ゼロトラストでPCを守るには？端末セキュリティの具体策と実現する製品タイプ

社員が社外に持ち出すノートPCや、在宅勤務で使う私物のPCをどう守るか。社内に置いたサーバーとVPNで境界を固める従来のやり方だけでは、心もとないと感じていませんか。テレワークやクラウド利用が定着し、守るべきPCが社内ネットワークの外にも広がったことで、「社内は安全」という前提そのものが崩れてきました。

そこで用いられるのが、社内を無条件に信頼しない前提に立つ「ゼロトラスト」という考え方です。ただ、「ゼロトラストで端末も守るように」と言われても、PC（端末）側で具体的に何をすればよいのかは、言葉の解説だけではなかなか見えてきません。

本記事では、ゼロトラストの考え方で業務用PCを守るとは具体的にどういうことかを、端末側で打つ5つの手（端末状態の確認・多要素認証・データを残さない運用・振る舞い検知・最小権限の通信）に分けて解説します。あわせて、それぞれの打ち手を実現する製品のタイプと、何から始めればよいかの順序まで整理しました。自社のPCセキュリティの次の一手を決める材料としてご活用ください。

ゼロトラストPCとは？

はじめに、打ち手を理解する土台として、ゼロトラストの考え方をPC（端末）に当てはめると何を意味するのかを確認します。

ゼロトラストPCとは、端末を「無条件に信頼しない」前提で守る考え方

ゼロトラストPCとは、社内ネットワークにつながっているPCだからといって無条件に信頼せず、業務データやクラウドサービスにアクセスするたびに「その端末は安全な状態か」「操作しているのは本人か」を検証するという考え方で端末を守ることです。「どこにあるか」ではなく「いま信頼してよい状態か」で判断する点が核心になります。

この考え方のもとになっているのが、米国国立標準技術研究所（NIST）が示したゼロトラストの定義です。NISTは、信頼を暗黙に与えず継続的に評価し続けることを前提に置く、という趣旨を示しています（原文と訳は以下）。

Zero trust is a cybersecurity paradigm focused on resource protection and the premise that trust is never granted implicitly but must be continually evaluated.

出典：NIST Special Publication 800-207「Zero Trust Architecture」｜米国国立標準技術研究所

（訳：ゼロトラストは、リソースの保護と、「信頼は暗黙に与えられるものではなく、継続的に評価され続けなければならない」という前提に焦点を当てたサイバーセキュリティの考え方である。）

これをPCに当てはめれば、居場所やログイン済みであることを信頼の根拠にせず、アクセスのたびに端末の状態と利用者を確かめる運用に切り替える、ということになります。

従来の境界型（VPN中心）との違い——社外・私物PCで「境界」は崩れる

従来のセキュリティは、社内と社外の間に「境界」を引き、ファイアウォールやVPNでその境界を守る考え方でした。いわば城の外に堀をめぐらせる発想で、堀の内側（社内ネットワーク）に入れば比較的自由に動ける一方、外からの侵入を境界で食い止めることに重点が置かれていました。

ところが、総務省の調査では企業のテレワーク導入率は47.3%にのぼり、社外でPCを使う働き方が約半数の企業で定着しています。社員が自宅やカフェ、訪問先でPCを開き、私物の端末（BYOD）から業務データを見る場面も珍しくありません。守るべきPCが堀の外に出てしまえば、「社内だから信頼する」という前提は成り立たなくなります。

境界型の守りの弱点は、実際の被害にも表れています。警察庁の報告によれば、ランサムウェアの感染経路は「VPNやリモートデスクトップ用の機器からの侵入が、全体の感染経路の8割以上を占める」とされ、その原因としてID・パスワードが安易だったことや、不要なアカウントが管理されずに残っていたことが挙げられています。

境界を守るための装置そのものが侵入口になっているわけです。だからこそ、境界の内側に入れたかどうかではなく、端末と利用者を都度検証するゼロトラストの考え方が求められています。

出典・参考資料（2件）

• 出典：令和6年におけるサイバー空間をめぐる脅威の情勢等について｜警察庁（https://www.npa.go.jp/publications/statistics/cybersecurity/data/R6/R06_cyber_jousei.pdf）
• 出典：令和7年版 情報通信白書（企業のテレワーク導入率）｜総務省（https://www.soumu.go.jp/johotsusintokei/whitepaper/ja/r07/html/nd21b220.html）

