ゼロトラストに移行したい。けれど「何から、どの順番で手をつければいいのか」が分からない——ゼロトラストの導入を検討する多くの企業が、最初にぶつかる壁です。移行の進め方をまとめた資料として参照されているのが、IPA（情報処理推進機構）が公開した「ゼロトラスト移行のすゝめ」です。
ただ、この資料はA4で約40ページあり、全体像をつかむには読み込む時間が要ります。そこで本記事では、資料が示す移行の順序（ID統制から始める理由）、ゼロトラストを支える5つの構成要素、移行プロジェクトの5つのフェーズを整理します。あわせて、各段階にどの製品種別が対応し、MCB FinTechカタログで紹介するどのサービスで満たせるかまで示します。
資料本体を通読しなくても、移行の全体像と、自社が最初に踏み出す一歩が見えてくるはずです。各段階では、特定の製品に寄せず、選択肢となる製品種別を広くたどれます。
目次
一括ダウンロードする
IPA「ゼロトラスト移行のすゝめ」が示す移行の順序
ここからは、IPAの資料が示す移行の順序を確認します。結論から言えば、ゼロトラストへの移行は次の順番で進めることが提案されています。
- ID統制：誰がアクセスしているかを都度確認する基盤を整える（IDaaS・多要素認証など）
- デバイス統制：守るべき端末を洗い出し、組織の管理下に置く（MDM＝モバイルデバイス管理など）
- 残りの対策（エンドポイント保護・Webセキュリティ／シャドーIT対策・リモートアクセス・データ漏洩防止など）：組織が重要度や影響範囲を見て優先順位をつけて進める
- ログの収集・分析：防御の基盤を整えたうえで、最後に環境の監視へ取り組む（SIEM＝各機器のログを集約・分析する仕組みなど）
この順序は、資料のグランドデザイン作成（Phase2）のロードマップを扱う箇所で、「図2-3 ゼロトラストソリューションの実装順序」として示されています。資料は、その根拠を次のように説明しています。
ID 統制はゼロトラストの概念の中でも中核を担う要素であり、認証・認可を行う上でユーザーの識別は非常に重要なポイントである。また後にユーザーとデバイスの紐付けやユーザーとコンテンツの紐付けを行うための基盤作りとして必要なことから、ゼロトラスト構築の初めに取り掛かるべき内容である。ここで ID 基盤をきれいな状態にしておかなければ、その後のソリューション展開を行った際に不適切な通信を認証・認可してしまう可能性がある。
出典：ゼロトラスト移行のすゝめ（第2章 2.2.2 グランドデザイン作成）｜IPA 産業サイバーセキュリティセンター（2022年6月）
中間にあたるエンドポイント保護やシャドーIT対策、データ漏洩防止などは、どれを先にするかが一律に決まっているわけではありません。資料は、これらを「組織の中で重要度や影響範囲などの観点で優先順位をつけて進めるべき」としています。一方でログ分析を最後に回すのは、まず防御の基盤を固めてから環境の監視に移るべき、という考え方に基づきます。
なぜID統制から始めるのか
ID統制を起点に置く理由は、ゼロトラストが「境界の内か外か」ではなく「誰が・何に・どうアクセスするか」を都度確認する考え方だからです。その確認の土台となるのがIDの管理で、ここが乱れていると、後から高度な対策を重ねても、不適切な通信をそのまま通してしまう恐れがあります。資料の第3章まとめでも、取り組みの優先度が次のように整理されています。
ゼロトラストは「全てを信用しない」概念というよりは「全てを確認した上で認証・認可を行う」概念である。そのため、認証・認可を適切に行うための基盤となる ID 統制、デバイス統制が優先的に取り組むべき課題である。
出典：ゼロトラスト移行のすゝめ（第3章 まとめ）｜IPA 産業サイバーセキュリティセンター（2022年6月）
注意したいのは、この順序は厳密な一本道ではない点です。資料も、図はウォーターフォール的に描いているものの、実際にはID統制とデバイス統制を並行して進めてよいと明記しています。自社の状況に合わせて、できるところから着手してかまいません。
図 2-3 ではウォーターフォール的な流れで図示したが、実際には ID 統制を行いつつ、デバイス統制を行うなど、並行して作業することも可能である。
出典：ゼロトラスト移行のすゝめ（第2章 2.2.2 グランドデザイン作成）｜IPA 産業サイバーセキュリティセンター（2022年6月）
