テレワークやクラウドサービスの利用が広がり、社内ネットワークの中だけを守る従来の境界型防御では、従業員の端末や業務データを守りきれない場面が増えています。こうした変化を受けて、「何も信頼せず、アクセスのたびに検証する」ゼロトラストへの移行を検討する企業が増えてきました。
一方で、いざゼロトラストに取り組もうとすると、「大がかりなプロジェクトに見えて、何から手を付ければよいか分からない」という声は少なくありません。守るべき対象も、入れるべき仕組みも幅広く、全部を一度に導入する予算や人手を割けない企業も多いためです。
本記事では、ゼロトラストを実装する手順を、守る対象の把握から始める6つのステップに分けて解説します。各ステップでやること・最初の一歩・入れる仕組み・つまずきやすい点を整理し、小さく始めて広げる進め方や、段階ごとに選べるソリューションの例まで紹介します。NIST・IPA・デジタル庁が示すゼロトラストの考え方も要所で引きながら、自社の着手点を判断できるよう整理しました。
目次
一括ダウンロードする
ゼロトラストを「実装する」とは
ゼロトラストを実装するとは、社内ネットワークの内側だからという理由でアクセスを信頼するのをやめることです。アクセスのたびに「誰が・どの端末で・何に・どんな状態でアクセスしようとしているか」を検証し、必要最小限の権限だけを都度与える仕組みを、ID・端末・通信・データといった領域に順に整えていきます。
考え方の要約としてよく参照されるのが、マイクロソフトが示す次の3つの原則です。アクセスの判断とセキュリティ制御をどう組み立てるかの指針になります。
出典：セキュリティ基盤としてのゼロ トラスト｜Microsoft Learn
- 明示的に確認する｜すべてのアクセス要求は、使用可能なすべてのシグナルを使用して認証および承認されます。
- 最小限の特権アクセスを使用する｜ユーザーとワークロードは、必要なアクセス権のみを、必要な最短の時間で取得します。
- 侵害を想定する｜セキュリティコントロールは、攻撃者が環境内で動作している可能性があることを想定して設計されています。
この3原則は、「境界の内側でも無条件には信用しない」「アクセスごとに最小権限で検証する」「すでに侵害されているかもしれない前提で設計する」という姿勢を表しています。実装とは、この姿勢を具体的な仕組みに落とし込む作業だと考えると分かりやすくなります。
公的ガイドラインの拠り所（NIST・IPA・デジタル庁）
ゼロトラストの実装を進めるときは、特定の製品やベンダーの説明だけでなく、公的なガイドラインを拠り所にすると判断の軸がぶれません。主に次の3つが参照されます。
- NIST SP 800-207「Zero Trust Architecture」（米国国立標準技術研究所、2020年8月）：ゼロトラストの国際的な標準文書です。ゼロトラストを「ネットワークは侵害されているとみなしたうえで、リクエストごとに正確かつ最小権限でアクセス可否を判断するための考え方の集まり」と定義し、7つの基本原則（tenets）を示しています。リソースの定義、通信の保護、セッション単位での認可と最小権限、動的なポリシー、資産の状態監視、厳格な認証・認可（多要素認証を含む）、情報収集による継続的な改善、の7点です。
- IPA「ゼロトラスト導入指南書」（情報処理推進機構、2021年6月）：NIST SP 800-207を参考に、日本語で導入の進め方をまとめた無料公開の文書です。情報系・制御系システムへの導入の考え方を解説しています。
- デジタル庁「ゼロトラストアーキテクチャ適用方針」（2022年6月）：日本政府が示す適用方針で、6つの適用方針として実装の論点を整理しています。
デジタル庁の適用方針も、リソースの特定、主体の認証、ネットワークの保護、リソースの状態確認、アクセス制御、観測という6つの方針として実装の論点を整理しています。これから解説する6つのステップは、この公的な方針と大きく重なり、守る対象を特定し、主体（ID）を確認し、端末や通信を保護しながらアクセスを制御し、継続的に観測して改善する、という流れで進みます。
出典・参考資料（3件）
ゼロトラスト実装の全体像｜守る対象の把握から始める6ステップ