ゼロトラストでPCを守る具体的な打ち手

ここからは、ゼロトラストの考え方で業務用PCを守るために、端末側で実際に打つ手を5つに分けて解説します。特定の製品に依存しない、守り方の設計として押さえてください。いずれも「アクセスのたびに端末と利用者を検証し、万一侵入されても被害を最小にする」という一つの狙いでつながっています。

①アクセスのたびに端末の状態を確認する

1つ目は、業務データやクラウドサービスへアクセスする端末が「安全な状態か」をその都度確かめることです。OSやソフトウェアが最新に更新されているか、ウイルス対策が有効か、ディスクが暗号化されているか、不審な動きをしていないかといった端末の状態（セキュリティポスチャ）を点検します。条件を満たさない端末からのアクセスは制限します。

端末の状態を「見る」のは端末セキュリティソフト（EPP：ウイルス対策、EDR：振る舞い検知）やデバイス管理の役割で、その結果をもとに「アクセスを止める」のはID基盤の条件付きアクセスが担う、というように検知と遮断を連携させるのが一般的です。

NIST SP 800-207も、ゼロトラストの要件として「企業は保有・関連するすべての資産の整合性とセキュリティ状態を監視・測定する」「どの資産も本質的に信頼されるものではない」とし、端末の状態を継続的に診断して必要なパッチを適用する仕組みを設けるよう求めています。感染したPCや更新の止まったPCを、それと気づかないまま社内資源につながせない——これが端末側ゼロトラストの出発点です。

出典・参考資料（1件）

• 出典：NIST Special Publication 800-207「Zero Trust Architecture」§2.1（米国国立標準技術研究所、2020年8月）（https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-207.pdf）

②利用者を確認する——多要素認証とパスキー

2つ目は、PCを操作しているのが本人かを確かめることです。ID・パスワードだけの認証は、使い回しや漏えい、フィッシングで突破されやすく、前述のとおり安易なパスワードが侵入の原因になっています。そこで、パスワードに加えてスマートフォンのアプリや生体認証、物理的なセキュリティキーなどを組み合わせる多要素認証（MFA）で、なりすましを防ぎます。

NIST SP 800-207は、すべてのアクセスについて認証と認可を動的に、かつアクセス前に厳格に実施するとし、その手段として多要素認証の利用を挙げています。近年はパスワード自体を使わない「パスキー（FIDO2）」も広がっており、フィッシングへの耐性が高い認証方式です。

社員全員にスマートフォンを支給しづらい現場では、物理的なセキュリティキーを使うと、端末を問わず強い認証を全社に展開しやすくなります。

③PCに業務データを残さない運用（データレス）

3つ目は、PC本体に業務データをためこまない運用です。端末を無条件に信頼しない前提に立つと、万一そのPCが紛失・盗難にあったり感染したりしても、本体にデータが無ければ情報漏えいの被害を抑えられます。

実現方法はいくつかあります。デスクトップやドキュメントなどのデータを自動的にクラウドへ退避し、PCにはデータを物理的に残さない「データレスクライアント」と呼ばれる仕組みや、画面情報だけを端末に転送する仮想デスクトップ（VDI）などが代表的です。社外や私物のPCで業務をする機会が多いほど、「端末にデータを残さない」設計は効いてきます。

④不審な振る舞いを検知して隔離する（EDR）

4つ目は、万一マルウェアが入り込んでも、その不審な動きを早く見つけて封じ込める仕組みです。従来のウイルス対策ソフトが「既知のウイルスのパターンと一致するか」で防ぐのに対し、EDR（Endpoint Detection and Response）は、端末上のプログラムの振る舞いを常時監視し、ふだんと違う動きを検知して、感染端末の隔離や調査・復旧を支援します。

攻撃は巧妙になり続けており、侵入を100%防ぎきるのは現実的ではありません。IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」でも、「ランサム攻撃による被害」は組織向けの脅威の1位に挙げられています。入られることも想定し、入られた後の被害をいかに小さくするかという視点が、ゼロトラストでは欠かせません。EDRはその「侵入後の守り」を担います。

出典・参考資料（1件）

• 出典：情報セキュリティ10大脅威 2026｜独立行政法人情報処理推進機構（IPA）（https://www.ipa.go.jp/security/10threats/10threats2026.html）

⑤通信を最小権限にする（ZTNA）

5つ目は、PCから社内システムやクラウドへの通信を、必要なぶんだけに絞ることです。VPNのように一度つなげば社内ネットワーク全体に手が届く形ではなく、利用者・端末ごとに「このアプリだけ」「この業務に必要な範囲だけ」とアクセスを限定します。この考え方を通信レベルで実現するのがZTNA（ゼロトラストネットワークアクセス）です。