ゼロトラストを支える5つの構成要素
ここからは、移行の順序を理解する土台として、ゼロトラストを支える5つの構成要素を整理します。資料は、ゼロトラストを構成する重要な要素を次の5つに分類し、それぞれに関連するソリューションの種別を示しています。
| 構成要素 | 何を守るか（資料の整理） | 関連するソリューション種別 |
|---|---|---|
| ID統制 | 誰がアクセスしているかを都度識別し、認証・認可を行う基盤。できる限り一元的に統制する | IDaaS |
| デバイス統制・保護 | 管理すべき端末を洗い出し、組織の管理下に置く。アクセス時に端末の状態を確認する | MDM |
| ネットワークセキュリティ | すべての通信を保護し、把握していないSaaS利用（シャドーIT）にも対策する | IAP（ほかCASB・SWG） |
| データ漏洩防止 | データ自体を保護対象とし、不正な持ち出しや、持ち出されても閲覧させない対策を講じる | DLP／IRM |
| ログの収集・分析 | 各機器からログを集約・分析し、攻撃の早期検知・対応と恒久対策の検討につなげる | SIEM |
5つの要素は、資料の第1章でゼロトラストの定義とあわせて提示されています。
本書では、ゼロトラストを構成する重要な要素を「ID 統制」「デバイス統制・保護」「ネットワークセキュリティ」「データ漏洩防止」「ログの収集・分析」に分類し、ゼロトラストとの関連性とそれぞれに関連するソリューションを紹介する。
出典：ゼロトラスト移行のすゝめ（第1章 1.1 ゼロトラストとは）｜IPA 産業サイバーセキュリティセンター（2022年6月）
この5要素は「何を守るか」という切り口の整理で、各要素に対応づけられたソリューションの種別（IDaaS・MDMなど）も資料の記載によります。前章の導入の順序と対応させると、ID統制とデバイス統制が先行し、ネットワークセキュリティとデータ漏洩防止は順序でいう「残りの対策」に、ログの収集・分析が最後に当たります。
ゼロトラストの定義をNIST（米国国立標準技術研究所）のSP800-207など別の枠組みと対応づける解説もありますが、ここでの5つのカテゴリ分けは、あくまでIPAの本資料によるものです。
移行を進める5つのフェーズと推進体制
ここからは、プロジェクトとしての進め方を見ます。前章までの「どのソリューションをどの順で入れるか」という実装の順序とは別に、資料はプロジェクト全体の進め方を5つのフェーズで示しています。実装順序は、このうちグランドデザイン作成（Phase2）の中で設計する位置づけです。両者を混同しないように、まずフェーズの流れを押さえます。
| フェーズ | やること | つまずきやすい点・留意点 |
|---|---|---|
| Phase1：As-is分析・ありたい姿の検討 | 目的を明確にし、現状の課題を可視化する | As-is分析をせずに目先の課題から進めると、潜在的な課題に気づけない恐れがある |
| Phase2：グランドデザイン作成 | ありたい姿と必要なソリューション、実装のロードマップ（順序）を設計する | 順序づけを飛ばすと、後工程で手戻りが生じやすい |
| Phase3：投資判断 | 経営者・ステークホルダーに必要性を説明し、投資の合意を得る | 不安を煽るような説明での説得は推奨されていない |
| Phase4：環境構築 | グランドデザインをもとに各ソリューションを構築する | 試験運用をせず全社展開すると、業務影響が出たとき組織への影響が大きい |
| Phase5：検証・改善 | 利用者のフィードバックを得て、より良い構成へ改善する | 検証・改善を省くと、業務に合わない構成のまま固定化しやすい |
もう一つ資料が強調しているのが、推進体制です。ゼロトラストへの移行は、セキュリティ・IT部門だけで完結する話ではないとされ、経営者をはじめ、法務・人事・経理・事業（ユーザー）部門が関わる体制が示されています。特に経営者の理解は、ヒト・モノ・カネのリソースを確保するうえで欠かせないステークホルダーとして位置づけられています。
出典・参考資料（1件）
各段階で使うソリューションと対応するサービス
ここからは、移行の各段階に、どの製品種別が対応し、MCB FinTechカタログで紹介するどのサービスで満たせるかを見ていきます。ゼロトラストは単一の製品で完成するものではなく、段階ごとに役割の違う製品種別を組み合わせて実現します。まずは段階と製品種別、代表的なサービスの対応を一覧で確認してください。
