「ゼロトラスト」という言葉は、社内外を問わずアクセスのたびに正当性を検証する考え方として広く知られるようになりました。一方で、考え方は理解できても「自社の環境で実際には何をすればよいのか」が具体的に見えない、という声は少なくありません。
ゼロトラストは、一つの製品を導入すれば完成するものではなく、多要素認証・端末の状態確認・リモートアクセスの見直し・通信の監視・データの持ち方といった複数の施策の組み合わせで形づくられます。それぞれの施策が「どんな脅威に効くのか」「どの製品ジャンルが担うのか」を押さえれば、自社の第一歩を具体的に描けるようになります。
本記事では、ゼロトラストで実際にやること5つを施策ごとに整理し、脅威の種類別に効く対策、民間企業の実在の導入事例、そして自社がどこから着手すればよいかの順序までを解説します。
目次
一括ダウンロードする
ゼロトラストとは何か（おさらい）と境界型防御との違い
ゼロトラスト（Zero Trust）とは、「社内ネットワークの内側は安全、外側は危険」という前提を置かず、アクセスを試みる主体が正当かどうかをその都度検証する考え方です。米国国立標準技術研究所（NIST）が2020年に公開した「SP 800-207 Zero Trust Architecture」が、この考え方を体系的に整理した代表的な文書として知られています。
従来の「境界型防御」は、社内と社外の境目にファイアウォールなどの関所を設け、いったん社内に入った通信は信頼する設計でした。しかし、クラウドサービスの利用やテレワークが広がり、守るべきデータやアクセス元が社内の境界の外に広がったことで、境界の内側だからという理由だけで信頼する前提が合わなくなっています。
ゼロトラストは、利用者・端末・通信を一律に信頼せず、アクセスのたびに「誰が」「どの端末から」「どのデータへ」を確認してから許可する点が、境界型防御との最大の違いです。
出典・参考資料（1件）
- 出典：Zero Trust Architecture（NIST Special Publication 800-207）｜米国国立標準技術研究所（NIST SP 800-207）
ゼロトラストという考え方そのものや、境界型防御との違い・導入ステップをあらためて基礎から整理したい場合は、次の記事で詳しく解説しています。
ゼロトラストで実際にやること（施策を1つずつ）
ここからは、ゼロトラストの考え方を実際の施策に置き換えると何をすることになるのかを、5つに分けて1つずつ見ていきます。それぞれ「何をするか」「どの製品ジャンルが担うか」に加え、公的機関のフレームワークのどの考え方に当たるかも示します。デジタル庁が公開する「ゼロトラストアーキテクチャ適用方針（DS-210）」は、適用方針を次の6項目で整理しています。
1) リソースを識別し、特定できる状態にする
出典：ゼロトラストアーキテクチャ適用方針（DS-210）｜デジタル庁（2 適用方針より）
2) 主体の身元確認・当人認証を実施する
3) ネットワークを保護する
4) リソースの状態を確認する
5) アクセス制御ポリシーで評価し、アクセス管理をする
6) リソースとアクセスを観測する
以下の5施策は、この適用方針と、NIST SP 800-207 が示す7つの基本原則のうち該当するものに対応づけながら解説します。まずは全体像を一覧で示します。
| 施策 | 多要素認証 | 端末の状態に応じたアクセス制限 | リモートアクセスのゼロトラスト化 | 通信の全量記録と監視 | 端末にデータを残さない |
|---|---|---|---|---|---|
| やること | ログインのたびに所持・生体の要素で本人を確認する | OS更新・管理下・感染の有無・場所を確認してから許可する | 社外からの接続を都度検証し、許可した業務だけに通信を限定する | 通信を記録し、不審な動きや持ち出しを検知する | データをクラウド側に分離し、PC本体に残さない |