ゼロトラストの実装は、次の6つのステップに分けて段階的に進めると全体像をつかみやすくなります。ステップ数は整理の仕方で4〜6に分かれますが、流れはおおむねこの順序です。
- 守る対象を把握する：資産・データ・利用者・アクセスの棚卸し
- ID統制を固める：IDの一元管理・シングルサインオン・多要素認証
- 端末を管理・保護する：端末の状態の可視化と脅威への対応
- 通信を可視化しアクセスを制御する：都度検証するアクセス制御と社内通信の監視
- データを保護しログを統合する：データ漏えい対策とログの集約・分析
- 継続的に運用・改善する：検知・対応・見直しのサイクルを回す
各ステップで「やること」と、そこで入れる仕組みを一覧にすると次のとおりです。
なぜこの順序で進めるのか
ゼロトラストの出発点は、守る対象を正確に把握することです。何を守るのか・誰がどこからアクセスするのかが分からなければ、アクセスの可否を判断するポリシーそのものを設計できません。デジタル庁の適用方針も、最初の方針の中でこの点を明確にしています。
リソースを正確に特定できる状態でなければ、アクセス制御ポリシーの評価対象とすることはできない。
出典：ゼロトラストアーキテクチャ適用方針｜デジタル庁
守る対象を把握したうえで、まずIDを起点にするのが実務的に進めやすい順序です。ゼロトラストのアクセス制御は「誰のアクセスか」を確かめることが土台になります。そのためIDの一元管理と多要素認証を先に固めると、その後の端末・通信・データの制御に一貫したアクセス判断を乗せやすくなります。IPAの導入指南書も、NISTを参考にしつつ現状把握を前提に置いています。
まず，ゼロトラスト・アーキテクチャの移行には，資産 (デバイスやネットワークなど) ，主体 (ユーザ・権限など) ，ビジネスプロセスについて詳細に理解する必要がある。……現在の運用状況を把握していなければ，どのような新しいプロセスやシステムを導入する必要があるのかを判断することはできない。
出典：ゼロトラスト導入指南書 §2.6｜IPA
ただし、この順序は唯一の正解ではありません。デジタル庁の方針でも「プロセスはどこから開始しても良い」とされており、自社の弱点や優先度に応じて着手点を変えてもかまいません。本記事では、守る対象の把握を前提に、IDを起点として端末・通信・データ・運用へ広げる流れを基本として解説します。
ステップ1：守る対象を把握する（資産・データ・アクセスの棚卸し）
最初のステップは、守るべき対象の棚卸しです。社内にあるサーバーやクラウドサービス、業務で使う端末、取り扱うデータ、そして「誰がどこから何にアクセスしているか」を洗い出すことから始めます。この土台がないと、後のステップでアクセスの可否を判断するルールを作れません。
最初の一歩としては、利用中のクラウドサービスとアカウント、業務端末の一覧を作ることから始めると取りかかりやすくなります。情報システム部門が把握しているシステムだけでなく、各部門が独自に契約しているサービスまで含めて洗い出すのがポイントです。手作業での把握が難しい場合は、IT資産管理ツールやSaaSの利用状況を可視化するツールを使うと、棚卸しと更新を続けやすくなります。
つまずき所と回避策：資産とシャドーITの棚卸し漏れ
棚卸しが不完全なまま進めると、把握できていない資産へのアクセスが判断材料不足で止まってしまい、業務に支障が出ます。特に問題になりやすいのが、情報システム部門が把握していないまま各部門で使われている「シャドーIT」です。NIST SP 800-207も、棚卸しの不完全さがもたらす問題を次のように指摘しています。
Incomplete knowledge will most often lead to a business process failure where the PE denies requests due to insufficient information. This is especially an issue if there are unknown “shadow IT” deployments operating within an organization.