NIST SP 800-207は、「すべての通信はネットワーク上の場所に関係なく保護される」「ネットワーク上の場所だけでは信頼を意味しない」とし、企業資源へのアクセスはセッション単位で、タスクに必要な最小限の権限で許可すべきだと示しています。万一ある端末が侵害されても、被害がネットワーク全体に広がるのを防ぐ効果が期待できます。

この「アクセスを最小権限に絞る」発想は、ZTNAのような通信レベルの仕組みだけでなく、ID基盤の条件付きアクセス（誰が・どの端末で・いつ使えるかを制限する）でも実現できます。両者は補い合う関係にあり、どちらかから始めても構いません。

打ち手を実現する製品タイプの整理

ここまでの5つの打ち手は、それぞれ対応する製品のタイプがあります。自社の次の一手を考えるときは、「どの打ち手に、どのタイプの製品を当てるか」で整理すると選びやすくなります。代表的な製品タイプと役割を、打ち手と対応づけて整理しました。

※上記は各製品タイプの一般的な役割の整理です。実際の機能範囲や提供形態は製品によって異なります。

1つの製品がカバーする範囲は、タイプによって重なります。たとえばID基盤はアクセス制御（⑤）も担い、端末セキュリティソフトは端末状態の確認（①）と振る舞い検知（④）の両方を受け持ちます。すべてを別々にそろえる必要はなく、自社の弱いところから対応するタイプを選ぶのが現実的です。

何から始める？ゼロトラストPCの導入の順序

5つの打ち手をすべて一度に導入するのは、専任の担当者が少ない企業ほど負担が大きくなります。ここでは、PC・端末を起点に無理なく始める順序と、私物PC・社外利用の扱いを整理します。

PC・端末を起点に小さく始める着手順

ゼロトラストは、一度にすべてを置き換える「製品」ではなく、段階的に近づけていく考え方です。PCを起点にするなら、効果が大きく着手しやすいところから順に手を打つのが現実的です。

1. 認証を強くする（②）：まず多要素認証やパスキーを導入し、なりすましによる侵入を塞ぎます。感染経路の多くが認証の弱さに起因するため、費用対効果が高い最初の一手です。
2. 端末の状態を把握・点検する（①）：OS更新やウイルス対策の状況を可視化し、条件を満たさない端末のアクセスを制限します。
3. 侵入後の備えを持つ（④）：EDRなどで不審な振る舞いを検知し、万一の感染時に被害を抑えられる状態をつくります。
4. データと通信を絞る（③・⑤）：PCにデータを残さない運用や、最小権限のアクセス制御へと広げていきます。

この順序は絶対ではありません。警察庁によれば、ランサムウェアの被害件数は大企業で減少する一方、対策が比較的手薄な中小企業では前年比37%増加しています。自社でいちばん弱いと感じるところ——認証なのか、端末の管理なのか——から着手するのが、限られた人手で効果を出すコツです。

出典・参考資料（1件）

• 出典：令和6年におけるサイバー空間をめぐる脅威の情勢等について｜警察庁（https://www.npa.go.jp/publications/statistics/cybersecurity/data/R6/R06_cyber_jousei.pdf）

着手の順序を、ゼロトラストPCに限らずセキュリティ対策全体の中で見極めたい場合は、優先順位と費用の目安をまとめた以下の記事も参考になります。専任の担当者が少ない企業が「何から・どのくらいの費用で」始めるかを具体的に整理しています。

私物PC（BYOD）・社外利用をどう扱うか

ゼロトラストの考え方は、もともと社外・私物の端末を前提にしています。NIST SP 800-207も、ネットワーク上の端末が企業の所有・管理下にない場合（私物端末の業務利用＝BYODを含む）や、社外のネットワークは信頼できない前提で設計すべきことを明記しています。

私物PCを一律に禁止できない場合は、「本人確認を強くする（②）」「業務データを端末に残さない（③）」の2つを優先すると、端末そのものを完全に管理下に置けなくても、漏えいのリスクを現実的に下げられます。データレスの仕組みを使えば、私物PCでも業務データは本体に残らず、退職や紛失の際の後始末も軽くなります。

出典・参考資料（1件）

• 出典：NIST Special Publication 800-207「Zero Trust Architecture」§2.2（米国国立標準技術研究所、2020年8月）（https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-207.pdf）

