ランサムウェアや標的型メールの被害が報じられるたびに、「自社の守りは今のままで大丈夫なのか」と問われる情報システム担当者は少なくありません。ファイアウォールやウイルス対策は以前から導入してきたものの、最近よく聞く「ゼロトラスト」が、これまでの「多層防御」とどう違うのか、乗り換えが必要なのか、判断に迷う場面が増えています。
結論から言えば、多層防御とゼロトラストは対立する考え方ではありません。入口・内部・出口に守りを重ねる多層防御を土台にし、その上へ「何も信頼せず、アクセスのたびに確かめる」ゼロトラストの考え方を重ねていくという、補い合う関係にあります。どちらか一方を選ぶのではなく、両方を組み合わせて自社の守りを組み立て直すのが、今の現実的な方向です。
この記事では、まず2つの違いと関係を一目で整理し、なぜ今「多層防御だけでは足りない」と言われるのかを解説します。そのうえで、入口・内部・出口の層ごとにどんな対策が要るのか、少人数・低予算の組織が何から手を付ければよいのかまで、自社の守りの抜けを確かめながら読み進められるように整理します。
目次
一括ダウンロードする
多層防御とゼロトラストの違いと関係
2つの言葉を並べて検索する方が最初に知りたいのは、「結局どっちをやればいいのか」という関係の整理ではないでしょうか。まずは違いを一目で突き合わせたうえで、それぞれの中身を見ていきます。
多層防御とゼロトラストを対比すると
多層防御とゼロトラストは、守りの「重ね方」と「信頼の前提」が異なります。下の表で、両者がどこに立脚しているかを対比します。
| 観点 | 多層防御（Defense in Depth） | ゼロトラスト（Zero Trust） |
|---|---|---|
| 基本の発想 | ある対策がすり抜かれても、別の対策で止める。防御を層状に重ねる | 何も暗黙に信頼せず、アクセスのたびに正当性を確かめ続ける |
| 信頼の前提 | 対策を多重化して侵入の確率を下げる（層の積み重ねが前提） | ネットワークの内側も信頼しない。攻撃者がすでに内部にいる前提で設計する |
| 主に守る場所 | 入口・内部・出口など、守るポイントごとに対策を配置 | 利用者・端末・通信・データへのアクセスそのもの（場所に依存しない） |
| 想定する環境 | 社内ネットワークという境界を引ける環境と相性がよい | クラウド・テレワークなど、境界が曖昧な環境を前提にできる |
両者は対立しません。多層防御で守りを重ねることが土台になり、その上にゼロトラストの「アクセスのたびに確かめる」考え方を重ねていきます。
多層防御は「守りの厚みをどう作るか」、ゼロトラストは「誰のどのアクセスを信頼するか」という、問いの立て方が違う考え方です。片方に乗り換えるのではなく、多層防御を土台にその上へゼロトラストの考え方を重ねていくと捉えると、自社で何をすべきかが見えやすくなります。
ゼロトラストとは
ゼロトラスト（Zero Trust）は、社内ネットワークの内側だからといって自動的に信頼するのをやめ、アクセスのたびにその正当性を確かめ続けるという考え方です。米国国立標準技術研究所（NIST）が2020年に公開した「ゼロトラスト・アーキテクチャ（NIST SP 800-207）」は、ゼロトラストを次のように定義しています。
Zero trust is a cybersecurity paradigm focused on resource protection and the premise that trust is never granted implicitly but must be continually evaluated.