出典：NIST SP 800-207 Zero Trust Architecture, Section 7.3｜NIST
把握が不完全だと、情報が足りずにアクセスが拒否されて業務が止まりやすく、とりわけ把握されていないシャドーITが問題になる、という指摘です。
回避策としては、IPAの導入指南書が示すとおり、業務で使われる端末やサービスを「シャドーITも含めて可能な限り資産化する」ことが欠かせません。棚卸しは一度で完璧にはならないため、まず見える範囲から始め、後のステップで通信を可視化しながら抜けを補っていく進め方が現実的です。
出典・参考資料（1件）
ステップ2：ID統制を固める（IDの一元管理・シングルサインオン・多要素認証）
守る対象を把握したら、次はIDの統制です。ゼロトラストのアクセス制御は「誰のアクセスか」を確実に確かめることが土台になるため、複数のクラウドサービスに散らばったIDを一元管理し、認証を強化します。
入れる仕組みは、IDを一元管理するIDaaS（クラウド型のID管理基盤）、一度の認証で複数サービスを使えるシングルサインオン（SSO）、そしてパスワードだけに頼らない多要素認証（MFA）です。NIST SP 800-207でも、アクセスは原則としてセッション単位で最小権限で与え、認証・認可を厳格に行うこと、その手段として多要素認証を用いることが基本原則に挙げられています。
最初の一歩としては、全社で使う主要なクラウドサービスにシングルサインオンと多要素認証を適用するところから始めると効果を実感しやすくなります。認証が1か所に集まることで、退職者のアクセスを一括で止められるようになり、管理の手間も減ります。
そもそも多要素認証がどんな仕組みで本人を確かめるのか、よく混同される二段階認証とは何が違うのかを基礎から押さえておきたい場合は、次の記事で整理できます。
つまずき所と回避策：多要素認証の導入後に増える認証回避の試み
多要素認証を導入すると、攻撃側はその認証を回避しようとする手口に切り替えてきます。認証を何度も要求して利用者が承認してしまうのを狙う手口や、本人になりすまして認証情報をだまし取る手口などです。多要素認証を入れたこと自体で安心せず、承認時に文脈を確認できる認証方式の採用や、利用者への注意喚起をあわせて進める必要があります。
回避策としては、利用環境や端末の状態に応じて認証方式を動的に変える設定や、フィッシングに強いパスキー（FIDO2）などの認証方式への移行が有効です。SMS認証やワンタイムパスワードは、本人になりすまして認証情報をだまし取る手口で突破されることがある一方、パスキーはフィッシングに強い耐性を持ちます。IDの管理基盤を選ぶ際は、こうした認証方式に対応しているかを確認するとよいでしょう。
ステップ3：端末を管理・保護する（端末管理・エンドポイントセキュリティ）
IDを固めたら、アクセスの入り口となる端末を管理・保護します。ゼロトラストでは「侵害されている前提」で設計するため、端末が安全な状態かどうかを継続的に確認し、脅威を検知して対応できる状態をつくります。NIST SP 800-207も、保有するすべての資産の健全性とセキュリティ状態を監視・測定することを基本原則に挙げています。
入れる仕組みは、端末の設定やOS・アプリの状態を管理する端末管理（MDM）と、端末上の不審な挙動を検知して対応するエンドポイントセキュリティ（EDRを含むもの）です。最初の一歩としては、ステップ1で把握した端末に対し、まずウイルス対策と振る舞い検知を備えたエンドポイントセキュリティを全端末に行き渡らせるところから始めると着手しやすくなります。
つまずき所と回避策：私物や管理外の端末の放置
よくあるつまずきは、会社が貸与した端末だけを対象にしてしまい、私物の端末や一時的に使われる端末が管理の外に残ることです。管理外の端末が業務データにアクセスできる状態が残ると、ゼロトラストの前提が崩れます。
回避策としては、業務データへのアクセスを「管理された端末からのみ許可する」ようアクセス制御と組み合わせることが挙げられます。ステップ2のID統制で端末の状態を認証条件に加えたり、次のステップの通信制御で端末を識別したりすることで、管理外の端末からのアクセスを抑えられます。
ステップ4：通信を可視化しアクセスを制御する（都度検証のアクセス制御・社内通信の監視）
IDと端末を固めたら、通信の制御と可視化に進みます。社内ネットワークに入れば自由に動けるという前提をやめ、業務システムやデータへのアクセスを都度検証する形に変えていきます。従来のVPNは、一度つながると内部を広く行き来できてしまう点が課題になりやすく、この延長では守りきれない場面が増えています。
中心になる仕組みは、アクセスのたびに検証して必要なリソースにだけつなぐZTNA（ゼロトラスト・ネットワーク・アクセス）です。アクセス制御とネットワークの保護をクラウドで一体的に提供する仕組み（SASE）として導入する選択肢もあります。あわせて、社内を流れる通信を監視して不審な動きを検知するNDR（ネットワーク検知・対応）を入れると、アクセス制御だけでは捉えにくい内部の脅威も見えるようになります。