さらに、端末そのものをどこまで管理するかまで踏み込むなら、私物端末の管理手法をMDM・リモートアクセス・仮想環境のタイプ別に比較した以下の記事が、運用方法を具体化する際に役立ちます。

ゼロトラストPCを実現するサービス

ここからは、これまで挙げた打ち手を実現する具体的なサービスを紹介します。認証を担うID基盤・セキュリティキー、データを残さないデータレスクライアント、端末を守るセキュリティソフトなど、打ち手に対応するタイプごとに代表的なものを取り上げます。自社に足りない打ち手を補う候補として、資料で詳細を見比べてみてください。

取り上げるのは各タイプの代表例で、同じタイプの製品はほかにもあります。打ち手⑤（通信を最小権限に＝ZTNA）に相当する通信の最小権限は、ID基盤のアクセス制御でも部分的に実現できます。

端末だけでなく社内の守りを対象別に広く見渡して比較検討したい場合は、守る対象ごとのタイプと代表サービス・選び方を整理した以下の記事もあわせてご覧ください。

1. CloudGate UNO（株式会社インターナショナルシステムリサーチ）

CloudGate UNOは、株式会社インターナショナルシステムリサーチが提供する、ゼロトラストの考え方にもとづくシングルサインオン（SSO）・ID基盤（IDaaS）です。一度の認証で複数のクラウドサービスにアクセスできる利便性と、最小権限の原則にもとづくアクセス制御を組み合わせている点が特徴です。打ち手②（利用者の確認）と⑤（最小権限のアクセス制御）を担います。

認証は、フィッシングへの耐性が高いパスキー（FIDO2）によるパスワードレス認証に対応します。さらに「端末・場所・時間」の3つの軸でアクセスを細かく制限でき、私用端末からのアクセス禁止や、特定の拠点・時間帯に限った利用といった設定が可能です。国産の自社開発で、導入から運用まで日本語でサポートを受けられる点も、専任者の少ない企業には安心材料になります。

多要素認証のなかでも、パスキーによるパスワードレス認証がどのような位置づけにあるのか。提供元の株式会社インターナショナルシステムリサーチの平澤氏は、次のように説明します。

2. YubiKey as a Service（株式会社インターナショナルシステムリサーチ）

物理的なセキュリティキー「YubiKey」を、キー本体の提供だけでなく導入支援から運用サポートまで一体で、サブスクリプション形式で利用できるのがYubiKey as a Serviceです。打ち手②（利用者の確認＝多要素認証）を、スマートフォンに頼らない形で実現します。

スマートフォンを全社員に支給しづらい環境でも、USBなどで挿す物理キーなら端末を問わず強い多要素認証を全社に展開できます。契約期間中の長期製品保証、毎年25%ぶんの無償予備キー提供、専用の優先サポート窓口など、導入後の運用負荷を抑える仕組みが標準で用意されています。同社のCloudGate UNOと組み合わせれば、認証基盤と物理キーをそろえて端末まわりの本人確認を固められます。

スマートフォンを支給しづらい現場で物理セキュリティキーが実際にどう使われているのか。提供元の株式会社インターナショナルシステムリサーチの内田氏は、寄せられる相談の傾向を次のように述べています。

3. Eye”247” Safety Zone（株式会社フーバーブレイン）

株式会社フーバーブレインの「Eye”247” Safety Zone」は、ウイルス対策（EPP）と振る舞い検知・EDRを組み合わせた端末向けのセキュリティソフトです。打ち手①（端末状態の確認）と④（振る舞いの検知・隔離）を1つでカバーします。

Bitdefenderと共同開発した検知エンジンを採用し、アプリケーションの動作を常時監視する振る舞い検知（ATC）で不審な動きを捉えます。ランサムウェア対策として、ファイルを自動でバックアップし直近の状態へ復元する機能や、フィッシングサイトの自動ブロックも備えます。EDR機能では、端末上の不審な挙動の検知からログの調査・分析、マルウェアの駆除・復旧支援まで行えます。

4. Shadow Desktop（アップデータ株式会社）

PCに業務データを残さない「データレスクライアント」として、VDIに代わるPC運用を実現するのがアップデータ株式会社のShadow Desktopです。打ち手③（PCにデータを残さない運用）を担います。

既存のWindows PCにインストールすると、デスクトップ・ドキュメント・ピクチャ・ダウンロードのデータをクラウド等の外部ストレージへ自動的に退避し、PC本体にデータを物理的に残さない状態をつくります。OSやアプリは仮想化しないため、通常のPCと同じ操作感のまま使える点が、VDIやシンクライアントとの違いです。