| 主に何から守るか | 不正アクセス・なりすまし | 管理外・脆弱な端末からの侵入 | VPN経由の侵入・過剰なアクセス範囲 | 侵入後の内部移動・データ持ち出し | 端末の紛失・盗難・感染時の情報漏えい |
| 担う製品ジャンル | ID基盤（IDaaS）・SSO | MDM・EDR | ZTNA・SASE | NDR・SIEM・SOC | データレスクライアント |
多要素認証でログインのたびに本人を確かめる
1つ目は、ログイン時に複数の要素で本人を確認する多要素認証（MFA）です。パスワードのような「知識」に加えて、スマートフォンやセキュリティキーといった「所持」、顔や指紋といった「生体」の要素を組み合わせることで、パスワードが漏れても本人になりすましにくくします。DS-210 は、当人認証について次のように説明しています。
当人認証はリソースの利用を試みる主体が身元確認によって紐付けられていることを知識（パスワード等）・所持（マイナンバーカード等）・生体（顔・指紋等）といった認証要素で確認することである。
出典：ゼロトラストアーキテクチャ適用方針（DS-210）｜デジタル庁（2 適用方針より）
これは、NIST SP 800-207 が示す7つの基本原則のうち、リソースへの認証と認可を動的に行い、アクセスを許可する前に厳格に実施するという原則に対応します。NIST はこの原則の説明のなかで、多要素認証の利用に言及しています。
多要素認証を担うのは、シングルサインオン（SSO）とあわせて認証を束ねるID基盤（IDaaS）です。最近では、パスワードを使わずにパスキー（FIDO2）で認証するパスワードレスの方式も広がっています。
出典・参考資料（1件）
- 出典：ゼロトラストアーキテクチャ適用方針（DS-210）｜デジタル庁（DS-210 PDF）
多要素認証の仕組みや「知識・所持・生体」の3要素、よく混同される二段階認証との違いをより詳しく知りたい場合は、次の記事で基礎から解説しています。
端末の状態を確認してからアクセスを許可する
2つ目は、アクセスしてくる端末の状態を確認し、条件を満たした端末だけに許可を出す仕組みです。OSやソフトウェアが最新に更新されているか、管理下の端末か、不審なプログラムに感染していないか、どの場所からのアクセスかを確認してから、データへのアクセスを認めます。
DS-210 も、状態確認の属性として「デバイスのOSやミドルウェアのバージョン」「デバイスの構成情報」「アクセス時の位置情報」を挙げ、アクセス制御の際にアクセス元の端末が身元確認済みのものかを確認する考え方を示しています。
これは NIST SP 800-207 の、企業が保有・関連するすべての資産の整合性とセキュリティ状態を監視・測定するという原則に対応します。端末の状態確認を担うのは、端末を管理するMDM（モバイルデバイス管理）や、端末上の不審な挙動を検知・対応するEDR（エンドポイントでの検知・対応）といった製品ジャンルです。ID基盤側でも、端末の状態や場所を条件に含めてアクセスを制御できます。
リモートアクセスをゼロトラスト化する（ZTNA・脱VPN）
3つ目は、社外からのリモートアクセスを、社内に入れば信頼する従来のVPNから、接続のたびに検証する方式へ切り替える施策です。ゼロトラストネットワークアクセス（ZTNA）は、利用者と端末を検証したうえで、許可した業務やアプリケーションだけに通信を限定します。社内ネットワーク全体へのアクセスを前提とするVPNと異なり、認証情報が悪用された場合でも被害の範囲を狭く抑えられます。
これは NIST SP 800-207 の、通信をネットワークの場所によらず保護するという原則や、DS-210 の「ネットワークを保護する」適用方針に対応します。担うのは、ZTNA単体のサービスや、ZTNAを含む複数のネットワーク機能をクラウドで統合提供するSASEと呼ばれる製品ジャンルです。後述の導入事例でも、各社が最初に取り組んだのはこのリモートアクセスの刷新でした。