（補助訳）ゼロトラストは、リソースの保護に重点を置くサイバーセキュリティの考え方であり、信頼は暗黙のうちに与えられるものではなく、継続的に評価されなければならないという前提に立つ。
出典：NIST Special Publication 800-207「Zero Trust Architecture」§2（2020年8月）｜米国国立標準技術研究所（NIST）
この考え方を実務に落とすとき、マイクロソフトは次の3つの原則として整理しています。
- 明示的に確認する：すべてのアクセス要求を、利用できるすべての情報（利用者・端末・場所など）を使って認証・承認する
- 最小限の特権アクセスを使用する：必要な権限だけを、必要な最短の時間だけ与える
- 侵害を想定する：攻撃者がすでに環境内で動いている可能性を前提に、被害が広がらないように設計する
この3つの原則はマイクロソフトによる整理ですが、源流となる考え方は NIST SP 800-207 にもあります。NIST は7つの基本原則（tenets）を挙げ、そのなかで「必要最小限の権限でアクセスを許可する」こと、「すべてのアクセスの認証・認可を動的に、かつ厳格に適用する」ことを求めています。
また、ネットワーク全体を暗黙の信頼領域とは見なさず、「攻撃者がネットワーク上に存在するかのように振る舞うべき」としており、侵害を前提とする発想は共通しています。
出典・参考資料（2件）
多層防御とは
多層防御（Defense in Depth）は、1つの対策に頼らず、種類の異なる対策を層状に重ねることで、ある層をすり抜けた攻撃を別の層で捕まえるという考え方です。NIST の用語集は、多層防御を次のように説明しています。
The application of multiple countermeasures in a layered or stepwise manner to achieve security objectives. The methodology involves layering heterogeneous security technologies in the common attack vectors to ensure that attacks missed by one technology are caught by another.
（補助訳）セキュリティ目標を達成するために、複数の対策を層状または段階的に適用すること。この方法論は、共通の攻撃経路に異なる種類のセキュリティ技術を重ねることで、ある技術が見逃した攻撃を別の技術が捕らえられるようにする。
出典：Glossary「defense-in-depth」（NISTIR 8183 ほか）｜NIST Computer Security Resource Center
日本の実務では、この「層」を入口対策・内部対策・出口対策の3つに分けて整理するのが一般的です。外部からの侵入を防ぐ入口、侵入後の拡大を防ぐ内部、情報の持ち出しを防ぐ出口という流れで、それぞれに対策を配置します。この3区分は後半の「層ごとの対策」で詳しく見ていきます。
多層防御と「多重防御」の違い
多層防御と似た言葉に「多重防御」があり、混同されがちです。両者は「対策を増やす」点では共通しますが、増やし方の向きが異なります。
多重防御は、同じ種類の対策を重ねて1つの防御を強くする考え方です。たとえばウイルス対策ソフトを複数動かすような、同質の対策の積み増しがこれにあたります。
一方で多層防御は、NIST の定義にある「異なる種類のセキュリティ技術（heterogeneous security technologies）」を攻撃の流れに沿って重ねる考え方です。入口・内部・出口という性質の違う場面に、性質の違う対策を置くことで、1つの穴が全体の突破につながらないようにします。
なぜ今「多層防御だけでは足りない／ゼロトラストが要る」のか
多層防御は今も有効な考え方です。ではなぜゼロトラストが必要だと言われるのか。その背景には、守りの前提だった「社内ネットワークの境界」が崩れてきたことと、侵入後に被害が広がる攻撃が主流になってきたことがあります。
境界型防御の限界
これまでの守りは、社内と社外の境目にファイアウォールを置き、内側に入った利用者は信頼する「境界型防御」が中心でした。NIST SP 800-207 は、この方式の弱点を次のように指摘しています。
This helps block attackers from the internet, but the TICs and perimeter firewalls are less useful for detecting and blocking attacks from inside the network and cannot protect subjects outside of the enterprise perimeter (e.g., remote workers, cloud-based services, edge devices, etc.).
