クラウドサービスの利用やリモートワークが広がり、社外から社内システムへ接続する機会が増えました。社内を安全な領域、社外を危険な領域として境界で守る「境界型防御」だけでは、こうした働き方の変化に対応しきれない場面が増えています。そこで広まっているのが「ゼロトラスト」という考え方です。
ただ、ゼロトラストを言葉だけで理解したり社内で共有したりしようとすると、なかなか伝わりません。「結局どういう仕組みなのか」を一目でつかめる概念図があると、社内での理解や合意形成が進みやすくなります。
この記事では、ゼロトラストの概念図そのものを示しながら、境界型防御との違い、図を構成する各パーツ、NIST やデジタル庁・IPA が示す基本的な考え方までを整理します。考え方を理解したうえで「自社では何から始めればよいか」までたどり着ける構成です。
目次
一括ダウンロードする
ゼロトラストとは？まず概念図で全体像をつかむ
ここからは、ゼロトラストの全体像を概念図で確認します。ゼロトラストは「社内だから信頼する」という前提を置かず、アクセスのたびに利用者と端末を検証してからアクセス先へつなぐ考え方です。
ゼロトラストの概念図
ゼロトラストの基本構造は、利用者（主体）と端末からのアクセス要求を、いったんポリシー判断（検証するところ）が受け止め、検証に通ったものだけがアクセス先（社内システムやクラウド上のデータ）に到達する、という流れで描けます。利用者が社内にいるか社外にいるかにかかわらず、アクセスのたびにこの検証を通すのがポイントです。
たとえば、従業員がパソコンを使って社内アプリのデータを見るとき、従業員とパソコンがアクセス元、アプリのデータがアクセス先にあたります。ゼロトラストでは、こうしたアクセスのひとつひとつについて、そのときの端末の状態や状況に応じて通してよいかを判断します。
ゼロトラストとは（公的な定義）
ゼロトラストは、特定の製品やサービスの名前ではなく、セキュリティの「考え方」を指します。デジタル庁「ゼロトラストアーキテクチャ適用方針」は、ゼロトラストを次のように定義しています。
境界の内部が侵害されることも想定したうえで、情報システムおよびサービスの要求ごとに適切かつ必要最小の権限でのアクセス制御を行う際に、不確実性を最小限に抑えるように設計された概念。
出典：ゼロトラストアーキテクチャ適用方針（2022年6月30日）表1-1 用語の定義｜デジタル庁
ゼロトラストを具体化した設計の考え方は「ゼロトラストアーキテクチャ」と呼ばれます。同資料はこれを「論理的構造的な考え方」とし、「特定の実装やソリューションを指すものではない」と明記しています。ある1つの製品を導入すればゼロトラストが完成する、というものではありません。
出典・参考資料（1件）
- 出典：ゼロトラストアーキテクチャ適用方針（DS-210）｜デジタル庁（PDF）
境界型防御とゼロトラストの違い（対比図と対比表）
ここからは、従来の境界型防御とゼロトラストの違いを整理します。社内説明では、この2つを並べて「何がどう変わるのか」を見せると伝わりやすくなります。
境界型防御の考え方と限界
境界型防御（境界型セキュリティ）は、社内と社外の間に「境界」を引き、その境界で守る考え方です。デジタル庁の用語定義では次のように説明されています。
従来のセキュリティの基本的な考え方であり、境界で内側と外側を遮断して外部からの攻撃や内部からの情報流出の防止を試みる。境界型セキュリティは「信頼できないもの」が内部に入り込まない、また内部には「信頼できるもの」のみが存在することが前提となる。セキュアなネットワークの構築が中心となる。
出典：ゼロトラストアーキテクチャ適用方針（2022年6月30日）表1-1 用語の定義｜デジタル庁
この考え方は「内部は信頼できる」という前提に立っています。しかし、IPA「ゼロトラスト導入指南書」が指摘するように、社外から社内システムへ接続する働き方が広がり、境界型防御で考えていたモデルではサイバー攻撃の脅威を防ぎきれない状況になってきました。標的型メールによる社内端末のウイルス感染なども増え、「社内＝信頼できる領域」という前提自体が置きにくくなっています。