持ち出しPCの情報漏えい対策やランサムウェア・BCP対策、紛失時のリモートワイプといった用途を公式に掲げており、私物PCでの利用にも対応しています。

ゼロトラストPCの打ち手に対応するサービスの比較

以下は、ここまで紹介したサービスの比較表です。

まとめ

ゼロトラストでPCを守るとは、「社内だから信頼する」という前提を外し、アクセスのたびに端末と利用者を検証し、万一侵入されても被害を最小にする運用へ切り替えることです。端末側の打ち手は、①端末状態の確認、②多要素認証による本人確認、③PCにデータを残さない運用、④振る舞いの検知・隔離、⑤通信の最小権限、の5つに整理できます。

すべてを一度にそろえる必要はありません。感染経路の多くが認証の弱さに起因することを踏まえると、まずは多要素認証から着手し、端末の状態把握、侵入後の備え、データと通信の最小化へと段階的に広げるのが現実的です。各打ち手に対応する製品タイプを押さえたうえで、自社に足りないところから資料を見比べ、次の一手を選んでいきましょう。

よくある質問（FAQ）

Q. ゼロトラストPCとは何ですか？

A. ゼロトラストPCとは、社内ネットワークにつながっているPCでも無条件に信頼せず、業務データやクラウドにアクセスするたびに端末の状態と利用者本人を検証して守る考え方です。「どこにあるか」ではなく「いま信頼してよい状態か」で判断する点が、社内を信頼する従来の境界型セキュリティと異なります。

具体的には、端末状態の確認・多要素認証・PCにデータを残さない運用・振る舞い検知・最小権限の通信といった打ち手を組み合わせて実現します。

Q. ゼロトラストPCと従来のVPNは何が違いますか？

A. 最大の違いは、VPNが「一度つなげば社内ネットワーク全体に手が届く」のに対し、ゼロトラストPCは利用者・端末・アプリ単位でアクセスを必要な範囲だけに限定する点です。

VPNは社内と社外の「境界」を守る仕組みで、認証を突破されると内部まで被害が広がりやすく、警察庁の報告でもランサムウェアの感染経路の8割以上がVPN機器などからの侵入とされています。ゼロトラストPCはアクセスのたびに端末と利用者を検証するため、万一侵害されても被害が全体に広がりにくいのが特徴です。

Q. ゼロトラストPCの考え方は私物PC（BYOD）でも使えますか？

A. 使えます。ゼロトラストはもともと、社外や会社の管理下にない私物端末を信頼しない前提で設計された考え方です。私物PCを一律に禁止できない場合は、「本人確認を強くする（多要素認証）」と「業務データを端末に残さない（データレス）」の2つを優先すると、端末を完全に管理下に置けなくても漏えいリスクを現実的に下げられます。

データレスの仕組みを使えば、私物PCでも業務データが本体に残らず、紛失や退職時の後始末も軽くなります。

Q. 専任のセキュリティ担当者がいない中小企業でもゼロトラストPCは導入できますか？

A. 企業規模を問わず導入できます。すべてを一度にそろえる必要はなく、効果の大きい打ち手から段階的に始められるからです。むしろ対策が手薄になりがちな中小企業ほど狙われやすく、警察庁によればランサムウェアの被害件数は中小企業で前年比37%増加しています。

まずは費用対効果の高い多要素認証から着手し、端末状態の把握、侵入後の備え（EDR）、データと通信の最小化へと広げるのが、限られた人手で効果を出す現実的な進め方です。

Q. ゼロトラストPCの導入にはどのくらいの費用がかかりますか？

A. 月額数百円〜千円程度／ユーザーのサブスクリプション型が中心で、一度にすべてをそろえなくても小さく始められます。本記事の比較表でも、ID基盤は1ユーザー月400〜600円程度、データレスクライアントは950円程度からと、利用人数に応じた月額で提供されています。

多要素認証やセキュリティキー、端末セキュリティソフトは要問い合わせの製品もあるため、自社に足りない対策から各製品の資料で料金や提供形態を見比べて検討するのが確実です。

ゼロトラストPC対策サービスの料金・資料を一括チェック

MCB FinTechカタログでは、ゼロトラストでPCを守るためのID基盤・多要素認証・データレスクライアント・端末セキュリティなどの資料を無料で一括請求できます。打ち手ごとに対応する製品を見比べて、自社に足りない対策から効率的に検討できます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。