（補助訳）これはインターネットからの攻撃者を防ぐのには役立つが、境界のファイアウォールはネットワーク内部からの攻撃の検知・遮断にはあまり役立たず、企業の境界の外にいる対象（リモートワーカー、クラウドサービス、エッジデバイスなど）を保護できない。
出典：NIST Special Publication 800-207「Zero Trust Architecture」§2（2020年8月）｜米国国立標準技術研究所（NIST）
このように、境界の壁は外からの侵入には効いても、いったん内部に入られた後の動きや、そもそも境界の外にある環境には届きません。ここが、内部も信頼しないゼロトラストの考え方が求められる出発点です。
クラウド・テレワークで広がる守る対象
クラウドサービスの利用やテレワークが広がり、守るべき対象は社内ネットワークの中だけに収まらなくなりました。社外の自宅から、社外のクラウドにアクセスする働き方では、「社内＝安全、社外＝危険」という境界の引き方自体が成り立ちにくくなります。
情報処理推進機構（IPA）が公表する「情報セキュリティ10大脅威 2026（組織）」でも、8位に「リモートワーク等の環境や仕組みを狙った攻撃」が挙がっています。働く場所と使う仕組みが社外へ広がったぶん、守る対象もそれに合わせて広げる必要があり、場所に依存しないゼロトラストの考え方が現実に即します。
ランサムウェアの横展開（侵入後に止める発想へ）
攻撃の中身も変わりました。IPA「情報セキュリティ10大脅威 2026（組織）」では、1位がランサム攻撃による被害、2位がサプライチェーンや委託先を狙った攻撃、5位が機密情報を狙った標的型攻撃です。これらに共通するのは、1か所に侵入した後、社内を横に動き回って被害を広げる点です。
NIST SP 800-207 も、境界型防御の課題として、認証された利用者が内部に入ると広範なリソースへアクセスできてしまう構造を挙げ、内部での不正な横移動（lateral movement）が大きな課題の1つになっていると指摘しています。
侵入そのものをゼロにするのが難しい以上、侵入された後に内部で広げさせないという発想が要ります。これは、ゼロトラストの「侵害を想定する」原則とも、多層防御の内部対策とも地続きです。
横展開を前提にした予防・バックアップ・感染時の初動といった、ランサムウェアへの具体的な備えを一から確かめたい方は、対策の基本を順を追って整理した以下の記事もあわせてご覧ください。
出典・参考資料（2件）
入口・内部・出口の層ごとの対策
ここからは、多層防御の3つの層（入口・内部・出口）に、どんな対策が対応するのかを具体的に見ていきます。自社の現状と照らし合わせ、「どの層が手薄か」を確かめる手がかりにしてください。
入口対策（侵入を防ぐ）
入口対策は、外部からの攻撃や不正な通信が社内に入るのを防ぐ層です。代表的なのは、ファイアウォール・不正侵入防御（IPS）・アンチウイルス・URLフィルタリングなどを1台にまとめたUTM（統合脅威管理）です。メールのフィルタリングやフィッシングサイトの遮断もこの層に含まれ、社内外の境目で不正な出入りをまとめて止める役割を担います。
内部対策（拡大を防ぐ）
内部対策は、侵入を許した後に被害が横に広がるのを食い止める層です。端末上の不審な挙動を検知・対応するEDR（エンドポイント検知・対応）、社内ネットワークを流れる通信を監視して不審な動きを捉えるNDR（ネットワーク検知・対応）が中心になります。
あわせて、ネットワークを細かく区切るマイクロセグメンテーションや、権限を必要最小限に絞る最小権限の運用が、横展開を止める効果を持ちます。この層は、ゼロトラストの「侵害を想定する」「最小限の特権アクセス」の考え方が最も効く場所です。
出口対策（漏えいを防ぐ）
