「これからはゼロトラストだ」と社内会議や取引先との会話で言われたものの、その考え方の中身がいまひとつつかめていない。そう感じている方は少なくありません。情報システムやセキュリティの担当者はもちろん、会議で言葉を聞いた経営層やIT企画の方まで、立場はさまざまです。製品名や導入手順の前に、まず「ゼロトラストとは要するにどういう考え方なのか」を自分の言葉で説明できるようになりたい、という段階です。
ゼロトラストを一言でいうと、「何も信頼せず、アクセスのたびに毎回確かめる」という考え方です。社内ネットワークの中なら安全とみなしてきた従来のやり方（境界型防御）と、どこがどう違うのか。なぜ今この考え方が必要になったのか。この2点が腑に落ちれば、残りの話は一本の筋で理解できます。
本記事では、ゼロトラストの意味と名前の由来、境界型防御との違い、必要になった背景、身近な具体例、そして実現を支える要素の全体像までを、専門用語を補いながら順に解説します。考え方を理解したうえで、自社では何から手をつければよいかの見当までつけられる構成です。
目次
一括ダウンロードする
ゼロトラストとは？一言でいうと「何も信頼せず、毎回確かめる」考え方
ゼロトラスト（Zero Trust）とは、社内・社外のどこからのアクセスであっても無条件に信頼せず、アクセスのたびに「本当に許可してよい相手か」を毎回確かめる、というセキュリティの考え方です。情報処理推進機構（IPA）は、この考え方を次のように整理しています。
社内外すべてを信用できない領域として，全ての通信を検知し認証を行うという考え方
出典：ゼロトラスト導入指南書（1.1 はじめに）｜情報処理推進機構（IPA）
国際的な技術文書である米国国立標準技術研究所（NIST）の「SP 800-207 Zero Trust Architecture」も、同じ考え方を定義しています。ネットワークは侵害されている前提に立ち、リクエストごとに最小限の権限でアクセスの可否を判断する、という内容です。難しく聞こえますが、核にあるのは「社内だから安全、という思い込みをやめて、1回ごとに確かめる」というシンプルな発想です。
「ゼロ＋トラスト」という名前の意味
名前は「ゼロ（zero）」と「トラスト（trust＝信頼）」を組み合わせた言葉で、「信頼をゼロにする」、言い換えれば「暗黙の信頼を置かない」という姿勢をそのまま表しています。この考え方は、2010年に調査会社フォレスター・リサーチのジョン・キンダーバーグ氏が提唱したものです。
2010 年 Forrester Research（フォレスター・リサーチ）社の John Kindervag（ジョン・キンダーバーグ）氏よりインフラから信用を取り除くことを行うことを前提とした考え方である「ゼロトラスト」を提唱した。
出典：ゼロトラスト導入指南書（表2-1 ゼロトラストの歴史）｜情報処理推進機構（IPA）
提唱内容：「誰も（ユーザー），どこも（ネットワーク），何も（デバイス）信用せず，アクセスごとに必ず安全性を確認する」
「誰も・どこも・何も信用せず、アクセスごとに必ず確認する」。この一文が、ゼロトラストという名前に込められた意味のすべてです。ユーザー（誰も）・ネットワーク（どこも）・端末（何も）のいずれにも最初から信頼を与えない、という点を押さえておけば十分です。
境界型防御とゼロトラストは何が違うのか
ここからは、従来の「境界型防御」とゼロトラストの違いを整理します。両者のいちばんの差は、「社内ネットワークの中を安全とみなすかどうか」という前提にあります。
境界型防御は、社内と社外の間に境界線を引き、「社内は信頼できる領域、社外は信頼できない領域」として、外部からの接続を関門（ファイアウォールなど）で遮断する考え方です。城壁と堀で城の中を守るイメージに近く、長く主流を担ってきました。IPAも、従来のセキュリティ対策について次のように説明しています。
現状のセキュリティ対策は，境界型防御が主流であり，社内を信用できる領域，社外を信用できない領域として外部からの接続を遮断している。
出典：ゼロトラスト導入指南書（1.1 はじめに）｜情報処理推進機構（IPA）