通信を記録して不審な動きを監視する
4つ目は、ネットワークを流れる通信を記録し、不審な動きがないかを継続的に監視する施策です。侵入を100%防ぎきることは難しいという前提に立ち、万一侵入された場合でも、社内での不審な通信やデータの持ち出しをいち早く検知し、あとから通信をさかのぼって調べられるようにします。DS-210 は、観測について次のように説明しています。
利用者のアカウントの動作、デバイスの状態、ネットワークなど、リソースに関する観測をする。観測は、ログの収集や分析、パフォーマンスの監視、アラート通知などが含まれる。
出典：ゼロトラストアーキテクチャ適用方針（DS-210）｜デジタル庁（2 適用方針より）
これは NIST SP 800-207 の、企業が資産・ネットワーク・通信の現状について可能な限り多くの情報を収集し、セキュリティ強化に役立てるという原則に対応します。通信の監視を担うのは、ネットワークの通信を記録・分析するNDRや、収集したログを相関分析するSIEM、それらを使って監視・対応を行うSOCといった仕組みです。
端末にデータを残さない
5つ目は、そもそも端末本体に業務データを残さないという考え方です。守るべきデータを手元の端末に置かず、クラウドやサーバー側に分離しておけば、端末を紛失・盗難された場合や、端末がマルウェアに感染した場合でも、データが流出するリスクを抑えられます。
これは公的フレームワークの特定の要素に名指しされた施策というより、DS-210 がリソースの区分として挙げる「データ」の保護、すなわち情報漏えい対策の一手段に位置づけられます。
この施策を担うのが、PCの利便性を保ちながら端末にデータを残さない「データレスクライアント」と呼ばれる製品ジャンルです。仮想デスクトップ（VDI）に比べて導入の負担を抑えつつ、情報漏えい対策を実現する選択肢として検討されています。
脅威の種類別に見る、効くゼロトラスト施策
ゼロトラストの施策は、「自社がどんな脅威を心配しているか」から逆に引くこともできます。デジタル庁が公開した民間企業の導入事例に関する参考資料では、セキュリティインシデントの種類ごとに、ゼロトラストの各施策がどのように解決・予防につながるかを整理しています。
以下は、その対応関係を同資料に基づいてまとめたものです。表には、ここまで挙げた施策に加え、脅威によっては組み合わせるクラウド向けの対策（CASB・CSPM・DLPなど）も含まれます。
| 脅威 | 不正アクセス | マルウェア感染 | 誤操作・設定不備 | 紛失・盗難 | 業務外利用・不正持出 | メール誤送信 |
|---|---|---|---|---|---|---|
| 効く施策・担う製品ジャンル | 多要素認証などで不正アクセスを抑制し、EDRやSOCサービスで検知する | EDRやSOCサービスによる監視で、未知のマルウェアによる攻撃を検知する | CASB（クラウド利用を監視・制御する仕組み）で一貫したセキュリティポリシーを適用して予防し、CSPM（クラウドの設定不備を検知する仕組み）で設定不備を検知する | MDMにより、デバイス紛失時に情報が閲覧されることを防止する | ユーザーのID・アクセス権限管理により、内部の不正による持ち出しを防止する | DLP（情報の持ち出しを防ぐ仕組み）により、メール誤送信やファイル流出を防止する |
自社が最も心配している脅威を起点に、どの施策から着手すべきかを考えると、優先順位を付けやすくなります。たとえば、外部からの不正アクセスやマルウェアを警戒するなら多要素認証とEDR・監視から、端末の紛失・盗難が心配ならMDMから、といった形です。
出典・参考資料（1件）
- 出典：（参考資料1）民間企業におけるゼロトラスト導入事例｜デジタル庁（デジタル庁 参考資料）
民間企業のゼロトラスト導入事例
ゼロトラストは、すでに多くの民間企業が導入を進めています。デジタル庁が公開情報をもとにまとめた参考資料では、インターネット上でゼロトラストの導入事例を公開している民間企業23社を調査しています。