最初の一歩としては、重要度の高い業務システムへのアクセスからZTNAに置き換えていくと、影響範囲を抑えながら移行できます。
つまずき所と回避策：可視化だけで終わり、検知を運用につなげられない
通信を可視化する仕組みを入れても、検知された通信を確認して対応する運用が伴わないと、ログやアラートがたまるだけで実際の防御につながりません。「入れて終わり」になりやすい領域です。
回避策としては、検知した通信を誰がどう確認し、どんな場合に対応するかという運用の流れをあらかじめ決めておくことです。社内に専任の担当を置けない場合は、検知内容を分かりやすく通知する仕組みや、外部の監視サービスとの組み合わせも選択肢になります。あわせて、導入初期はいきなり遮断せず監視を中心に運用し、挙動を把握してから制御を強める進め方が、業務影響を抑えるうえで現実的です。
ステップ5：データを保護しログを統合する（データ漏えい対策・ログ統合・データレスクライアント）
アクセスを制御できるようになったら、守る対象の中心であるデータそのものの保護と、各ステップで得られるログの統合に進みます。どこに重要なデータがあるかを特定し、持ち出しや漏えいを防ぐ仕組みを整えます。
入れる仕組みは、機密情報の持ち出しを検知・制御するDLP（データ漏えい防止）、各種のログを集約して分析するSIEM、そして業務データを端末本体に残さないデータレスクライアントなどです。最初の一歩としては、重要データの所在を特定し、端末の紛失・盗難時にデータが漏れない設計から着手すると、効果が分かりやすくなります。
つまずき所と回避策：ログの形骸化
ログは集めること自体が目的になりがちで、取得して保存するだけで活用されないケースが少なくありません。ゼロトラストでは、集めた情報をアクセス判断や継続的な改善に生かすことが基本原則に含まれています。
回避策としては、まず何のためにどのログを見るのかを絞り込み、異常を検知したら通知が届く形にしておくことです。すべてのログを一度に統合しようとせず、ID・端末・通信の各ステップで重要度の高いものから集約し、確認と対応の流れとセットで運用に乗せると形骸化を防げます。
ステップ6：継続的に運用・改善する
ゼロトラストは、製品を導入したら完了するものではありません。検知・対応・ポリシーの見直しを繰り返しながら、少しずつ成熟度を高めていく取り組みです。デジタル庁の適用方針も、この点をはっきり示しています。
「ゼロトラストアーキテクチャの適用」は一過性なプロジェクトではなく、ましてや単一のソリューションを導入したことで完了するものでもない。政府情報システムにおける特定の目標を特定の期間で実行するプロジェクト・サイクルを繰り返すことで成熟度をあげる行為が、ゼロトラストアーキテクチャの適用といえる。
出典：ゼロトラストアーキテクチャ適用方針 §3.1｜デジタル庁
入れる仕組みとしては、ステップ5で統合したログをもとに検知と対応を自動化するSIEM・SOAR（セキュリティ運用の自動化）や、社内で手が回らない部分を補う外部の監視・運用委託サービスが挙げられます。最初の一歩としては、検知した事象への対応手順と、アクセス権限を棚卸しする頻度を、担当を決めた定例業務にすることから始めると、運用が回り始めます。
運用段階では、検知した事象への対応、ポリシーの定期的な見直し、新しく増えた資産やサービスの反映を回し続けます。多要素認証の適用率や、脅威を検知してから対応するまでの時間といった指標を決めておくと、取り組みの進み具合を測れ、形だけにならずに済みます。
つまずき所と回避策：導入後の放置と既存運用の引き継ぎ漏れ
仕組みを入れた後に運用が追いつかず放置されると、ポリシーが実態と合わなくなります。また、ゼロトラストへの移行時に、これまで行っていた運用ルールやアクセス権限の引き継ぎが漏れると、必要なアクセスまで止まったり、逆に不要な権限が残ったりします。
回避策としては、運用で回す作業（検知対応・権限の棚卸し・ポリシー見直し）を定例の業務として決めておくことと、移行前の運用ルールを文書化して引き継ぐことです。担当を置きにくい場合は、見直しの頻度を落としてでも定期的に実施する形にしておくと、形骸化を避けられます。
一括ダウンロードする
小さく始めて広げる進め方（中小企業・専任者がいない場合）
6つのステップをすべて一度に進める必要はありません。むしろ、全部を同時に導入しようとすると、予算も人手も足りず途中で止まってしまいがちです。NIST SP 800-207も、影響の小さい業務から試して広げる進め方を勧めています。
An enterprise may wish to start with a low-risk business process for the first transition to ZTA as disruptions will likely not negatively impact the entire organization. Once enough experience is gained, more critical business processes can become candidates.