ただし、ゼロトラストは境界型防御を全面的に否定するものではありません。デジタル庁の資料も「ゼロトラストアーキテクチャは境界型セキュリティとネットワークベースのセキュリティ対策を否定するものではない」としています。既存の対策を活かしつつ、考え方を拡張していくものだと捉えると、社内でも受け入れられやすくなります。
対比図と対比表で違いをつかむ
両者の違いを、信頼の置き方・守る対象・検証のタイミングといった軸で並べると、次のように整理できます。境界型防御が「一度通れば内部は信頼する（Trust but verify）」のに対し、ゼロトラストは「社内外を問わず毎回検証する（Never Trust, Always Verify）」という言い方もよく使われます。
| 比較の軸 | 境界型防御 | ゼロトラスト |
|---|---|---|
| 信頼の前提 | 社内ネットワークは信頼できる | 社内外を問わず、まず信頼しない |
| 守る主な対象 | ネットワークの境界 | 利用者・端末・データ（リソース）ごと |
| 検証のタイミング | 境界を越えるとき（入口で一度） | アクセスのたびに毎回 |
| 権限の与え方 | 内部では比較的自由に移動できる | 必要最小限の権限をその都度付与 |
| 働き方との相性 | 社内中心の環境を前提 | クラウド・リモートワークに対応しやすい |
境界型防御が「入口で一度守る」のに対し、ゼロトラストは「アクセスのたびに守る」。この一点の違いを押さえておくと、概念図の意味も理解しやすくなります。
ゼロトラストの構成要素と基本的な考え方
ここからは、概念図をもう一段詳しく理解するために、図を構成する各パーツと、その背後にある基本的な考え方を見ていきます。
概念図の各パーツ（主体・端末・PDP・PEP・リソース）を一行で理解する
ゼロトラストの論理的な構成要素は、NIST（米国国立標準技術研究所）の SP800-207 が示したモデルをもとに説明されます。IPA「ゼロトラスト導入指南書」もこのモデルに沿って、アクセス制御の仕組みをポリシー決定ポイント（PDP）とポリシー実施ポイント（PEP）で説明しています。図に出てくる主な用語を一行ずつ整理します。
- 主体（利用者）：企業のリソースにアクセスしようとする人（アカウント）。
- 端末：主体が使うパソコンやスマートフォンなどのデバイス。状態（OS やパッチの状況など）も検証の材料になります。
- PDP（ポリシー決定ポイント）：アクセス要求を検証し、ポリシーに照らしてアクセスを許可するか判断する部分。内部は「PE（ポリシーエンジン）」と「PA（ポリシーアドミニストレータ）」に分かれます。
- PE（ポリシーエンジン）：アクセス要求を検証し、ポリシーを適用して許可可否を決める判断の中心。
- PA（ポリシーアドミニストレータ）：PE の判断にもとづき、許可・不許可を PEP に伝える役割。
- PEP（ポリシー実施ポイント）：利用者からのアクセス要求を受け、PDP へ情報を渡し、その判断にしたがって実際のアクセス制御を行う部分。
- リソース（アクセス先）：守る対象となる社内システム・アプリ・データなど。
- アクセス制御ポリシー：デジタル庁の定義では「ユーザ属性情報、OS やパッチバージョンなどのデバイス属性情報といった情報から、アクセスが許可される条件を満たすかどうかを評価するルール」。複数を組み合わせて評価することもできます。
要点は、利用者と端末からのアクセス要求を PEP が受け取り、PDP（PE と PA）が検証して許可可否を判断し、許可されたものだけがリソースに届く、という流れです。この「検証してから通す」部分こそ、概念図の中心にあたります。
出典・参考資料（3件）
NIST SP800-207 の7つの基本的な考え方
ゼロトラストの土台となる考え方は、NIST SP800-207 が7つにまとめています。IPA「ゼロトラスト導入指南書」は、これを次の7項目として日本語で整理しています。
出典：ゼロトラスト導入指南書 表2-3「NIST SP800-207 ゼロトラストの7つの考え方」｜情報処理推進機構（IPA）
- すべてのデータソースとコンピューティングサービスをリソースとみなす
- ネットワークの場所に関係なく，すべての通信を保護する
- 企業リソースへのアクセスをセッション単位で付与する
- リソースへのアクセスは，クライアントアイデンティティ，アプリケーション/サービス，リクエストする資産の状態，その他の行動属性や環境属性を含めた動的ポリシーにより決定する