| サービス名 | CloudGate UNO | YubiKey as a Service | DZ Pass | Soliton OneGate | Eye"247" Safety Zone | Network Blackbox |
|---|---|---|---|---|---|---|
| 対応する移行段階 | ID統制 | ID統制 | ID統制 | ID統制 | エンドポイント保護（残りの対策） | ログの収集・分析 |
| 製品種別 | IDaaS（SSO・多要素認証） | 物理セキュリティキー（多要素認証） | 継続認証・パスワードレス（PC向け） | IDaaS（証明書認証・SSO） | エンドポイントセキュリティ（EPP＋EDR） | NDR（ネットワーク検知・対応） |
| 主な特徴 | SSO・パスキー認証・アクセス制限を1つの管理画面に集約した国産ID基盤 | スマホを配れない現場でも使える物理キー。秘密鍵が外に出ずフィッシングに強い | スマホ連携でPC利用中ずっと本人確認する継続認証。離席で自動ロック | 認証局（CA）機能を標準搭載。証明書でクラウド〜Wi-Fi・VPNの認証を統制 | EPPとEDRを1製品に統合。ランサムウェア時は自動バックアップから復旧 | 全パケットを損失なく保存し、脅威の通信を遡って調査できるネットワーク型 |
| 料金の目安 | 月額400〜600円/ユーザー（税抜） ※2026年11月時点・公式料金ページ | 要問い合わせ （200ユーザー〜の個別見積もり） | 要問い合わせ | 月額150〜600円/ユーザー（税抜） ※2026年9月時点・公式料金ページ | 要問い合わせ | 要問い合わせ |
以下では、移行の順序に沿って、各段階に対応する製品種別と代表的なサービスを見ていきます。順序は、ID統制→デバイス統制→残りの対策（エンドポイント保護・Webセキュリティ・リモートアクセス・データ漏洩防止）→ログの収集・分析でした。ここではID統制・エンドポイント保護・ログの各段階のサービスを順に紹介します。
デバイス統制（MDM）、Web・リモートアクセス（SWG・CASB・ZTNA・SASE）、データ漏洩防止（DLP）の各段階に対応するサービスは、カテゴリ全体をまとめた比較記事で広く比較できます。守る対象をまたいで検討したい場合は、あわせて参照してください。
また、最後のログの段階は基本の製品種別がSIEMですが、ここで紹介するNetwork Blackboxは、SIEMやEDRと連携してログと事後調査の基盤を担うネットワーク型（NDR）です。
社内セキュリティソリューション比較｜守る対象別のタイプ・代表サービスと選び方
社内のセキュリティを強化したいものの、端末の保護から不正アクセス対策、情報漏えいの防止まで課題が広く、何から手をつければよいか判断がつかないという声は少なくありません。テレワークやクラウド利用が定着し、社外に持ち出される端末やIDが増えたこ…
1. CloudGate UNO（株式会社インターナショナルシステムリサーチ）
CloudGate UNO は、2008年に提供を始めたシングルサインオン（SSO）サービスを起点に、インターナショナルシステムリサーチが100％自社開発で育ててきた国産のID基盤（IDaaS）です。SSO、多要素認証（MFA）、パスキー（FIDO2）によるパスワードレス認証、アクセス制限、ID管理を1つの管理画面にまとめています。
ゼロトラストへの移行で最初に取り組む「誰に・どこまでアクセスを許すか」の統制を、一通り引き受けられる構成です。複数のSaaSへのログインをSSOで集約し、フィッシング耐性の高いパスキー認証でパスワードそのものを使わない運用へ寄せたうえで、端末・場所（IPや国・地域）・曜日や時間帯という軸でアクセスを制限できます。
アクセスの入口を1か所に束ね、条件で絞り込むという、ID統制の土台にあたる役割を担います。
料金は、公式料金ページ（2026年11月時点）で Standard Plus が月額400円、Enterprise Plus が500円、Smart Pack が600円（いずれも税抜・1ユーザーあたり）と公開されており、パスキー認証は全プラン・全ユーザーが追加費用なく利用できます。30日間の無料体験も用意されています。