出口対策は、万一侵入されても、情報が外部へ持ち出されるのを防ぐ層です。社外への通信を検査するセキュアWebゲートウェイ（SWG）や、機密データの持ち出しを監視・制御するDLP（情報漏えい対策）、USBメモリへのコピーの記録などがこれにあたります。内部に残った攻撃者が最後にデータを外へ送ろうとする段階で食い止める層です。
層×対策×ゼロトラストの考え方の対応
ここまでの層と対策、そしてゼロトラストの考え方との対応を、表にまとめます。自社に入っている対策と空いている層を突き合わせてみてください。
| 層 | 入口（侵入を防ぐ） | 内部（拡大を防ぐ） | 出口（漏えいを防ぐ） | 認証・アクセス（全層を貫く） |
|---|---|---|---|---|
| 主な対策（機能カテゴリ） | ファイアウォール、UTM、IPS、メールフィルタ、URLフィルタリング | EDR、NDR、マイクロセグメンテーション、最小権限の運用 | SWG、DLP、通信・持ち出しの監視 | 多要素認証（MFA）、シングルサインオン（SSO）、ID管理・アクセス制限 |
| 対応するゼロトラストの考え方 | 明示的に確認する（通信の正当性を入口で確かめる） | 侵害を想定する／最小限の特権アクセス | 侵害を想定する（持ち出しを前提に検査する） | 明示的に確認する／最小限の特権アクセス |
※上記は一般的な対応の整理です。製品によって対応範囲や提供形態は異なるため、導入時は各社情報をご確認ください。
自社の抜けを確かめるセルフチェック
上の表をもとに、自社でどの層が埋まっているかを次の項目で確かめてみてください。「いいえ」が多い層が、まず手を付けるべき抜けです。
- 【入口】外部との境目にファイアウォールやUTMを置き、不正な通信・迷惑メール・危険なサイトを止められているか
- 【内部】端末にEDR、社内ネットワークにNDRなど、侵入された後の不審な動きに気づく仕組みがあるか
- 【内部】管理者権限やデータへのアクセスを、必要な人・必要な範囲だけに絞れているか（最小権限）
- 【出口】社外への通信や、機密データ・USBメモリでの持ち出しを監視・制御できているか
- 【認証】全従業員の重要なログインに多要素認証（MFA）を必須にしているか
このように、入口・内部・出口に加えて「認証・アクセス」を全層に貫く軸として押さえると、多層防御の層とゼロトラストの考え方がつながって見えてきます。
自社でどの層が手薄かが分かれば、それを埋める手段を具体的に選べます。各層に対応する具体的なサービスは、後半の「自社の守りの抜けを埋めるソリューション」で紹介します。
少人数・低予算で進める現実的な導入ロードマップ
ここからは、専任の担当者を置きにくい組織が、何から手を付ければよいかを整理します。ゼロトラストは、高度な仕組みを一度に全部そろえる必要はありません。多層防御の土台を活かしながら、効果の高いところから段階的に重ねていくのが現実的です。
段階的な着手順（スモールスタート）
まずは守るべき情報資産と、今ある対策の棚卸しから始めるのが基本です。どの端末・どのデータを、どの層で守れているかを確かめ、抜けている層を把握するのが第一歩です。たとえば、使われていない共有アカウントや退職者のアカウントが残っていないか、管理者権限が必要な人だけに絞れているか（最小権限）を見直すだけでも、内部の守りの抜けが見えてきます。
そのうえで、少ない投資で効果が大きい順に重ねていくと無理がありません。ゼロトラストの入り口としては、まず認証を固める多要素認証（MFA）と、権限を絞る最小権限の運用が効果的です。
次に、侵入後に気づける内部対策（端末のEDR、ネットワークのNDRやログ監視）を加え、入口・出口の対策（UTM・SWGなど）で守りを一巡させます。一度にすべてを導入するのではなく、手薄な層から1つずつ埋めていくのが現実的です。
費用の面でも、最初の一歩は始めやすい層から選べます。認証を固めるID基盤（IDaaS）は1人あたり月数百円から使えるものもあり、端末のセキュリティソフトやUTMは台数・構成に応じた見積もりになります。月額で始めやすい認証から着手し、効果を見ながら他の層へ広げるのも現実的な進め方です。
