク全体ではなく必要なアプリだけに絞って接続させる点が、最小権限の考え方と合致します。
ネットワークとセキュリティの統合（SASE）
これらのセキュリティ機能とネットワーク機能を、個別の製品としてではなく単一のクラウド基盤にまとめて提供する考え方がSASE（Secure Access Service Edge）です。IPAは、SASEをセキュリティとネットワーク技術を単一のクラウドプラットフォームに集約するフレームワークとしてガートナー社が定義していると紹介しています。
SWG・CASB・ZTNAといった機能をまとめて導入・運用できるため、拠点やリモートが混在する環境で管理をシンプルにしやすいのが特徴です。
出典・参考資料（1件）
- 出典：ゼロトラスト導入指南書 3.3 ゼロトラスト構成要素（分類）｜独立行政法人情報処理推進機構（IPA）（リンク）
「ゼロトラスト」と実現手段（ZTNA・SASE・SDP・VPN）の関係整理
ゼロトラストの周辺には似た言葉が多く、考え方とそれを実現する手段が混ざって語られがちです。前の章では各要素が何をする機能かを見ましたが、ここでは個々の役割ではなく、どれが考え方で、どれが実現手段や従来技術にあたるのかという層の違いに絞って整理します。
ゼロトラストはあくまで設計思想であり、ZTNAやSASEはそれを実現するための技術・フレームワークという関係です。
| 用語 | ゼロトラスト | ZTNA | SASE | SDP | VPN | SD-WAN |
|---|---|---|---|---|---|---|
| 位置づけ | 考え方（コンセプト） | 実現手段（技術） | 実現手段（フレームワーク） | 実現手段（技術） | 従来技術 | ネットワーク技術 |
| 説明 | すべてのアクセスを信頼せず都度検証するという設計思想。特定の製品を指すものではない | VPNに代わるアプリ単位のアクセス制御。社内システムへの接続でゼロトラストを実現する | ネットワークとセキュリティをクラウドで統合。ZTNA・SWG・CASBなどを含む（ガートナーが定義） | ソフトウェアで境界を定義し、アクセスを動的に制御する技術。ZTNAの基盤技術として使われる | 拠点間・リモート接続を暗号化する。接続後は社内に広くアクセスできるため、ゼロトラストでは縮小・代替の対象になりやすい | 複数拠点の通信を効率的に制御する技術。SASEの構成要素としてセキュリティと統合される |
※用語の位置づけは一般的な整理です。製品により提供範囲は異なります。
ゼロトラストネットワークのメリットと導入前に知っておきたい注意点
考え方と仕組みを押さえたうえで、自社に導入すると何が良くなり、どんな点に注意が必要かを見ておきましょう。
メリット
セキュリティ面では、アクセスのたびに検証し権限を最小限に絞るため、万一侵入されても横移動による被害を広げにくくなります。利用者にとっては、場所や端末を問わず同じ仕組みで安全に業務システムへアクセスでき、在宅勤務や多拠点での働き方を支えやすくなる点が利点です。
管理者の立場でも、ID基盤を中心にアクセスを一元的に制御できるようになると、「誰がどのリソースへアクセスできるか」を把握・調整しやすくなります。クラウド利用の可視化や端末の状態監視と組み合わせることで、守るべき対象が社外へ広がっても一貫したポリシーで運用できる点が利点です。
注意点・デメリット
一方で、ゼロトラストは単一の製品を入れれば完成するものではなく、ID基盤・端末監視・通信制御など複数の仕組みを組み合わせる必要があります。そのため、導入には設計・構築・運用の手間と費用がかかり、短期間で一気に全社へ展開するのは現実的ではありません。
また、アクセスのたびに検証する仕組みは、設計を誤ると業務のたびに認証を求められて使いにくくなる懸念もあります。既存の境界型防御やVPNをすべて置き換える必要はなく、前述のとおり既存の守り方と組み合わせながら、自社の優先度に応じて段階的に進めるという前提で検討することが大切です。
向いている企業像
クラウドサービスの利用が増え、在宅勤務や多拠点での業務が広がっている企業は、「社内＝安全」という前提が崩れている度合いが大きく、ゼロトラストの考え方が効きやすい環境です。SaaSごとにばらばらだったログインや端末管理を一元化したい、VPN頼みの接続を見直したい、といった課題を抱える企業も当てはまります。