ID統制を起点に据えると、情報システム部門の日々の運用はどう変わるのでしょうか。提供元のインターナショナルシステムリサーチは、パスワードレス認証に切り替えた企業での変化を次のように挙げています。
導入と同時にパスワードレス認証に切り替えた企業では、IT部門の業務の約20%を占めていたパスワード関連のヘルプデスク業務が「0%」になったという事例があります。
2. YubiKey as a Service（株式会社インターナショナルシステムリサーチ）
Yubico 社の物理セキュリティキー「YubiKey」を、サブスクリプション型で法人向けに届けるのが YubiKey as a Service です。インターナショナルシステムリサーチが Yubico 社とのパートナー契約に基づいて日本で提供しています。キー本体に加えて、導入設計から運用中のサポートまでを一体にしている点が、従来の買い切り型との違いにあたります。
位置づけとしては、ID統制の段階で使う「認証の手段」そのものを強くする層です。秘密鍵とPINが鍵の内部に留まるため、認証情報を盗み取ろうとするフィッシングに対して強い耐性を持ちます。
スマートフォンを配りきれない現場でも物理キーで多要素認証やパスワードレス認証をそろえられるので、派遣社員・委託先が多い職場や、建設現場・コールセンターのようにスマホを使いにくい環境でも、認証の入口を一段引き上げられます。
契約は200ユーザーからで、期間は3年または5年です。毎年、契約数の25％分の予備キーが提供されるため、紛失や増員にも在庫で対応できます。料金は選ぶキーの種類や配布条件によって変わる個別見積もりのため、具体額は問い合わせで確認する形になります。
ゼロトラストが認証をなぜ最初に固めるのか。認証を提供する立場から、同社の内田氏は次のように話します。
フィッシングやランサムウェアの被害が増えている中で、すべてが認証で解決するわけではありませんが、認証というのは家でいう玄関のようなところです。ここのセキュリティをがっちり強化することで、被害を大幅に低減できると考えています。今はパスワードが漏れているのが当たり前という世界ですので、パスワードを使わないパスワードレス認証への移行は極めて有効な対策となります。
3. DZ Pass（株式会社AnchorZ）
DZ Pass は、AnchorZ が持つ「バックグラウンド認証®」という技術を Windows PC 向けに応用した、パスワードレス認証・情報漏洩対策のソフトウェアです。スマートフォンのセンサーから顔立ちや操作の癖、生活パターンを読み取り、「今その端末を使っているのが本人か」を使っている間ずっと確認し続ける継続認証を軸にしています。
一般的な認証がログインの瞬間だけ本人を確かめるのに対し、DZ Pass はサインインした後も本人確認を続けるところに特徴があります。ペアリングしたスマートフォンで本人性が保てている間はパスワードやPINなしでPCを使え、離席すれば自動で画面をロックし、登録されていない人物がPCの前にいればこれを検知して管理者へ通知します。
ゼロトラストが重視する「一度認証したら終わりにしない」という考え方を、PCの利用中ずっと働かせ続ける役割です。
既存のWindowsログインを変えずに監視機能だけを足す「Windows標準モード」や、スマホを持たない共有端末向けに顔認証だけでサインインする「ライトモード」も選べるため、既存環境を大きく崩さずに段階的に導入しやすい設計になっています。
「一度認証したら終わりにしない」という継続認証は、在宅勤務の現場でどう働くのか。画面に個人情報が表示される在宅勤務者が、その画面をスマートフォンで撮影して持ち出す——そうした不正を例に、提供元のAnchorZは次のように説明します。
当社の常時認証では、ご本人がパソコンに向かってスマートフォンのカメラを構えた瞬間にロックすることができます。すぐに画面ロックがかかるので画面を撮影されることはありませんし、同時に「在宅勤務中のAさんがスマートフォンでパソコンの画面を撮ろうとしたので、画面をロックしました」という通知が、システム管理者へ即座に届くようにすることができます。こうして、在宅勤務時の不正行為を水際で未然に防ぐことができます。
4. Soliton OneGate（株式会社ソリトンシステムズ）