つまずきやすい注意点（コスト・運用負荷・人材）
層を増やすほど、導入コストと運用の手間は増えます。製品を入れただけでは効果が出ず、アラートの確認や設定の見直しといった日々の運用が伴って初めて守りになります。専任の担当者がいない組織では、この運用負荷が最大のハードルになりがちです。
そのため、「全部を自前で運用する」前提で設計すると行き詰まります。何を自社で持ち、何を外部に任せるかを、着手の段階で分けて考えておくことが、無理なく続けるコツです。
外部委託（マネージドサービス）という選択肢
運用まで手が回らない場合は、監視・運用を外部に任せるマネージドサービスや、ネットワーク・端末・教育をまとめて導入できるパッケージ型の製品を選ぶ方法があります。複数の対策を1契約でそろえられれば、個別に製品を選び、それぞれを運用する負担を抑えられます。自社の人員や予算に合わせて、自前で運用する範囲と任せる範囲を決めると、少人数でも守りを前に進められます。
「何から・どの順で・いくらくらいで」を、優先順位と費用感まで踏み込んで確かめたい方は、中小企業向けに取り組み方を具体的にまとめた以下の記事もあわせてご覧ください。
一括ダウンロードする
自社の守りの抜けを埋めるソリューション
ここからは、入口・内部・出口・認証の各層の抜けを埋めるソリューションを紹介します。ここで取り上げるのは各層の代表的な一例で、製品を網羅するものではありません。自社でどの層が手薄かを踏まえ、選び方の観点とあわせて検討してください。
出口対策（SWG・DLP）は専用製品のほか、UTMの機能で一部カバーできます。まずは、各層に対応する代表的なサービスを比較表で整理します。
| サービス名 | Eye"247" Safety Zone USAV Ⅵ | Network Blackbox | Eye"247" Safety Zone | CloudGate UNO |
|---|---|---|---|---|
| 守る層（ゼロトラストの対応） | 入口・出口（ネットワーク境界） | 内部（社内ネットワークの通信） | 端末（エンドポイント） | 認証・アクセス（全層を貫く） |
| 製品タイプ | UTM統合パッケージ | NDR（ネットワーク検知・対応） | EPP＋EDR（端末セキュリティ） | IDaaS（クラウド型ID基盤） |
| 主な機能 | UTM（ファイアウォール・IPS・アンチウイルス・URLフィルタリング等）に端末対策と標的型攻撃メール訓練を統合 | ネットワークを流れる全パケットを収集・保存し、シグネチャ／ユーザー行為／コンテンツ分析で検知。侵入後の調査（フォレンジック）に対応 | ウイルス対策（EPP）と振る舞い検知（ATC）によるEDRを一体化。ランサムウェア時のファイル自動バックアップ・復旧を標準搭載 | SSO・多要素認証（MFA）・パスキー（FIDO2）によるパスワードレス認証、端末・場所・時間のアクセス制限、ID管理 |
| 提供形態 | ハードウェア同梱の統合パッケージ（販売代理店経由で導入） | ミラーリング方式で導入（提供形態は要お問い合わせ） | 端末にインストールするソフト＋ブラウザ管理コンソール | クラウド型（SaaS） |
| 料金 | 要お問い合わせ | 要お問い合わせ | 要お問い合わせ | 月額400〜600円/ユーザー（税抜）※別途初期費用 |
| 詳細情報 | 公式資料を見る | 公式資料を見る | 公式資料を見る | 公式資料を見る |
Eye“247” Safety Zone USAV Ⅵ（株式会社フーバーブレイン）＝入口・出口を守るUTMパッケージ
Eye“247” Safety Zone USAV Ⅵ は、Check Point製のUTM（ネットワーク防御）に、端末のセキュリティソフト・業務の可視化・標的型攻撃メール訓練を組み合わせた、ハードウェア同梱の統合パッケージです。専任のIT担当者を置きにくい中小企業が、ネットワーク・端末・人への対策を1契約でまとめて導入できる点が特徴です。