その導入背景（複数回答）で最も多かったのは「リモートワーク環境の整備」の11社で、次いで「安全なクラウド利用」「社内ネットワークの混雑緩和」「業務の効率化」が続きます。テレワークの広がりが、ゼロトラスト導入の大きなきっかけになっていることがうかがえます。
リモートアクセスをZTNAで刷新した事例（仙台銀行）
同資料で課題から効果まで紹介されている事例の一つが、株式会社仙台銀行です。高いセキュリティが求められる金融機関のリモートアクセス環境として、許可した業務だけに通信を限定できるゼロトラストネットワークアクセス（ZTNA）の機能を備えたサービスを導入しました。資料では、導入の内容と効果を次のように紹介しています。
高いセキュリティが求められる金融機関のリモートアクセス環境として、ゼロトラストネットワークアクセス機能を備えた「IIJフレックスモビリティサービス/ZTNA」を導入。セキュアで安定したリモートアクセスにより、業務効率化と営業力強化を実現した。
出典：（参考資料1）民間企業におけるゼロトラスト導入事例｜デジタル庁
導入後は、営業職員が行内に戻らずに業務を遂行できるようになり、業務効率の向上を実感しているといいます。許可した内容や業務だけに通信を限定できるため、安心して使えるという点も同資料で紹介されています。
脱VPN・クラウド活用を進めた事例
同資料の事例一覧では、このほかにも各社の取り組みが記事名とともに紹介されています。たとえば株式会社LIXILは「脱VPN」をキーワードにテレワーク急増に対応し、武田薬品工業株式会社は全世界約5万人の在宅勤務に伴うVPNの混雑解消に取り組んだと紹介されています。富士フイルム株式会社は、EDRとSIEMに続いてSASEの導入も進める方針が取り上げられています。
いずれも、リモートワークの拡大や社内ネットワークの混雑緩和を背景に、前述の「リモートアクセスのゼロトラスト化（ZTNA・脱VPN）」から着手した事例です。ゼロトラストの具体例が、実際の企業ではまずリモートアクセスの刷新として現れていることがわかります。
ここで挙げた事例は大企業が中心ですが、着手の順序（まずID基盤から段階的に広げる）は企業規模を問いません。専任担当を置きにくい中小企業でも、クラウド型のサービスを活用して小さく始め、徐々に広げる進め方が現実的です。
出典・参考資料（2件）
- 出典：（参考資料1）民間企業におけるゼロトラスト導入事例｜デジタル庁（デジタル庁 参考資料）
- 出典：仙台銀行 導入事例｜株式会社インターネットイニシアティブ（IIJ 導入事例ページ）
自社は何から始めるか（着手順・段階導入）
ゼロトラストは、ここまで挙げた施策を一度にすべて導入する必要はありません。むしろ、自社の現状と最も心配な脅威を踏まえ、優先順位を付けて段階的に進めるのが現実的です。IPA（情報処理推進機構）の資料でも、ゼロトラストを構成する要素のなかで最も重要なものとしてID管理が位置づけられ、現状把握から課題の洗い出し、段階的な移行へと進める考え方が示されています。
一般的な着手順としては、まず認証の土台となるID基盤（多要素認証・シングルサインオン）を整え、次に端末の管理、リモートアクセスの見直し、通信の監視へと広げていく流れが考えられます。
実際、IIJが2024年に実施した国内企業への調査では、最も対応が進んでいる施策は「多要素認証など認証対策の実施」で、約58%の企業が対応を完了しています。
一方、「セッション単位でのアクセス検証・認可」に対応している企業は約38%にとどまっており、着手しやすい認証対策から段階的に進めている企業が多い実態がうかがえます。
段階的に進めるとはいえ、各施策には導入・運用のコストや、既存の業務フローへの影響も伴います。自社で最も守りたいもの（守るべきデータ・最も心配な脅威）を起点に、効果の高い施策から優先度を付けて計画することが、無理のない導入につながります。