自社がこれらに近いと感じるなら、次の段階として「何から着手するか」を具体的に考える価値があります。
自社では何から着手すべきか（段階導入のステップ）
「必要性は分かったが、いきなり全部は無理」というのが多くの企業の実感です。ゼロトラストは段階的に進めるのが前提で、公的資料も現実的な進め方を示しています。
現状把握から始め、影響の小さい範囲で試す
IPAの導入指南書は、まず資産（デバイスやネットワーク）、主体（ユーザーや権限）、業務プロセスを詳細に理解する必要があるとしています。そのうえで、導入による失敗のリスクを考え、初めはビジネスインパクトの低い業務から始めるのが望ましいと述べています。いきなり基幹業務に適用せず、小さく始めて挙動を確かめてから対象を広げる進め方です。
認証・認可の判断を導入することによる失敗のリスクを考慮し、初めはビジネスインパクトの低いビジネスプロセスから開始するのが望ましい。ある程度、認証・認可の挙動を掴んでから、対象を広げていくことで、リスクマネジメントにつながる。
出典：ゼロトラスト導入指南書 2.6｜独立行政法人情報処理推進機構（IPA）（2021年6月）
実務では、ゼロトラストの出発点となるID・認証の基盤（IDaaS・多要素認証）や、端末を守るエンドポイント対策から着手する企業が多く見られます。どこから始めるかは自社の弱点と優先度によりますが、「誰がアクセスしているか」「その端末は安全か」を固めることは、他の対策の土台になります。
なかでも多要素認証（MFA）は、既存のIDに後から足しやすく、着手の一歩目に選ばれやすい対策です。認証方式や料金を踏まえてMFAシステムを比べたい方は、次の記事が選定の材料になります。
多要素認証（MFA）システムおすすめ17選を徹底比較｜認証方式・料金・タイプ別の選び方
ID とパスワードだけのログインは、もはや「鍵をかけていない」のと同じ状態に近づいています。攻撃者は流出したパスワードのリストを使い回し、本物そっくりの偽サイトで認証情報を抜き取り、正規利用者になりすまして社内システムやクラウドサービスへ侵…
スモールスタートと既存VPN・機器の扱い
段階導入が現実的であることは、先進事例からも読み取れます。自社の全社員向けにゼロトラストを導入したことで知られるGoogleは、その取り組み「BeyondCorp」について、素早く痛みのない作業ではなく、基礎の大部分を整えるだけでも数年（several years）を要し、今も改善を続けていると自ら説明しています。
大規模な組織でも年単位で進めるものだと捉えると、自社のペースで段階的に取り組む前提が立てやすくなります。
その際、既存のVPNや境界型の機器をすべて捨てる必要はありません。IPAも、ゼロトラストは境界型防御を排除する考えではなく、既存の仕組みを活かすことでより強固にできるとしています。まずは守りたい重要な業務やクラウド利用からゼロトラストの考え方を適用し、既存設備と共存させながら範囲を広げていくのが、無理のない進め方です。
出典・参考資料（2件）
一括ダウンロードする
ゼロトラストを実現する社内セキュリティソリューション
ここまで見てきたとおり、ゼロトラストはID基盤・エンドポイント保護・社内通信の監視・SASEといった複数の仕組みを組み合わせて実現します。ここでは、そのうちID・認証の基盤、社内通信の監視、SASEを担う代表的なサービスを取り上げます。
エンドポイント保護（EDR）など他の要素も含めて社内セキュリティ全体を比較したい場合は、この後の比較表や記事末尾のまとめ記事もあわせてご覧ください。自社でどこから着手するかを考える際の、具体的なイメージとして役立ててください。
1. CloudGate UNO（株式会社インターナショナルシステムリサーチ）
CloudGate UNOは、ゼロトラストの考え方に基づくシングルサインオンを提供するIDaaS（Identity as a Service）です。一度の認証で複数のクラウドサービスへアクセスできる利便性と、最小権限の原則に基づいたアクセス制御を組み合わせている点が特徴で、ゼロトラストの出発点となるID・認証の基盤を担います。