UTMはファイアウォール・IPS・アンチウイルス・URLフィルタリング・アプリケーションコントロール・アンチボットなどを備え、入口と出口の守りを担います。
対応はクライアント数10〜200台の構成を想定しており、電源断やソフトウェアの不具合時にも通信を止めないバイパス機能「FONIC」を備えるなど、ネットワーク停止のリスクを抑える設計も採られています。料金は構成に応じた個別見積もりで、導入は販売代理店を通じて行います。
Network Blackbox（株式会社クワッドマイナージャパン）＝内部の通信を監視するNDR
Network Blackbox は、社内ネットワークを流れる通信（パケット）を収集・保存して、不審な動きを検知・分析するNDR（ネットワーク検知・対応）製品です。イベントログだけでなく通信そのものを保存するため、侵入後の横展開や内部からの不審な通信、データの持ち出しといった、ネットワーク上に痕跡が残る動きの検知と事後調査に向いています。多層防御の内部対策を担う層です。
検知は、既知の攻撃を捉えるシグネチャに加え、利用者の行為のパターンから異常を見つける方式や、通信内容を分析する方式を併用します。EDRやSIEM（セキュリティ情報・イベント管理）とはSyslog・REST APIで連携でき、既存の仕組みを置き換えるのではなく補完する位置づけです。ミラーリング方式で導入するため、既存ネットワークへの影響を抑えられます。料金は問い合わせに応じた個別見積もりです。
Eye“247” Safety Zone（株式会社フーバーブレイン）＝端末を守るセキュリティソフト
Eye“247” Safety Zone は、ウイルス対策（EPP）と、不審な挙動の検知・対応（EDR）を1つにまとめたエンドポイントセキュリティソフトです。Bitdefenderの検知エンジンを採用し、アプリケーションの動作を常時監視して不審な動きを捉える振る舞い検知（ATC）を備えます。端末という、攻撃者が最初に入り込む場所を守る層を担います。
ランサムウェア対策としては、ファイルの動作を監視し、自動でバックアップを取って、直近のバックアップから復旧できる機能を標準で備えます。フィッシングサイトの自動ブロックや、利用できる時間帯を指定できるWebアクセス制御も搭載します。管理コンソールで各PCの状況を一元管理でき、専任の担当者を置きにくい中堅・中小企業での利用を想定しています。料金は導入台数や契約期間に応じた個別見積もりです。
CloudGate UNO（株式会社インターナショナルシステムリサーチ）＝認証・アクセス制限を担うID基盤
CloudGate UNO は、シングルサインオン（SSO）・多要素認証（MFA）・アクセス制限・ID管理をまとめたクラウド型のID基盤（IDaaS）です。全層を貫く「認証・アクセス」の軸を担い、ゼロトラストの「明示的に確認する」「最小限の特権アクセス」の考え方を実装する層にあたります。公式も自らを「ゼロトラスト時代のSSO・アクセス制限・認証強化・ID管理プラットフォーム」と位置づけています。
認証は、パスキー（FIDO2）によるパスワードレス認証や、Windows Hello・Touch IDなどの生体認証に対応します。アクセス制限は「端末・場所・時間」の3つの軸で細かく設定でき、私用端末からのアクセス禁止や、特定の拠点・時間帯に限る制御が可能です。
プロビジョニングやアクセス制限は全プランに標準搭載されており、Active Directory連携は上位プランで利用できます。料金は月額400円〜600円/ユーザー（税抜）で、30日間の無料体験が用意されています（2026年11月時点の公式料金ページによる）。