出典・参考資料（2件）
ゼロトラストに限らず、社内セキュリティ全体として何から着手すべきかを優先順位と費用感つきで知りたい場合は、次の記事で中小企業の視点から整理しています。
一括ダウンロードする
ゼロトラストの施策を担うサービス
ここからは、これまで挙げた施策を実際に担うサービスを紹介します。ゼロトラストは役割ごとに異なる製品が受け持つため、自社で優先する施策に合わせて選ぶのが基本です。ここでは、ID基盤・端末対策・通信監視・データレス化を担う代表的なサービスを取り上げます（リモートアクセスのZTNA・SASEは、導入事例で触れた製品が該当します）。まずは各サービスがどの施策を担うかを一覧で確認します。
| サービス名 | CloudGate UNO | Eye"247" Safety Zone | Network Blackbox | Shadow Desktop |
|---|---|---|---|---|
| 担うゼロトラスト施策 | 多要素認証（ログインのたびの本人確認） | 端末の状態確認・保護（侵入後の検知と対応） | 通信の記録と監視（侵入検知・事後調査） | 端末にデータを残さない（情報漏えい対策） |
| 製品ジャンル | ID基盤（IDaaS）／SSO・多要素認証 | エンドポイントセキュリティ（EPP＋EDR） | NDR（ネットワーク検出・応答／フルパケットキャプチャ） | データレスクライアント（VDI代替） |
| 主な機能 | シングルサインオン、FIDO2パスキーによるパスワードレス認証、IP・デバイス証明書・国/地域・時間帯でのアクセス制限、ID管理 | 振る舞い検知（ATC）、機械学習ベースの検知エンジン、ランサムウェア監視・ファイル自動バックアップ／リストア、EDRによる検知・調査・駆除・復旧支援 | ネットワーク全通信の収集・保存、シグネチャ検知＋ユーザー行為ベースの検出＋コンテンツ分析、通信をさかのぼる事後調査（フォレンジック）、EDR・SIEM連携（Syslog／REST API） | PCデータをクラウド／オンプレへ自動退避してデータレス化、ローカルキャッシュ暗号化（AES256）、書き込み制御、リモートワイプ・Smart Lock（オプション）、最大99世代のバックアップ・ロールバック（オプション） |
| 提供形態 | クラウド型 | 端末インストール型（PC常駐ソフト＋管理コンソール） | ミラーリング方式で導入（提供形態は公表なし） | 既存PCへのインストール型（保存先はクラウド／オンプレを選択） |
| 初期費用 | 要問い合わせ | 要問い合わせ | 要問い合わせ | かからない（公式サイト記載） |
| 月額費用 | 400〜600円／ユーザー（税抜） | 要問い合わせ | 要問い合わせ | 950円〜／ユーザー（税抜） |
| 無料トライアル | 30日間 | 公表なし | 公表なし（デモ申請可） | 最大30日間 |
| 詳細情報 | 公式資料を見る | 公式資料を見る | 公式資料を見る | オンライン相談を予約 |
※料金・無料トライアル等は2026年11月時点の各社公式情報によります。最新の内容は各社公式サイトでご確認ください。
1. CloudGate UNO（株式会社インターナショナルシステムリサーチ）
CloudGate UNO（クラウドゲートウノ）は、株式会社インターナショナルシステムリサーチが自社開発するクラウド型のID基盤（IDaaS）です。シングルサインオン（SSO）・多要素認証・パスキー（FIDO2）によるパスワードレス認証・アクセス制限・ID管理を一つにまとめ、公式には「ゼロトラスト時代のSSO・アクセス制限・認証強化・ID管理プラットフォーム」と位置づけられています。
多要素認証の施策を担う中心的なサービスで、物理セキュリティキーや生体認証（Windows Hello、Touch ID / Face ID）、認証アプリに対応します。アクセス制限では、IPアドレス・デバイス証明書・国や地域・時間帯といった条件で、ログインを細かく制御できる点が特徴です。