出典：NIST SP 800-207 Zero Trust Architecture, Section 7.3.3｜NIST
最初の移行は組織全体に影響しにくい低リスクの業務から始め、十分に経験を積んでから、より重要な業務へ広げるとよい、という趣旨です。
IPAの導入指南書も同様に、「初めはビジネスインパクトの低いビジネスプロセスから開始するのが望ましい」とし、認証・認可の挙動を把握してから対象を広げることを勧めています。専任のセキュリティ担当を置けない企業ほど、この進め方が現実的です。
最小構成で始めるなら、まずID統制（シングルサインオンと多要素認証）から着手するのがおすすめです。退職者アカウントの放置やパスワードの使い回しといった身近なリスクを下げられ、効果を実感しやすいためです。そのうえで、端末のエンドポイントセキュリティ、重要業務の通信制御、データ保護へと、自社の弱点が大きい順に広げていきます。
社内で手が回らない部分は、監視や運用を外部に任せられるサービスを組み合わせる選択肢もあります。
ゼロトラストに限らず、限られた予算と人手のなかでセキュリティ対策全体をどの順で進め、費用はどのくらい見ておけばよいかを整理したい場合は、次の記事が優先順位と費用感つきでまとまっています。
出典・参考資料（1件）
各ステップで選べるソリューション
ここからは、実装の各ステップで「この課題はこういうソリューションで解決できる」という具体例を紹介します。ID基盤（ステップ2）・端末セキュリティ（ステップ3）・社内通信の可視化（ステップ4）・データ保護（ステップ5）に対応する代表的なサービスを、1段につき1つずつ取り上げます。
守る対象の棚卸し（ステップ1）や継続運用（ステップ6）は、特定の製品というより進め方が中心で、運用の一部は前述の外部の監視・運用委託サービスでも補えます。
ここで取り上げるのは各ステップの代表例です。守る対象ごとにどんなタイプのソリューションがあり、何を基準に選べばよいかまで一覧で見比べたい場合は、次の比較記事に全体像がまとまっています。
社内セキュリティソリューション比較｜守る対象別のタイプ・代表サービスと選び方
社内のセキュリティを強化したいものの、端末の保護から不正アクセス対策、情報漏えいの防止まで課題が広く、何から手をつければよいか判断がつかないという声は少なくありません。テレワークやクラウド利用が定着し、社外に持ち出される端末やIDが増えたこ…
| 比較項目 | CloudGate UNO | Eye"247" Safety Zone | Network Blackbox | Shadow Desktop |
|---|---|---|---|---|
| 提供会社 | 株式会社インターナショナルシステムリサーチ | 株式会社フーバーブレイン | 株式会社クワッドマイナージャパン | アップデータ株式会社 |
| 対応する実装ステップ | ステップ2：ID統制 | ステップ3：端末の保護 | ステップ4：社内通信の可視化 | ステップ5：データ保護 |
| 分類 | ID基盤（IDaaS） | 端末セキュリティ（EPP＋EDR） | NDR（ネットワーク検知・対応） | データレスクライアント |
| 主な機能 | SSO・多要素認証（MFA） パスキー（FIDO2）によるパスワードレス認証 ID管理・アクセス制限 | ウイルス対策（EPP）＋脅威検知・対応（EDR） 振る舞い検知・ランサムウェア対策（自動バックアップ／リストア） Webアクセス制御・一元管理コンソール | フルパケットキャプチャによる全数検査 収集・検知・ハンティング・フォレンジック・対応の5機能 MITRE ATT&CKベースのハンティング／EDR・SIEM連携 | 業務データを端末に残さないデータレス化 ローカルキャッシュ暗号化（AES256bit）・書き込み制御 リモートワイプ／ランサムウェアロールバック（いずれもオプション） |
| 料金 | 月額400円〜／ユーザー（税抜） | 要問い合わせ | 要問い合わせ | 月額950円〜／ユーザー（税抜） |
| 無料トライアル | 30日間 | 公表なし | 公表なし（デモ申請あり） | 最大30日間 |