デジタル証明書（クライアント証明書）による多要素認証を軸に、SSOとID管理をまとめたクラウド型の認証基盤が Soliton OneGate です。東証プライム上場のソリトンシステムズが開発する国産のIDaaSで、証明書を発行する認証局（CA）機能を製品に標準で備えている点が構成上の特徴です。
ID統制の段階では、端末に配った証明書を手がかりに「信頼できる利用者・デバイスだけ」をアクセスできる対象に絞り込めます。証明書の発行・配布の自動化から、紛失時の失効（即時反映も可能）までを1製品で回せるので、PKIの基盤を別に構築しなくてもデバイス認証を始められます。
保護する範囲もクラウドサービスのSSOにとどまらず、オフィスのWi-Fi・有線LAN（IEEE802.1X EAP-TLS）やVPNといったネットワーク認証まで広がり、アクセスの入口をまとめて統制できます。
料金は公式ページ（2026年9月時点）でプラン別に公開されており、証明書認証を中心とするPKIプランが1ユーザー月額150円から、認証方式を広げるベーシックが300円、スタンダードが600円です（いずれも税抜）。政府情報システム向けのISMAP（クラウドサービスリスト）にも登録されています。
5. Eye”247″ Safety Zone（株式会社フーバーブレイン）
専任のセキュリティ担当者を置きにくい中堅・中小企業を主な対象に、フーバーブレインが提供するエンドポイントセキュリティが Eye”247″ Safety Zone です。マルウェアを検知・防御する EPP と、不審な挙動を検知してログの調査や復旧を支援する EDR を、1つの製品にまとめています。検知エンジンには Bitdefender と共同開発したものを採用しています。
IPAの実装順序では、エンドポイント保護はID統制・デバイス統制（MDM）のあと、組織の優先度に応じて進める「残りの対策」に位置づけられます。本サービスはそのエンドポイント保護の層を受け持ち、認証とデバイスの管理を固めた端末上で、アプリの動きを常時監視する振る舞い検知（ATC）で不審な動作を捉え、EDRで「何が起きたか」をたどれるようにします。
ランサムウェア対策としては、ファイルを自動でバックアップし、被害時には端末側から直近のバックアップへ戻せる仕組みを標準で備えています。
検知状況は、Google Chrome や Microsoft Edge で開けるブラウザベースの管理コンソールから一元的に確認でき、各PCの状態をまとめて把握できます。料金は導入台数や契約期間に応じた個別見積もりのため、具体額は問い合わせで確認する形です。
6. Network Blackbox（株式会社クワッドマイナージャパン）
ネットワークを流れる通信そのものを保存し、脅威を可視化・分析・対応する仕組みが Network Blackbox です。韓国の Quad Miners が開発し、日本法人のクワッドマイナージャパンが提供するネットワーク型（NDR）の製品で、全パケットを損失なく取り込むフルパケットキャプチャを基盤としています。
認証でアクセスを統制し、端末を守ったとしても、侵入や内部の不正通信の痕跡を後から追えるログの基盤がなければ、起きたことを確かめられません。本サービスはそのログ側を受け持ちます。通信を保存しているため、検知された脅威について通信の宛先や時系列、やり取りされたファイルを遡って調べる事後調査（フォレンジック）に使えます。
シグネチャによる既知攻撃の検知に、ユーザー行為の記録に基づく検知（BAD）とデータ内容を復元するコンテンツ分析を組み合わせ、MITRE ATT&CK に沿った脅威ハンティングも行えます。
ミラーリング方式で導入するためエージェントを入れられない機器にも対応しやすく、EDR を入れにくい制御系・OT 環境も含めてネットワーク側から見渡せます。検知や対応を担う EDR・SIEM とは Syslog や REST API で連携する補完的な位置づけで、置き換えではなく組み合わせて使う設計です。料金は要問い合わせで、デモの申し込み窓口が用意されています。
少人数の情シスでも始められる進め方と第一歩
ここからは、専任担当を置きにくい組織でも現実的に進めるための考え方を見ます。資料がまず戒めているのは、「ゼロトラストに移行すること」自体が目的になってしまう事態です。