パスキーによるパスワードレス認証は全プランで利用でき、フィッシング攻撃への耐性が高い認証方式として提供されています。
認証の土台を整えることは、ゼロトラストの着手点として挙げられる施策です。同サービスを提供する株式会社インターナショナルシステムリサーチは、パスワードレス認証へ切り替えた企業での具体的な効果について、次のように述べています。
導入と同時にパスワードレス認証に切り替えた企業では、IT部門の業務の約20%を占めていたパスワード関連のヘルプデスク業務が「0%」になったという事例があります。
2. Eye”247″ Safety Zone（株式会社フーバーブレイン）
ウイルス対策（EPP）と、侵入後の不審な挙動を検知・対応するEDRを一つにまとめたエンドポイントセキュリティソフトが、株式会社フーバーブレインの「Eye”247″ Safety Zone」です。Bitdefenderと共同開発した検知エンジンを採用し、端末上の脅威対策を担います。
アプリケーションの動作を常時監視する振る舞い検知や、機械学習ベースの検知エンジンにより、未知の脅威にも対応します。ランサムウェア対策としては、不審な動作を監視しつつファイルを自動でバックアップし、被害時には直近のバックアップからリストアできる仕組みを備えます。
EDR機能により、端末上の不審な挙動の検知からログの収集・調査・分析、マルウェアの駆除・復旧支援までを担う点が、端末の状態を守る施策に対応します。
3. Network Blackbox（株式会社クワッドマイナージャパン）
株式会社クワッドマイナージャパンの「Network Blackbox」は、社内ネットワークを流れる通信をミラーリングで取り込み、パケットを丸ごと記録して分析するNDR（ネットワーク検出・応答）製品です。全通信をフルパケットで収集・保存し、可視化・分析できる点が特徴です。
検知方式は、大きく3つを組み合わせています。まず、既知の攻撃を検出するシグネチャベースの検知があり、次に、ネットワーク上のユーザー行為を記録して通常と異なる動きを捉える行為ベースの検出を行います。
さらに、送受信データを分析して内容を復元するコンテンツ分析ベースの脅威検出も備えます。これらを併用することで、既知・未知の双方の脅威に対応します。
通信を記録して監視する施策を担い、外部からの侵入・社内での不審通信・データの持ち出しといった、ネットワーク上に痕跡が残る事象の検知や事後調査に対応します。EDRやSIEMとはSyslogやREST API経由で連携し、置き換えではなく補完する位置づけです。
4. Shadow Desktop（アップデータ株式会社）
アップデータ株式会社が提供する「Shadow Desktop（シャドウデスクトップ）」は、PCを使いながらPC本体に業務データを残さない「データレスクライアント」です。公式には「VDIに代わるPC運用の新標準」と位置づけられ、仮想デスクトップ（VDI）より導入の負担を抑えつつ情報漏えいリスクを下げることを主な目的としています。
PC内のユーザーデータ（デスクトップ・ドキュメント・ピクチャ・ダウンロードの各フォルダ）を、クラウドのオブジェクトストレージやオンプレミスのサーバーへ自動的にアップロードし、PC本体にはデータを物理的に残さない構成を取ります。これにより、端末にデータを残さない施策を担い、持ち出しPCの情報漏えい対策、ランサムウェア・BCP対策、端末紛失時のリモートワイプといった用途に対応します。
ここで挙げたのは、施策ごとの一例です。守りたい対象（ID・端末・通信・データなど）を軸に、社内セキュリティ製品のタイプや代表サービスを幅広く見比べたい場合は、次の比較記事がカテゴリ全体の見取り図になります。
まとめ