- すべての資産の整合性とセキュリティ動作を監視し，測定する
- すべてのリソースの認証と認可を行い，アクセスが許可される前に厳格に実施する
- 資産，ネットワークのインフラストラクチャ，通信の現状について可能な限り多くの情報を収集し，セキュリティ体制の改善に利用する
「場所で信頼を決めない」「セッションごとに最小限の権限で許可する」「資産を継続的に監視する」といった姿勢が、7項目を貫いています。
日本の政府情報システム向けには、デジタル庁が実務への落とし込みとして「適用方針」を6つ示しています。NIST の7原則が「考え方」であるのに対し、こちらは「どう適用するか」の指針という位置づけで、別のものとして押さえておくと混乱しません。
出典：ゼロトラストアーキテクチャ適用方針（2022年6月30日）2章 適用方針｜デジタル庁
- リソースを識別し、特定できる状態にする
- 主体の身元確認・当人認証を実施する
- ネットワークを保護する
- リソースの状態を確認する
- アクセス制御ポリシーで評価し、アクセス管理をする
- リソースとアクセスを観測する
民間企業が社内説明に使うなら、まずは NIST SP800-207 の7つの考え方を軸に据えるのが分かりやすく、デジタル庁の6つの適用方針は官公庁向けの指針として参考にとどめておけば混乱しません。どちらも「場所で信頼せず、毎回検証して最小権限で許可する」という同じ方向を向いています。
出典・参考資料（2件）
ゼロトラストで何が得られるのか（社内で共有できる一言）
ここまでの内容を、社内説明で使える短い言葉にまとめます。ゼロトラストの定義（内部が侵害されることも想定し、必要最小限の権限でアクセス制御を行い、不確実性を最小限に抑える）から、次の3点が導けます。
- 万一、内部に侵入されても被害を広げにくい：社内だからと無条件に信頼しないため、侵入後に自由に動き回られるリスクを抑えられます。
- 働く場所に縛られない：社内・社外を問わずアクセスのたびに検証するため、リモートワークやクラウド利用と相性がよい考え方です。
- 与える権限を最小限にできる：その都度、必要最小限の権限だけを付与するため、情報漏えいや不正利用の影響範囲を小さく保てます。
「社内だから安全、ではなく、誰のどのアクセスも毎回確かめる。だから内部に侵入されても被害を抑えられる」。この一言を軸にすると、経営層や他部門にも趣旨が伝わりやすくなります。
一括ダウンロードする
ゼロトラストは何から始めるか（構成要素ごとの実装手段）
考え方が整理できたら、次は自社で何から始めるかです。ゼロトラストは1つの製品で完成するものではなく、構成要素ごとに手段を組み合わせて近づけていきます。これまで見てきた主体の身元確認・ネットワークの保護や観測・資産（端末）の状態確認といった構成要素を、着手しやすい単位でまとめると、おもに次の3領域が入口になります。
- 主体の身元確認・認証（ID 基盤）：利用者が本人かを確かめ、アクセス制御の土台をつくる。
- 通信の監視・観測（ネットワークの可視化）：ネットワークを流れる通信を記録し、不審な動きを検知する。
- 端末（資産）の保護・状態確認：端末の状態を監視し、脅威を検知・対応する。
すべてを一度に導入する必要はなく、着手しやすい領域から段階的に進めるのが現実的です。なかでも「誰が・どの端末から」を確かめる主体の認証（ID 基盤）は、ほかの構成要素の土台になるため、優先度の高い出発点になります。
ここからは、それぞれの領域に対応するサービスを紹介します。自社でどこから着手するかを考える際の参考にしてください。
| サービス名 | CloudGate UNO | Network Blackbox | Eye"247" Safety Zone |
|---|---|---|---|
| 担う構成要素 | 主体の身元確認・認証 （ID基盤） | 通信の監視・観測 （ネットワーク） | 端末の保護・状態確認 （エンドポイント） |
| 製品分類 | クラウド型ID基盤（IDaaS） | NDR （ネットワーク検知・対応） | エンドポイントセキュリティ （EPP＋EDR） |