強みとして挙げられるのが、「端末・場所・時間」の3つの軸での柔軟なアクセス制限です。私用端末からのアクセス禁止や、特定拠点に限定した利用、時間帯による制御などを細かく設定できます。認証面では、フィッシング攻撃への耐性が高いパスキー（FIDO2）によるパスワードレス認証に対応し、SMS認証やワンタイムパスワードを狙う攻撃が顕在化するなかで、より安全なログイン環境を提供できるとしています。
国産の自社開発で、導入前から導入後まで日本語で手厚くサポートする体制も整えています。
ゼロトラストの出発点となるID・認証の基盤を実際に導入すると、現場の運用はどう変わるのか。提供元の株式会社インターナショナルシステムリサーチは、MCB FinTechカタログの取材に対し、導入後の変化を次のように説明しています。
導入と同時にパスワードレス認証に切り替えた企業では、IT部門の業務の約20%を占めていたパスワード関連のヘルプデスク業務が「0%」になったという事例があります。また、他社サービスからの乗り換え事例もございます。通常、設定の移行には時間がかかるものですが、当社のサポートによりわずか1週間で完了させたケースもあります。
2. Network Blackbox（株式会社クワッドマイナージャパン）
ネットワークを流れる通信そのものを監視し、社内の不審な動きを捉える役割を担うのがNetwork Blackboxです。フルパケットキャプチャを基盤としたNDR（Network Detection and Response）ソリューションで、ネットワークトラフィックを損失なく収集し、検知・分析・事後調査に活用します。
ゼロトラストの原則のうち「資産・通信の現状を監視・測定し、セキュリティ体制の改善に利用する」部分を、ネットワーク側から支える位置づけです。
検知方式は、既知の攻撃を捉えるシグネチャベースの検知に加え、ネットワーク上の行為をメタデータとして記録し通常と異なる挙動を検知する方式や、送受信データを分析して内容を復元する方式を併用します。保存したパケットを高速に検索する技術を備え、インシデント発生後に通信を遡って調べるフォレンジック用途に対応する点も、侵入後の被害範囲を把握するうえで役立ちます。
EDRやSIEM（セキュリティ情報・イベント管理）とは連携して補完し合う設計です。
3. Palo Alto Networks Prisma SASE（Palo Alto Networks）
Prisma SASEは、ネットワークとセキュリティをクラウド上に統合して提供するSASEプラットフォームです。リモートワーク向けの「Prisma Access」と拠点向けの「Prisma SD-WAN」を組み合わせる構成で、利用者・アプリ・データ・デバイスを一体的に保護するとしています。複数のゼロトラスト関連機能をまとめて導入したい企業に向く選択肢です。
中核となるPrisma Accessは、最小権限でアプリへのアクセスを提供し暗黙の信頼を排除するZTNA、Web上の脅威を防ぐSWG、クラウド利用を制御するCASB、クラウドネイティブのファイアウォール（FWaaS）といった機能を備えます。従来のVPNより複雑さを抑えてリモートアクセスを安全にできるとしており、ゼロトラストの考え方を幅広い機能でカバーしたい場合に検討できます。
料金はプランや構成により異なるため、詳細は公式サイトでの確認が必要です。
4. Cato SASE Cloud（Cato Networks）
イスラエル発のCato Networksが提供するCato SASE Cloudは、SD-WAN・クラウドネットワーク・セキュリティ機能を1つのクラウドネイティブなサービスに統合しています。グローバルに分散したプライベートバックボーンを基盤に、拠点・クラウド・リモートを横断して一貫したアクセス制御を提供する単一ベンダー型のSASEです。
ネットワークとセキュリティをまとめて任せ、運用をシンプルにしたい企業に向きます。
公式サイトでは、SD-WAN、SWG、FWaaS、ZTNA、CASBといった機能を自社プラットフォームで提供するとしており、ゼロトラストの実現に必要な通信制御・アクセス制御を幅広くカバーします。日本国内ではソフトバンクやSB C&Sなどのパートナー経由で提供され、導入設計から運用支援まで受けられる体制が整っています。料金は構成により異なるため、詳細は提供元・パートナーへの確認が必要です。
ゼロトラストを構成する社内セキュリティソリューションの比較
以下は、ここで紹介したサービスを、ゼロトラストでの役割とあわせて整理した比較表です。