ゼロトラストは、多要素認証・端末の状態確認・リモートアクセスのゼロトラスト化・通信の監視・データを残さない端末といった施策の組み合わせで形づくられます。それぞれが「どの脅威に効くのか」「どの製品ジャンルが担うのか」を押さえれば、抽象的な考え方を自社の具体的な取り組みに落とし込めます。
すべてを一度に導入する必要はありません。自社で最も守りたいデータと、最も心配な脅威を起点に、認証の土台となるID基盤から段階的に広げていくのが現実的な進め方です。民間企業の導入事例や公的機関のフレームワークは、社内での合意形成や稟議の根拠としても役立ちます。まずは自社の優先順位を整理し、効果の高い施策から着手することをおすすめします。
一括ダウンロードする
よくある質問（FAQ）
Q. ゼロトラストとは何ですか？
A. ゼロトラストとは、社内・社外を問わず、アクセスのたびにその正当性を検証するセキュリティの考え方です。「社内ネットワークの内側は安全」という前提を置かず、利用者・端末・通信を一律に信頼しないことから「信頼ゼロ（Zero Trust）」と呼ばれます。米国国立標準技術研究所（NIST）の「SP 800-207」が、この考え方を体系的に整理した代表的な文書です。
出典・参考資料（1件）
- 出典：Zero Trust Architecture（NIST Special Publication 800-207）｜米国国立標準技術研究所（NIST SP 800-207）
Q. ゼロトラストの具体例として、実際には何をするのですか？
A. ゼロトラストの具体例は、主に「多要素認証でログインのたびに本人を確かめる」「端末の状態を確認してからアクセスを許可する」「リモートアクセスをゼロトラスト化する（ZTNA）」「通信を記録して不審な動きを監視する」「端末にデータを残さない」の5つに整理できます。
これらをそれぞれID基盤（IDaaS）、MDMやEDR、ZTNA・SASE、NDRやSOC、データレスクライアントといった製品ジャンルが担います。一つの製品で完結するものではなく、複数の施策を組み合わせて実現する点が特徴です。
Q. ゼロトラストは何から始めればよいですか？
A. ゼロトラストは、認証の土台となるID基盤（多要素認証・シングルサインオン）から始めるのが一般的です。その後、端末の管理、リモートアクセスの見直し、通信の監視へと広げていく流れが現実的です。まず自社の資産とアクセス状況を棚卸ししたうえで、最も心配な脅威や最も守りたいデータを起点にすると、着手点を絞りやすくなります。
Q. ゼロトラストは段階的に導入できますか？
A. ゼロトラストは段階的に導入でき、一度にすべての施策を導入する必要はありません。複数の施策を組み合わせて実現する考え方のため、効果の高いものから順に進めるのが現実的です。
実際の国内企業の調査でも、着手しやすい認証対策から段階的に進めている企業が多く見られます。
Q. ゼロトラストを導入すると、ファイアウォールやVPNなどの境界型防御は不要になりますか？
A. ゼロトラストを導入しても、境界型防御がただちに不要になるわけではありません。多くの企業は、既存のファイアウォールなどを活かしながら、クラウドやリモートアクセスなど境界の外に広がった部分からゼロトラストの施策を足していきます。将来的にVPNを縮小・廃止する「脱VPN」を目指す企業もありますが、現実には両者を併用しながら段階的に移行するケースが一般的です。
Q. VPNとゼロトラスト（ZTNA）は何が違いますか？
A. VPNは一度接続すれば社内ネットワーク全体へのアクセスを許し接続後は内部を信頼するのに対し、ゼロトラスト（ZTNA）はアクセスのたびに検証し、許可した業務・アプリケーションだけに通信を限定します。VPNは利用者が増えると通信が集中して遅くなりやすい弱点もあり、この混雑の解消を目的にZTNAへ移行する企業も見られます。
Q. ゼロトラストとSASEはどういう関係ですか？