| 詳細情報 | 公式資料を見る | 公式資料を見る | 公式資料を見る | オンライン相談を予約 |
1. CloudGate UNO（株式会社インターナショナルシステムリサーチ）｜ステップ2 ID統制
CloudGate UNOは、株式会社インターナショナルシステムリサーチが自社開発するクラウド型のID基盤です。公式には「ゼロトラスト時代のSSO・アクセス制限・認証強化・ID管理プラットフォーム」と位置づけられ、シングルサインオン・多要素認証・ID管理を1つにまとめて提供します。ステップ2のID統制を担う選択肢として検討できます。
認証面では、パスキー（FIDO2）によるパスワードレス認証や、Windows Hello・Touch IDなどの端末の生体認証、ワンタイムパスワードアプリに対応します。利用環境や端末の状態に応じて認証方式を切り替える「セキュリティプロファイル」を備え、IPアドレスや端末、時間帯によるアクセス制限も設定できます。
SAML 2.0やOpenID Connectに対応し、Google WorkspaceやMicrosoft 365などとのシングルサインオン連携が可能です。料金は、2026年11月時点の公式料金ページでStandard Plusプランが1ユーザーあたり月額400円（税抜。税込440円）からと公開されており、30日間の無料体験も用意されています。
ID統制を固めることで現場の運用がどう変わるかについて、同社は次のような事例を挙げています。
導入と同時にパスワードレス認証に切り替えた企業では、IT部門の業務の約20%を占めていたパスワード関連のヘルプデスク業務が「0%」になったという事例があります。
2. Eye”247″ Safety Zone（株式会社フーバーブレイン）｜ステップ3 端末の保護
株式会社フーバーブレインが提供するEye”247″ Safety Zoneは、ウイルス対策（EPP）と端末上の脅威検知・対応（EDR）を1つにまとめたエンドポイントセキュリティソフトです。ステップ3の端末の管理・保護にあたる領域をカバーします。検知エンジンにはBitdefenderと共同開発したものを採用しています。
アプリケーションの動作を常時監視する振る舞い検知や、機械学習ベースの検知に加え、ランサムウェア対策としてファイルを自動でバックアップし、直近のバックアップからリストアする機能を備えます。フィッシングサイトの自動ブロックや、利用時間帯を指定できるWebアクセス制御も利用できます。検知状況やPCの資産情報は、ブラウザから使える管理コンソールで一元的に確認できる仕組みです。
料金は公開されておらず、導入台数や契約期間に応じた個別見積もりとなります（2026年11月時点）。
3. Network Blackbox（株式会社クワッドマイナージャパン）｜ステップ4 社内通信の可視化
Network Blackboxは、ネットワークを流れるパケットを収集して脅威を可視化・分析・対応するNDR（ネットワーク検知・対応）製品です。開発元はQuad Minersで、日本では株式会社クワッドマイナージャパンが提供しています。ステップ4の社内通信の可視化を担い、通信の監視を通じて端末やアクセス制御だけでは捉えにくい不審な動きの検知に役立ちます。
フルパケットキャプチャを基盤に、収集・検知・ハンティング・フォレンジック・対応の5つの機能を備えます。通信そのものを保存してパケットやファイルを再構築できるため、事後の調査や証跡の提示に強みがあります。脅威ハンティングにはMITRE ATT&CKのフレームワークを用い、ミラーリング方式で導入するためネットワークへの影響を抑えられます。
EDRやSIEMとはSyslogやREST APIで連携でき、ステップ5のログ統合ともつなげられます。料金は公開されておらず、問い合わせが必要です（2026年10月時点）。
4. Shadow Desktop（アップデータ株式会社）｜ステップ5 データ保護
アップデータ株式会社のShadow Desktopは、業務データを端末本体に残さない「データレスクライアント」です。ステップ5のデータ保護にあたり、端末の紛失・盗難時の情報漏えいリスクを下げる手段として検討できます。既存のWindows PCにインストールして使う仕組みで、仮想デスクトップやシンクライアントと違い、通常のPCと同じ操作感のまま利用できる点が特徴です。