このパスワードレス認証を、SMS認証やワンタイムパスワードといった一般的な多要素認証とどう位置づけているのか。CloudGate UNO を提供する株式会社インターナショナルシステムリサーチの平澤氏は、認証方式による耐性の違いを次のように説明しています。
当社が採用しているパスキーのパスワードレス認証は、フィッシング攻撃に対して非常に強い耐性を持ちます。SMS認証やワンタイムパスワードなどの一般的な多要素認証を突破する攻撃手法が顕在化する中、より安全な認証環境を提供します。
ここで取り上げたのは各層の代表例です。守る対象（ネットワーク・端末・認証・ログなど）ごとにどんなタイプの製品があり、どう選べばよいかを一通り見比べて、自社の抜けを埋める手段を検討したい方は、以下の記事で社内セキュリティソリューション全体を整理しています。
社内セキュリティソリューション比較｜守る対象別のタイプ・代表サービスと選び方
社内のセキュリティを強化したいものの、端末の保護から不正アクセス対策、情報漏えいの防止まで課題が広く、何から手をつければよいか判断がつかないという声は少なくありません。テレワークやクラウド利用が定着し、社外に持ち出される端末やIDが増えたこ…
まとめ
多層防御とゼロトラストは、どちらかを選ぶものではありません。入口・内部・出口に守りを重ねる多層防御を土台に、その上へ「何も信頼せず、アクセスのたびに確かめる」ゼロトラストの考え方を重ねていく、補い合う関係にあります。境界の内側も安全とは限らず、クラウド・テレワークで守る対象が広がり、侵入後に横展開する攻撃が主流になった今、この組み合わせが現実的な方向です。
進め方は、守るべき資産と今ある対策の棚卸しから始め、認証（MFA・最小権限）、内部の検知（EDR・NDR）、入口・出口の対策、という順で手薄な層を1つずつ埋めていくのが無理のない形です。運用まで手が回らない層は、マネージドサービスやパッケージ型の製品で外部の力を借りる選択肢もあります。「多層防御を土台にゼロトラストを段階的に重ねる」という方針で、自社に合う手段から着手してください。
一括ダウンロードする
よくある質問（FAQ）
Q. ゼロトラストとは何ですか？
A. ゼロトラストとは、社内ネットワークの内側であっても自動的には信頼せず、アクセスのたびにその正当性を確かめ続けるセキュリティの考え方です。米国国立標準技術研究所（NIST）の「SP 800-207」が定義する概念です。
実務ではマイクロソフトが示す「明示的に確認する」「最小限の特権アクセスを使用する」「侵害を想定する」の3つの原則で整理されることが多くあります。特定の製品名ではなく、守りの設計方針を指す言葉です。
Q. 多層防御とは何ですか？
A. 多層防御とは、1つの対策に頼らず、種類の異なる対策を層状に重ねて、ある層をすり抜けた攻撃を別の層で捕らえるセキュリティの考え方です。日本の実務では、外部からの侵入を防ぐ「入口対策」、侵入後の拡大を防ぐ「内部対策」、情報の持ち出しを防ぐ「出口対策」の3つの層に分けて整理するのが一般的です。
Q. 多層防御とゼロトラストの違いは何ですか？
A. 多層防御とゼロトラストの違いは、多層防御が「守りの厚みをどう重ねるか」を問うのに対し、ゼロトラストは「誰のどのアクセスを信頼するか」を問う点にあります。多層防御は入口・内部・出口など守る場所ごとに対策を配置しますが、ゼロトラストは社内ネットワークの内側も信頼せず、場所に依存せずアクセスそのものを確かめます。問いの立て方が異なるだけで、対立する考え方ではありません。
Q. ゼロトラストに移行したら多層防御は不要になりますか？
A. ゼロトラストに移行しても、多層防御は不要になりません。両者は対立せず、多層防御で守りを重ねることを土台に、その上へゼロトラストの「アクセスのたびに確かめる」考え方を重ねていく補い合う関係にあります。どちらか一方に乗り換えるのではなく、既存の多層防御を活かしながらゼロトラストの発想を段階的に加えていくのが現実的です。
Q. 多層防御と多重防御は何が違いますか？