A. SASEは、ゼロトラストの考え方に基づくネットワークとセキュリティの機能を、クラウドサービスとしてまとめて提供する仕組みです。ZTNA・セキュアWebゲートウェイ・CASBなどを統合しており、ゼロトラストを実現する手段の一つと位置づけられます。ゼロトラストが「考え方」、SASEがそれを「提供する形態の一つ」と理解すると整理しやすいでしょう。
Q. ゼロトラスト導入について、経営層や従業員の理解はどう得ればよいですか？
A. ゼロトラスト導入の社内合意は、「何から守るか（守るべきデータ・最も心配な脅威）」と、公的資料や実在企業の事例を根拠に説明すると得やすくなります。
経営層には、リモートワークやクラウド利用で境界型防御が機能しにくくなった背景と、インシデント発生時の損失を避けるための投資であることを示します。従業員には、多要素認証など日々の操作が変わる施策について目的と手順を事前に周知し、現場の負担感を和らげることが円滑な定着につながります。
Q. ゼロトラストは中小企業でも導入できますか？
A. ゼロトラストは、専任のセキュリティ担当がいない中小企業でも導入できます。すべてを自前で構築する必要はなく、クラウド型のID基盤（IDaaS）やEDR、監視を代行するSOCサービスなどを活用すれば、少ない運用負担で始められます。まずは多要素認証の導入など、効果が高く着手しやすい施策から段階的に進めるのが現実的です。
Q. 多要素認証を導入すればゼロトラストと言えますか？
A. 多要素認証はゼロトラストの中心的な施策の一つですが、それだけでゼロトラストが完成するわけではありません。ゼロトラストは、認証に加えて端末の状態確認・通信の監視・データの持ち方など、複数の施策の組み合わせで形づくられます。多要素認証は着手しやすく効果も高いため「最初の一歩」として適していますが、守りたいデータや脅威に応じて他の施策も重ねていくことが重要です。
Q. ゼロトラストを導入すればサイバー攻撃を100%防げますか？
A. ゼロトラストを導入しても、サイバー攻撃を100%防げるわけではありません。ゼロトラストはそもそも「侵害されることを前提とする」考え方に立ち、万一侵入された場合でも被害を最小限に抑えることを重視します。このため、侵入を防ぐ施策だけでなく、通信やログを監視して不審な動きを早期に検知し、事後に調査・対応できる備えを組み合わせることが前提になります。
Q. ゼロトラストとEDR・MDM・IDaaSなどの製品は、それぞれどう使い分けるのですか？
A. これらの製品は、ゼロトラストの異なる施策をそれぞれ担う役割分担の関係にあり、組み合わせて使います。IDaaS（ID基盤）は多要素認証やアクセス制御で「誰が」を検証し、MDMは端末の管理、EDRは端末上の不審な挙動の検知・対応、NDRやSOCは通信の監視を担います。どれか一つで全体を賄えるオールインワン製品は基本的に存在しないため、自社で優先する施策に合わせて必要な製品を選びます。
Q. ゼロトラストの導入は政府も推進しているのですか？
A. ゼロトラストは、日本政府もデジタル庁を中心に導入の考え方を示しています。デジタル庁は政府情報システム向けに「ゼロトラストアーキテクチャ適用方針（DS-210）」を公開し、当人認証・リソースの状態確認・観測などの適用方針を整理しています。また、民間企業の導入事例をまとめた参考資料も公開しており、これらは自社の方針づくりや社内説明の根拠としても活用できます。
出典・参考資料（2件）
- 出典：ゼロトラストアーキテクチャ適用方針（DS-210）｜デジタル庁（DS-210 PDF）
- 出典：（参考資料1）民間企業におけるゼロトラスト導入事例｜デジタル庁（デジタル庁 参考資料）
社内セキュリティソリューションの料金・資料を一括チェック
MCB FinTechカタログでは、ゼロトラストの各施策を担うID基盤・エンドポイント対策・ネットワーク監視・データレスクライアントなどの最新資料を無料で一括請求できます。機能や料金を見比べて、自社に合うサービスを効率的に検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