デスクトップやドキュメントなどのユーザーデータを外部ストレージへ自動アップロードし、PC本体にはデータを残しません。開いたファイルは端末内の専用領域に一時的にキャッシュされますが、このキャッシュはAES 256bitで暗号化され、ファイル名も変換されるため、ディスクを取り出しても内容を読み取れない設計です。オフライン環境でも作業を継続でき、PCを紛失した場合は管理コンソールから利用を停止できます。
ライセンスは原則5ユーザーからで、最大30日間の無料トライアルが用意されています。
まとめ
ゼロトラストの実装は、守る対象の把握から始め、ID統制・端末の保護・通信の可視化とアクセス制御・データ保護とログ統合・継続運用の6ステップで段階的に進めるのが基本です。すべてを一度に入れる必要はなく、影響の小さい業務やID統制から小さく始めて、自社の弱点が大きい順に広げていく進め方が現実的です。
まずは守るべき資産とアクセスの棚卸しから着手し、IDの一元管理と多要素認証を固めるところから始めてみてください。各ステップで選べるソリューションは、資料で機能や料金を比べながら、自社の課題に合うものを検討できます。
一括ダウンロードする
よくある質問（FAQ）
Q. ゼロトラストとは何ですか？
A. ゼロトラストとは、社内ネットワークの内側だからという理由でアクセスを信頼せず、アクセスのたびに最小権限で可否を検証するという考え方です。米国のNIST SP 800-207は、ゼロトラストを「ネットワークは侵害されているとみなしたうえで、リクエストごとに正確かつ最小権限でアクセス可否を判断するための考え方の集まり」と定義しています。
従来の「社内は安全・社外は危険」とする境界型防御に代わるもので、特定の製品そのものを指す言葉ではありません。
Q. ゼロトラストの実装にはどれくらいの期間と費用がかかりますか？
A. ゼロトラストの実装にかかる期間と費用は、着手する範囲と既存環境によって大きく変わり、「ここまでやれば完了」という固定のゴールがあるものではありません。デジタル庁の適用方針も、ゼロトラストの適用は一過性のプロジェクトでも単一ソリューションの導入で完了するものでもなく、サイクルを繰り返して成熟度を上げる取り組みだとしています。
そのため全体を一度に見積もるより、ID統制など効果の出やすい範囲から小さく始め、段階的に投資を広げる前提で計画するのが現実的です。費用感の目安として、ID基盤は本記事で紹介するサービスのように1ユーザーあたり月数百円程度から始められ、対象とする領域を広げるほど費用も積み上がっていきます。
出典・参考資料（1件）
Q. ゼロトラストの実装では、関連する製品をすべて買いそろえる必要がありますか？
A. ゼロトラストの実装に、IDaaS・EDR・ZTNA・SIEMといった製品をすべて一度に買いそろえる必要はありません。NIST SP 800-207は、7つの基本原則について「これらは理想的な到達目標であり、すべてを純粋な形で実装できるとは限らない」と明記しています。
デジタル庁も単一ソリューションの導入で完了するものではないとしており、自社の弱点が大きい領域から順に、必要な仕組みを入れていく進め方が基本です。
出典・参考資料（2件）
Q. 中小企業でもゼロトラストは必要ですか？
A. ゼロトラストは、テレワークやクラウドサービスを使う企業であれば、規模にかかわらず有効な考え方です。社外から社内データにアクセスする経路が増えるほど、社内ネットワークの内側だけを守る境界型防御では守りきれない場面が増えるためです。
専任のセキュリティ担当を置けない中小企業ほど、すべてを一度に導入しようとせず、ID統制（シングルサインオンと多要素認証）のように効果を実感しやすい範囲から小さく始めるのが現実的です。
Q. ゼロトラストの導入にあたり、VPNはすぐに廃止すべきですか？
A. ゼロトラストに移行する際も、VPNをいきなり全廃する必要はなく、重要度の高い業務システムへのアクセスから段階的にZTNAへ置き換えていくのが現実的です。従来のVPNは一度つながると社内を広く行き来できてしまう点が課題ですが、全面刷新は業務への影響が大きくなります。影響範囲を抑えられるところからZTNAに移し、挙動を確かめながら対象を広げると、業務を止めずに移行できます。