| サービス名 | CloudGate UNO | Network Blackbox | Palo Alto Networks Prisma SASE | Cato SASE Cloud |
|---|---|---|---|---|
| ゼロトラストでの役割（構成要素） | ID・認証の基盤（IDaaS） SSO・多要素認証・パスワードレス | 社内通信の監視（NDR） 通信の現状を可視化・測定する部分を担う | SASE（ネットワーク＋セキュリティのクラウド統合） ZTNA・SWG・CASB・FWaaSを包括 | SASE（ネットワーク＋セキュリティのクラウド統合） 単一ベンダー型のクラウド基盤 |
| 主な特徴 | 端末・場所・時間の3軸での柔軟なアクセス制限 パスキー（FIDO2）によるパスワードレス認証 国産の自社開発・日本語での手厚いサポート | フルパケットキャプチャを基盤に通信を収集 シグネチャ検知＋ユーザー行為ベースの検出（BAD）＋コンテンツ分析 MITRE ATT&CKベースのハンティング・フォレンジック | Prisma Access（リモート）＋Prisma SD-WAN（拠点）の構成 ZTNA・SWG・CASB・FWaaSを単一のクラウドで提供 複数のゼロトラスト関連機能をまとめて導入できる | SD-WAN・SWG・FWaaS・ZTNA・CASBを同一クラウド基盤で提供 グローバルプライベートバックボーンを基盤に設計 単一コンソールで一元管理 |
| 提供形態・導入のしやすさ | クラウド型IDaaS 月額400円〜/ユーザー（税抜、2026年11月時点） 30日間の無料トライアルあり | ミラーリング方式で導入 EDR・SIEMと連携して補完 料金・提供形態は要問い合わせ | クラウド提供型 料金は公式非公開・要問い合わせ | クラウドサービス 日本はソフトバンク等のパートナー経由で運用支援 料金は要問い合わせ |
| 詳細情報 | 公式資料を見る | 公式資料を見る | 公式サイト | 公式サイト |
ここで取り上げたのは、ゼロトラストを構成する要素を担うサービスの一部です。社内セキュリティソリューション全体で、守る対象ごとにどんなタイプがあり、どう選べばよいかを広く比較検討したい方は、次のまとめ記事が全体像の把握に役立ちます。
社内セキュリティソリューション比較｜守る対象別のタイプ・代表サービスと選び方
社内のセキュリティを強化したいものの、端末の保護から不正アクセス対策、情報漏えいの防止まで課題が広く、何から手をつければよいか判断がつかないという声は少なくありません。テレワークやクラウド利用が定着し、社外に持ち出される端末やIDが増えたこ…
まとめ
ゼロトラストネットワークは、社内・社外を問わずすべてのアクセスを信頼せず、その都度検証する考え方です。クラウド利用やリモートワークの広がりで「社内＝安全」という前提が崩れ、境界型防御やVPNだけでは守りきれなくなったことが、関心が高まっている背景にあります。
仕組みの中核は、多要素認証による利用者の確認、端末の状態チェック、アクセスごとの都度検証と最小権限で、これらをID基盤・EDR・SWG／CASB・ZTNA・SASEといった構成要素で実現します。
導入は一度に全部ではなく、現状把握のうえで影響の小さい範囲から段階的に進め、既存の境界型防御やVPNとも共存させていくのが現実的です。まずはID・認証の基盤やエンドポイント対策から着手を検討し、自社の構成要素をどのサービスで揃えるかを比べてみてください。社内セキュリティソリューションの資料をまとめて取り寄せ、機能や提供形態を横並びで比較するところから始めてください。
一括ダウンロードする
よくある質問（FAQ）
Q. ゼロトラストネットワークとは何ですか？
A. ゼロトラストネットワークとは、社内・社外やネットワークの場所を問わず、あらゆるアクセスを最初から信頼せず、リソースへアクセスするたびに利用者や端末を検証して必要な分だけ許可する考え方です。特定の製品名ではなく、米国国立標準技術研究所（NIST）が「SP800-207 ゼロトラストアーキテクチャ」で整理した守り方の設計思想を指します。
「社内から来た通信だから安全」「一度ログインしたから信頼してよい」といった暗黙の信頼を置かない点が、従来の守り方と大きく異なります。