A. 多層防御と多重防御の違いは、対策を増やす「向き」にあります。多重防御が同じ種類の対策を重ねて1つの防御を強くする（たとえばウイルス対策ソフトを複数動かす）のに対し、多層防御は入口・内部・出口という性質の違う場面に、異なる種類の対策を置きます。1つの穴が全体の突破につながらないようにする点が、多層防御の要点です。
Q. 複数のセキュリティ製品を導入すれば多層防御になりますか？
A. 製品の数をそろえるだけでは、多層防御にはなりません。多層防御で重要なのは、入口・内部・出口という異なる場面に、性質の違う対策を配置して守りの抜けをなくすことです。同じ種類の対策をいくつ重ねても守れる範囲は広がらないため、自社のどの層が手薄かを見極め、その層を埋める対策を選ぶ視点が欠かせません。
Q. 中小企業にも多層防御やゼロトラストは必要ですか？
A. 中小企業にも、多層防御やゼロトラストの考え方は必要です。ランサムウェアやサプライチェーンを狙う攻撃は企業規模を問わず広がっており、高度な仕組みを一度に全部そろえなくても、効果の高いところから段階的に重ねれば中小企業でも対応できます。まず認証と最小権限を固め、次に侵入後に気づける対策を加える、という順で無理なく進められます。
Q. 多層防御やゼロトラストは何から手を付ければよいですか？
A. まずは守るべき情報資産と、今ある対策の棚卸しから始め、抜けている層を把握することが第一歩です。そのうえで、少ない投資で効果が大きい順に進めます。認証を固める多要素認証（MFA）と最小権限の運用から着手し、内部対策（EDR・NDR・ログ監視）、入口・出口の対策（UTM・SWGなど）と、手薄な層を1つずつ埋めていくのが現実的です。
Q. 従業員教育も多層防御に含まれますか？
A. 従業員教育も、多層防御の一部に含まれます。標的型攻撃メールの多くは人の操作を入り口にするため、技術的な対策だけでなく、標的型メール訓練などの人的対策も1つの層として組み込むのが一般的です。システムで防ぎきれない部分を人の注意力で補うことで、入口の抜けを減らせます。
Q. 運用まで手が回らない場合はどうすればよいですか？
A. 運用まで手が回らない場合は、監視・運用を外部に任せるマネージドサービスや、ネットワーク・端末・教育をまとめて導入できるパッケージ型の製品を選ぶ方法があります。複数の対策を1契約でそろえられれば、個別に製品を選んで運用する負担を抑えられます。自社の人員や予算に合わせて、自前で運用する範囲と任せる範囲を決めるとよいでしょう。
Q. 多層防御とゼロトラストを導入すれば「絶対に安全」になりますか？
A. 多層防御とゼロトラストを導入しても、「絶対に安全」にはなりません。侵入そのものをゼロにするのは難しいという前提に立ち、侵入されても被害を広げさせない「侵害を想定する」設計にすることが目的です。守りを重ねることで被害に遭う確率と被害の大きさを下げるものであり、「導入すれば万全」と考えず、運用と見直しを続けることが大切です。
Q. ゼロトラストや多層防御の実現にはどんなソリューションが必要ですか？
A. 層ごとに対応するソリューションが異なり、入口・出口を守るUTM、内部の通信を監視するNDR、端末を守るセキュリティソフト（EPP／EDR）、認証・アクセス制限を担うID基盤（IDaaS）が代表的です。すべてを一度にそろえる必要はなく、自社で手薄な層から選ぶのが現実的です。各層に対応する具体的なサービスは、本記事の「自社の守りの抜けを埋めるソリューション」で紹介しています。
社内セキュリティソリューションの料金・資料を一括チェック
MCB FinTechカタログでは、入口・内部・出口・認証の各層を守る法人向けセキュリティサービスの最新資料を無料で一括請求できます。UTM・NDR・端末セキュリティ・ID基盤を、料金や機能でまとめて比較できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