ゼロトラスト構成への移行で最も重要な点は、何を解決するためにゼロトラストという戦術を使うのかを明確化することである。この部分がはっきりしないままプロジェクトを推進すると「ゼロトラスト構成に移行すること」が目的化してしまい、組織の課題にあった構成にならない可能性がある。
出典：ゼロトラスト移行のすゝめ（第2章 2.1 移行検討中の組織に必要なマインド）｜IPA 産業サイバーセキュリティセンター（2022年6月）
この考え方は、少人数で進める組織ほど効いてきます。すべてを一度にそろえようとせず、自社の課題に直結するところ——多くはID統制——から小さく始め、効果を確かめながら範囲を広げるのが現実的です。資料も、環境構築の段階で、いきなり全社展開せず、まずIT部門で動作を確認し、各部門のパイロットユーザーで試験運用してから広げることを勧めています。
運用の負荷を抑える方向もあります。Webアクセス制御やリモートアクセスなど複数の機能を一体にしたSASEを選ぶと、個別に製品を組み合わせるより管理をまとめやすくなります。すでに使っているクラウドサービスに付属する認証・デバイス管理の機能を活かす、監視や運用を外部のマネージドサービスに任せる、といった選択肢も、手が足りない組織では現実解になります。
では、今日からの第一歩は何か。実務上は、まず「誰が・どのアカウントを持っているか」を棚卸しし、使われていない幽霊アカウントや、退職者・取引先の残存アカウントを洗い出すところから始めると、着手の負担が軽く効果も見えやすくなります。これはIPAの資料が手順として示しているものではありませんが、ID統制を起点にするという資料の方針と無理なくつながる入り方です。
現状のIT資産（端末・利用中のSaaS）の把握とあわせて進めれば、次に何へ投資すべきかの判断材料にもなります。
一括ダウンロードする
なぜ今ゼロトラストへの移行が必要なのか
最後に、移行の背景を押さえておきます。ゼロトラストが求められるようになったのは、「社内ネットワークの内側は安全」という前提が通用しなくなったからです。テレワークの普及やクラウド利用の拡大で、守るべき情報資産が社内の境界の内側に収まらなくなりました。資料も、この変化を次のように整理しています。
ゼロトラストは、これまでの「境界内部は信頼できる領域で、境界外部は信用できない領域である」という考え方ではなく、「たとえ境界内部であっても無条件に信用せず全てにおいて確認し認証・認可を行う」という考え方に基づいて社内の情報資産を守る概念である。
出典：ゼロトラスト移行のすゝめ（まえがき）｜IPA 産業サイバーセキュリティセンター（2022年6月）
ゼロトラストという考え方自体は2010年ごろから提唱されていましたが、働き方とシステム利用の変化によって、改めて実装の必要性が高まっているというのが資料の見立てです。本記事で見た移行の順序は、この背景のうえに立っています。
ゼロトラストという考え方そのものや、境界型防御との違い・仕組みを基礎から押さえ直したい場合は、以下の記事で解説しています。
この資料は発行から一定期間を想定した内容です（巻末に有効期限の記載があります）。移行の順序や構成要素といった考え方の骨格は普遍的ですが、個別の製品や機能は変化するため、導入の検討時には各サービスの最新情報もあわせて確認してください。
まとめ
IPA「ゼロトラスト移行のすゝめ」が示す移行の順序は、ID統制を起点に、デバイス統制、そして組織の優先度に応じたエンドポイント保護やWeb・リモートアクセスの対策、最後にログの収集・分析へと進むものでした。まず「誰が・何に・どうアクセスするか」の土台を整えることが、後戻りを防ぐ鍵になります。
各段階には、IDaaS・多要素認証、MDM、EDR、SWG／CASB／ZTNA、SIEMといった製品種別が対応します。自社がどの段階から着手すべきかが見えたら、その段階に合うサービスの資料を取り寄せ、機能や料金を具体的に比べてみましょう。MCB FinTechカタログでは各段階に対応するサービスの資料をまとめて請求できるので、まずは気になる段階から確認してください。
一括ダウンロードする
よくある質問（FAQ）
Q. IPA「ゼロトラスト移行のすゝめ」とはどんな資料ですか？
A. IPA（情報処理推進機構）が2022年6月に公開した、ゼロトラストへの移行の進め方を体系的にまとめた公的な手引き書です。A4で約40ページの資料で、移行プロジェクトを5つのフェーズ（As-is分析→グランドデザイン作成→投資判断→環境構築→検証・改善）で示し、ゼロトラストを支える5つの構成要素と、ソリューションの実装順序（ID統制を起点とする順番）を、特定の製品名に依らず整理しています。