Q. ゼロトラストネットワークは境界型防御とどう違うのですか？
A. ゼロトラストネットワークは、「社内は安全」という前提を置かず、アクセスのたびにその都度検証する点が境界型防御と異なります。境界型防御は社内と社外の境目にファイアウォールなどを置き、いったん内側に入れば広くアクセスできる設計のため、入口を突破されると攻撃者が内部で侵害を広げる「横移動」を許しやすい弱点があります。
ゼロトラストはリソース単位で認可するため横移動を抑え込みやすく、クラウドやリモートなど境界の外にある対象も同じ考え方で守れます。ただし境界型防御を捨てる考え方ではなく、既存の守りと組み合わせてより強固にできます。
Q. ゼロトラストネットワークを導入すると、既存のVPNはすぐに不要になりますか？
A. ゼロトラストネットワークを導入しても、既存のVPNをすぐにすべて捨てる必要はありません。ゼロトラストはVPNを含む境界型の仕組みを排除する考え方ではなく、既存設備と共存させながら段階的に移行できます。
ただし、VPNは接続後に社内ネットワークへ広くアクセスできる構造で入口の一点突破に弱いため、長期的には、利用者・端末を検証したうえでアプリ単位にアクセスを絞るZTNA（Zero Trust Network Access）への縮小・代替が検討の対象になりやすい、という関係です。
Q. ゼロトラストネットワークは何から揃えればよいですか？
A. ゼロトラストネットワークは、まずID・認証の基盤（IDaaS・多要素認証）やエンドポイント対策（EDR）など「誰が・どの端末でアクセスしているか」を固める要素から着手するのが定番です。ゼロトラストは単一の製品ではなく、ID基盤・端末監視・通信制御（SWG／CASB）・社内接続制御（ZTNA）・それらを統合するSASEといった複数の仕組みを組み合わせて実現します。
IPAの導入指南書も、まず資産・利用者・業務を把握したうえで、影響の小さい業務から小さく始めて対象を広げるよう勧めています。
Q. ゼロトラストの拠りどころとされるNIST SP800-207とは何ですか？
A. NIST SP800-207とは、米国国立標準技術研究所（NIST）が2020年8月に発行した「ゼロトラストアーキテクチャ」の文書で、ゼロトラストの基本的な考え方と7つの原則を体系的に整理した公的な拠りどころです。
ゼロトラストを「ネットワークが侵害されているとみなしたうえで、リクエストごとに正確かつ最小権限でアクセスを判断する際の不確実性を最小化するために設計された概念と考え方」と定義しています。日本では情報処理推進機構（IPA）の「ゼロトラスト導入指南書」がこの7原則を邦訳して紹介しており、社内説明の根拠として参照しやすい資料です。
Q. 中小企業でもゼロトラストネットワークは導入できますか？
A. 中小企業でも、全社一斉ではなく優先度の高い範囲から段階的に始めれば、ゼロトラストネットワークは導入できます。クラウド利用や在宅勤務が広がり「社内＝安全」の前提が崩れている企業ほど効果が出やすく、まずはクラウドサービスのログインを束ねるIDaaSや多要素認証といった着手しやすい要素から始められます。
全社員向けにゼロトラストを導入したGoogleでさえ基盤整備に数年を要しており、規模を問わず自社のペースで段階的に進めるのが現実的です。
Q. ゼロトラストネットワークを構成するソリューションはどこで比較できますか？
A. ゼロトラストネットワークを構成するIDaaS・ZTNA・社内通信の監視・SASEなどは、MCB FinTechカタログの「社内セキュリティソリューション」からまとめて資料請求し、機能や提供形態を横並びで比較できます。ゼロトラストは複数の仕組みの組み合わせで実現するため、自社がどの構成要素から着手するかを決めるうえで、各サービスの資料を取り寄せて比べると具体的な検討材料になります。
社内セキュリティソリューションの料金・資料を一括チェック
MCB FinTechカタログでは、ゼロトラストを構成するIDaaS・ZTNA・社内通信の監視・SASEなどの社内セキュリティソリューションの最新資料を無料で一括請求できます。機能や提供形態を横並びで比較し、自社で何から着手するかの検討材料にできます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