Q. ゼロトラストはどの業務から適用すればよいですか？
A. ゼロトラストは、まず影響（ビジネスインパクト）の小さい業務から適用し、挙動を把握してから重要な業務へ広げるのが望ましいとされています。NISTも、最初の移行は組織全体に悪影響を与えにくい低リスクの業務プロセスから始め、十分な経験を積んでからより重要な業務を対象にすることを勧めています。
IPAの導入指南書も同様に、初めはビジネスインパクトの低い業務から開始し、認証・認可の挙動を掴んでから対象を広げる進め方を推奨しています。
Q. ゼロトラストで、NIST SP 800-207の7原則はすべて満たさないといけませんか？
A. NIST SP 800-207の7原則は、すべてを完全な形で満たすことを義務づけたものではなく、目指すべき理想像として示されたものです。NIST自身が、これらの原則は理想的な到達目標であり、特定の戦略においてすべてを純粋な形で実装できるとは限らないと述べています。7原則は自社の現状とのギャップをはかるものさしとして使い、満たせていない領域から優先的に手を付けるのが実務的です。
Q. ゼロトラスト導入のPoC（試験導入）の成功基準はどう決めればよいですか？
A. ゼロトラストのPoCの成功基準は、「ゼロトラストが完成したか」ではなく、本番展開に進んでよいかを判断できる具体的な指標で決めるのが基本です。たとえば、対象業務に多要素認証やアクセス制御を適用しても業務が滞らないか、想定した不正アクセスを検知・遮断できるか、利用者の手間や問い合わせが許容範囲に収まるか、といった観点です。
影響の小さい業務で試す目的は認証・認可の挙動を把握することにあるため、その挙動が想定どおりかを測れる基準にしておくと、次の対象を広げる判断がしやすくなります。
Q. ゼロトラストで集めたログが形骸化しないようにするコツはありますか？
A. ゼロトラストのログの形骸化を防ぐには、集めること自体を目的にせず、「何のためにどのログを見るか」を絞り込み、異常を検知したら通知が届く形にしておくことが有効です。NIST SP 800-207も、資産や通信の情報を可能な限り集め、それをセキュリティ状態の改善に生かすことを原則の一つに挙げています。
加えて、ログを誰が・どのくらいの頻度で確認するかを定例の担当業務として決めておくと、見られないまま蓄積されるのを防げます。すべてを一度に統合しようとせず、重要度の高いものから対応の流れとセットで運用に乗せるのがコツです。
Q. ゼロトラストの導入マニュアルはどこで入手できますか？
A. 日本語の導入マニュアルとしては、IPA（情報処理推進機構）が無料公開している「ゼロトラスト導入指南書」が参照しやすい一次情報です。NIST SP 800-207を参考に、情報系・制御系システムへの導入の進め方を日本語でまとめています。あわせて、デジタル庁「ゼロトラストアーキテクチャ適用方針」やNIST SP 800-207（原典）も、実装の順序や原則を確かめる拠り所になります。
出典・参考資料（1件）
Q. ゼロトラストの実装は、何から着手するのがよいですか？
A. ゼロトラストの実装は、まず守る対象（資産・データ・利用者・アクセス）を棚卸しし、次にID統制（IDの一元管理・シングルサインオン・多要素認証）から固めるのがおすすめです。アクセスの可否は「誰のアクセスか」を確かめることが土台になるため、IDを先に固めると、その後の端末・通信・データの制御に一貫した判断を乗せやすくなります。
IDまわりは身近なリスクを下げやすく、効果を実感しやすい着手点のため、まずここから固めると次のステップへ進めやすくなります。
社内セキュリティソリューションの料金・資料を一括チェック
MCB FinTechカタログでは、ゼロトラストの実装に使えるID基盤・エンドポイントセキュリティ・NDR・データレスクライアントなどの最新資料を無料で一括請求できます。機能や料金、対応範囲を各社の資料でまとめて比較できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