産業サイバーセキュリティセンターの中核人材育成プログラムの成果物として公開されており、本記事はこの資料を出所を明記しながら要約したものです。
Q. ゼロトラスト移行は中小企業でも必要ですか？
A. ゼロトラスト移行は企業規模を問わず検討する価値があり、中小企業ならID統制と多要素認証という小さな一歩から始めれば十分です。テレワークやクラウド利用で「社内ネットワークの内側は安全」という前提が崩れている点は、規模の大小によらず共通の課題です。
専任のセキュリティ担当を置きにくい組織ほど、すべてを一度にそろえようとせず、自社の課題に直結するID統制から小さく始めて効果を確かめながら範囲を広げるのが現実的です。
Q. ゼロトラスト移行は、なぜID統制から始めるのですか？
A. ID統制が認証・認可の中核であり、ここを整えないまま高度な対策を重ねると、不適切な通信をそのまま認証・認可してしまう手戻りが生じるためです。ゼロトラストは「誰が・何に・どうアクセスするか」を都度確認する考え方で、その確認の土台になるのがIDの管理です。IPAの資料も、ID統制を「ゼロトラスト構築の初めに取り掛かるべき内容」と位置づけています。
ただし厳密な一本道ではなく、ID統制とデバイス統制は並行して進めてよいと資料は明記しています。
Q. ゼロトラスト移行でよくある失敗パターンは何ですか？
A. 「ゼロトラストに移行すること」自体が目的化し、自社の課題に合わない構成になってしまうのが典型的な失敗です。IPAの資料は、何を解決するためにゼロトラストを使うのかを明確にしないままプロジェクトを進めると、組織の課題に合った構成にならない恐れがあると戒めています。
ほかにも、As-is分析（現状把握）を飛ばして目先の課題から進める、試験運用をせずいきなり全社展開して業務影響を広げる、といったつまずきが資料で指摘されています。
Q. ゼロトラスト移行の費用はどのくらいかかりますか？
A. ゼロトラスト移行の費用は、導入する製品種別と範囲によって大きく変わり、一律の相場はありません。ゼロトラストは単一の製品で完成するものではなく、段階ごとに役割の違う製品を組み合わせて実現するため、どこまでの範囲を自社で内製・外部化するかで総額が変わります。
目安として、起点となるID統制のIDaaSは1ユーザー月額数百円から（証明書認証を中心とするプランでは月額150円程度から。いずれも税抜）という水準で、本記事の各サービス紹介でも具体的な料金を挙げています。すべてを一度にそろえず、効果を確かめながら範囲を広げるスモールスタートが、初期費用を抑える現実的な進め方です。
Q. ゼロトラスト移行にはどのくらいの期間がかかりますか？
A. ゼロトラスト移行に決まった期間はなく、全体を一度に完成させるのではなく段階的に進めるのが前提です。IPAの資料は移行を5つのフェーズで示しており、環境構築の段階でも、いきなり全社展開せず、まずIT部門で動作を確認し、各部門のパイロットユーザーで試験運用してから広げることを勧めています。
着手する範囲や自社のIT資産の状況によって要する時間は変わるため、第一歩のID統制から小さく始め、検証・改善を重ねながら広げていく進め方が現実的です。
Q. 既存のVPNや境界型防御の資産は無駄になりますか？
A. ゼロトラストへ移行しても、既存のVPNや境界型防御がすぐに不要になるわけではなく、ID統制などを起点に段階的に補完・置き換えていく形になります。ゼロトラストは一度にすべてを入れ替えるものではなく、自社の課題に直結するところから優先順位をつけて進める考え方です。
現状のIT資産（端末・利用中のSaaS・既存のネットワーク機器）を棚卸ししたうえで、どこから着手し何を活かすかを設計すれば、既存投資を無駄にせずに移行を進められます。
ゼロトラスト関連ソリューションの料金・資料を一括チェック
MCB FinTechカタログでは、ID統制・デバイス統制・ログ監視など、ゼロトラスト移行の各段階に対応するサービスの最新資料を無料で一括請求できます。機能や料金を見比べて、自社の段階に合う一社を選べます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