これに対してゼロトラストは、「ネットワークのどこにいるか」では信頼を判断しません。社内ネットワークの中からのアクセスであっても、社外からのアクセスと同じ基準で毎回検証します。両者の違いを3つの観点で整理すると、次のようになります。
| 観点 | 境界型防御 | ゼロトラスト |
|---|---|---|
| 前提 | 社内ネットワークの中は安全 | 社内外を問わず安全な場所はない（侵害されている前提） |
| 信頼の置き方 | 一度境界を通れば、内部では比較的自由に動ける | ネットワークの場所では信頼せず、アクセスのたびに検証する |
| 守り方 | 境界（出入口）で防御を集中させる | 利用者・端末・通信を個別に認証・認可し、常に監視する |
注意したいのは、ゼロトラストは境界型防御を「捨てる」考え方ではない点です。NISTもIPAも、境界型防御を排除するのではなく、境界だけに頼らない原則を重ねていく立場で説明しています。既存のファイアウォールやVPNを活かしながら、段階的にゼロトラストの考え方を取り入れていくのが現実的です。
出典・参考資料（2件）
なぜ今ゼロトラストが必要になったのか
ここでは、境界型防御だけでは守りきれなくなった背景を見ていきます。理由は大きく3つあります。
クラウド・テレワークで「社内／社外」の境界が引けなくなった
新型コロナウイルス感染症の流行をきっかけにテレワークが急速に広がり、クラウドサービスの利用も増えました。社員は自宅や外出先から社内システムにアクセスし、守るべきデータも社外のクラウド上に置かれるようになっています。守りたいものが社内の壁の外に出てしまい、「ここから内側が社内」という線そのものが引けなくなりました。IPAも、この変化を次のように説明しています。
近年，新型コロナウイルス感染症 (COVID-19)の蔓延によるリモートワーク利用の加速化やクラウド活用の増加により，社外から社内システムに接続する機会が増えてきている。（中略）境界型防御で考えていたセキュリティモデルではサイバー攻撃の脅威を防ぎきれない状況になってきている。
出典：ゼロトラスト導入指南書（1.1 はじめに）｜情報処理推進機構（IPA）
VPN・境界型防御の限界（一度通せば内部は自由に動けてしまう）
境界型防御は、一度境界（VPNなど）を通した相手を「信頼できる内部の利用者」として扱いがちです。そのため、攻撃者が何らかの方法でVPNの認証を突破して内部に入り込むと、内部では検証が甘く、比較的自由に動けてしまいます。出入口を固めても、入られた後の備えが手薄になりやすいのが弱点です。
内部に入られると被害が横に広がる（ラテラルムーブメント）
標的型メールなどで社内の1台が乗っ取られると、攻撃者はそこを足がかりに、別の端末やサーバーへと内部を横移動しながら侵入範囲を広げていきます。この内部での横移動を「ラテラルムーブメント（横展開）」と呼びます。社内を信頼する前提だと、この横移動を止めにくくなります。
「侵入されない」だけでなく「侵入された後に被害を広げさせない」発想が求められるようになった、という点が、ゼロトラストが必要とされる根っこにあります。
こうした流れは、国レベルの後押しも受けて世界的に広がりました。2021年には、米国政府が連邦政府機関に対してゼロトラストへの移行を求める大統領令（EO 14028）を発令しています。これは米国の政府機関に向けた制度で日本企業の義務ではありませんが、ゼロトラストが一過性の流行語ではなく、各国が本腰で取り組むセキュリティの潮流になったことを示す出来事といえます。
出典・参考資料（2件）
ゼロトラストの身近な具体例
考え方だけでは実感がわきにくいので、日々の業務で「何がどう変わるのか」を具体的なシーンで見てみます。
身近なものにたとえるなら、ホテルに近い考え方です。入口を通れば館内のどの部屋にも入れるのではなく、カードキーで開くのは自分の部屋と使える施設だけで、扉の前で毎回かざして確かめます。ゼロトラストも、一度の入館で中を自由に歩かせるのではなく、アクセスのたびに「この人に、いま、ここへ入る権限があるか」を確かめる考え方です。