| 主な機能 | SSO・多要素認証（MFA）・パスキー（FIDO2）・アクセス制限・ID管理 | フルパケットキャプチャ・検知・脅威ハンティング・フォレンジック・対応 | マルウェア対策（EPP）・EDR・振る舞い検知・ランサムウェア対策（自動バックアップ／リストア） |
| 導入方式 | クラウド（SaaS） | ミラーリング方式 （エージェント不要） | 端末にソフトを インストール |
| 初期費用 | 要問い合わせ | 要問い合わせ | 要問い合わせ |
| 月額費用 | 400〜600円/ユーザー（税抜） | 要問い合わせ | 要問い合わせ |
| 無料トライアル | 30日間 | 公表なし （デモ申請可） | 公表なし |
| 詳細情報 | 公式資料を見る | 公式資料を見る | 公式資料を見る |
※ 料金・無料トライアルは2026年11月時点の各社公式情報にもとづく。最新の内容は各公式サイトでご確認ください。
1. CloudGate UNO（株式会社インターナショナルシステムリサーチ）
主体の身元確認・認証にあたる ID 基盤が CloudGate UNO です。株式会社インターナショナルシステムリサーチが自社開発するクラウド型の ID 基盤（IDaaS）で、公式では「ゼロトラスト時代のSSO・アクセス制限・認証強化・ID管理プラットフォーム」と位置づけられています。
シングルサインオン（SSO）、多要素認証（MFA）、パスキー（FIDO2）によるパスワードレス認証、アクセス制限、ID 管理（プロビジョニング）といった機能を備えます。これらの機能はすべてのプランに標準搭載されています。利用者が誰で、どの端末からアクセスしているかを確かめる部分を担うため、ゼロトラストの入口として検討しやすいサービスです。
ゼロトラストで重視される「必要最小限の権限をその都度与える」という考え方は、実際の製品ではアクセス制限の設定として具体化されます。この点について、CloudGate UNO を提供する株式会社インターナショナルシステムリサーチの平澤氏は、次のように説明しています。
「端末、場所、時間」の3つの軸で細かく制限できます。私用端末からのアクセス禁止、現場や訪問先といった特定の拠点限定はもちろん、残業時間帯にはアクセスできないように設定も可能です。この時間による制御は、労務管理や情報漏洩対策としても経営層から高く評価されています。
2. Network Blackbox（株式会社クワッドマイナージャパン）
株式会社クワッドマイナージャパンが提供する Network Blackbox は、通信の監視・観測を担う NDR（Network Detection and Response）製品です。ネットワークを流れる全パケットを収集するフルパケットキャプチャを基盤に、通信を可視化・分析します。
収集・検知・ハンティング・フォレンジック・対応の5つの機能を備え、ミラーリング方式で導入するためネットワークへの影響を抑えられます。通信そのものを保存してパケット単位でさかのぼれるため、不審な動きの調査や事後の証跡提示に強みがあります。アクセスや通信を「観測する」というゼロトラストの考え方を、ネットワーク面で支える位置づけです。
3. Eye”247″ Safety Zone（株式会社フーバーブレイン）
端末そのものを守るのが Eye”247″ Safety Zone です。株式会社フーバーブレインが提供するエンドポイントセキュリティソフトで、EPP（Endpoint Protection Platform）と EDR（Endpoint Detection and Response）の両機能を単一製品に搭載しています。
検知エンジンには Bitdefender と共同開発したエンジンを採用し、アプリケーションの動作を常時監視する振る舞い検知や、ランサムウェア対策としてのファイル自動バックアップとリストア、エンドポイント上の不審な挙動を調べる EDR 機能を備えます。ゼロトラストの「資産を継続的に監視・測定する」考え方を、端末の面から支えるサービスです。
ここで取り上げた3領域は、社内セキュリティ全体の一部です。守る対象ごとにどのようなサービスがあり、何を基準に選べばよいかを広く見比べたい場合は、以下の記事で全体像を整理しています。構成要素ごとの着手先を具体的に検討する際の出発点としてご覧ください。
社内セキュリティソリューション比較｜守る対象別のタイプ・代表サービスと選び方
社内のセキュリティを強化したいものの、端末の保護から不正アクセス対策、情報漏えいの防止まで課題が広く、何から手をつければよいか判断がつかないという声は少なくありません。テレワークやクラウド利用が定着し、社外に持ち出される端末やIDが増えたこ…
まとめ
ゼロトラストは、「社内だから信頼する」という前提を置かず、アクセスのたびに検証してから必要最小限の権限で通す考え方でした。境界型防御との違いは「入口で一度守る」か「アクセスのたびに守る」か、という一点に集約できます。
概念図と対比、そして NIST SP800-207・デジタル庁・IPA という公的な出所を押さえておけば、社内説明の資料にもそのまま使えます。考え方に納得できたら、まずは主体の認証（ID 基盤）を出発点に、通信の監視・端末の保護といった構成要素ごとに、自社で何から始めるかを具体的に検討してみてください。
一括ダウンロードする
よくある質問（FAQ）
Q. ゼロトラストとVPNの違いは何ですか？
A. ゼロトラストとVPNの違いは、VPNが「一度認証すれば社内ネットワークに入れる」境界型の接続方式であるのに対し、ゼロトラストはアクセスのたびに利用者と端末を検証する考え方である点です。VPNは社外から社内へ安全な通信経路をつくる技術で、接続した後は内部を比較的自由に移動できます。
一方ゼロトラストは、接続できたこと自体を信頼とは見なさず、アクセス先ごとに毎回検証します。VPNをゼロトラストの構成要素の一つとして組み合わせて使うこともありますが、両者は同じ層で並ぶものではなく、考え方と技術という関係にあります。
Q. ゼロトラストとSASE・ZTNAはどう違うのですか？
A. ゼロトラストが「考え方（設計思想）」であるのに対し、SASEやZTNAはその考え方を実現するための技術・枠組みの名前です。ZTNA（ゼロトラストネットワークアクセス）はアクセスのたびに検証してから社内リソースへつなぐ仕組みを指し、SASE（Secure Access Service Edge）はネットワークとセキュリティの機能をクラウドでまとめて提供する枠組みを指します。
概念図で理解した考え方を、実際の製品・サービスで形にする段階で出てくる用語と捉えると、社内説明でも混乱しにくくなります。
Q. ゼロトラストを導入すればサイバー攻撃を完全に防げますか？
A. ゼロトラストを導入しても、サイバー攻撃を完全に防げるわけではありません。ゼロトラストは、内部が侵害されることも想定したうえで、必要最小限の権限でアクセス制御を行い、不確実性を最小限に抑えることを目指す考え方です。万一侵入されても被害を広げにくくする点に価値があり、「導入すれば安全」という性質のものではありません。
社内説明の際にこの前提を共有しておくと、経営層や他部門との期待値のずれを防げます。
Q. ゼロトラストは専任のセキュリティ担当がいない中小企業でも始められますか？
A. ゼロトラストは、専任のセキュリティ担当がいない中小企業でも、考え方として段階的に取り入れられます。1つの製品を入れれば完成するものではなく、構成要素ごとに手段を組み合わせて近づけていく考え方のため、着手しやすい領域から少しずつ進められます。既存の境界型防御を否定するものでもないので、いまの対策を活かしつつ、利用者の認証強化など優先度の高いところから検討するのが現実的です。
Q. ゼロトラストの概念図や公的資料は、社内説明資料にそのまま使ってよいですか？
A. ゼロトラストの概念図や公的資料は、出所（出典）を明示すれば社内説明資料に引用して使えます。本記事が参照しているNIST SP800-207・デジタル庁「ゼロトラストアーキテクチャ適用方針」・IPA「ゼロトラスト導入指南書」はいずれも公開されている資料で、「どこの定義か」と問われた際の裏づけになります。
社外への配布や図の加工を伴う場合は、各資料の利用条件を確認し、引用元を併記しておくと安心です。
社内セキュリティ・ゼロトラスト関連サービスの資料を一括チェック
MCB FinTechカタログでは、ID基盤・ネットワーク監視・端末セキュリティなど、ゼロトラストの構成要素にあたる法人向けサービスの最新資料を無料で一括請求できます。機能や対応範囲を見比べて、自社の着手点を検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