いつものログインでも、毎回本人確認を求められる。これまで一度ログインすれば使い続けられたクラウドサービスでも、ゼロトラストの考え方では、パスワードに加えてスマートフォンの認証アプリや生体認証などで「確かに本人か」を都度確かめます。いつもと違う端末・場所・時間帯からのアクセスなら、追加の確認を求める、といった制御も行われます。
社内からのアクセスでも、無条件には通さない。オフィスの社内ネットワークにつながっているからといって、すべての社内システムに自由にアクセスできるわけではありません。その人が担当業務に必要な範囲だけにアクセスを絞り、必要のないデータには手が届かないようにします。
端末の状態そのものもチェックする。利用者が正しい本人でも、使っている端末のOSが古いままだったり、ウイルス対策が無効になっていたりすれば、アクセスを制限する、という判断が加わります。「誰が」だけでなく「どんな状態の端末から」までを見て、そのつど可否を決めるのがゼロトラストの実際の姿です。
ゼロトラストを実現する要素の全体像（役割→技術）
ここからは、先ほどのシーンを裏側で支える仕組みを、役割ごとに整理します。ゼロトラストは単一の製品で実現するものではなく、複数の役割を組み合わせて成り立ちます。IDaaSやEDRといった略語が並ぶと身構えてしまいますが、まずは「どんな役割があるのか」から入れば全体像がつかめます。
この役割分担は、NISTがSP 800-207で示した「ゼロトラストの7つの基本原則」にもとづいています（7原則の全文は本節末尾の出典から確認できます）。ここでは入門として、この7原則を主な役割5つに読み替えて見ていきます。
本人確認（ID基盤）
「誰が」アクセスしているかを確実に見極める役割です。パスワードだけに頼らず、多要素認証やパスワードレス認証（パスキー）を使って本人性を高め、アクセスのたびに認証・認可を行います。ゼロトラストの出発点であり、7原則でも、アクセスを許可する前にすべてのリソースを厳格に認証・認可することが求められています。
端末の保護
アクセスしてくる端末（PCやスマートフォン）が安全な状態かを監視し、守る役割です。ウイルス対策に加えて、不審な動きを検知して対応するEDR（エンドポイントでの検知・対応）などがここに当たります。7原則の、すべての資産の状態を監視・測定するという考え方に対応し、「本人でも、危険な端末からは通さない」という判断を支えます。
ネットワークの監視
ネットワーク上を流れる通信を監視し、不審な通信や内部の横移動（ラテラルムーブメント）、データの持ち出しなどの兆候を検知する役割です。こうしたネットワークでの検知・対応を担う仕組みはNDR（ネットワークでの検知・対応）と呼ばれます。
7原則の、ネットワークのどこにあるかによらずすべての通信を保護し、通信の現状をできる限り把握するという考え方に対応します。侵入された後に異変へ気づき、調べられる状態をつくります。
最小権限
各利用者に、業務に必要な最小限のアクセス権だけを与える原則です。7原則では、アクセスをセッション単位で付与し、利用者・端末・リクエストの状態などをふまえた動的なポリシーで可否を決める、とされています。権限を絞っておくほど、万一侵入されたときの被害範囲を小さく抑えられます。
ログ監視
誰が・いつ・何にアクセスしたかを記録し、継続的に分析する役割です。各所のログを集めて相関的に分析する仕組みはSIEM（セキュリティ情報・イベント管理）と呼ばれます。
7原則の、資産やネットワーク・通信の現状について可能な限り情報を集め、セキュリティ体制の改善に役立てるという考え方に対応します。異常の早期発見にも、問題が起きた後の原因調査にも欠かせない土台です。
これらの役割は、どれか1つだけ整えれば十分というものではなく、互いに補い合って全体でゼロトラストを形づくります。このうち、まず押さえたい本人確認（ID基盤）・端末の保護・ネットワークの監視の3つについて、どのサービスが担うのかを記事後半の「ゼロトラストの各役割を担うサービス」で具体的に見ていきます。
最小権限とログ監視は、特定の製品というより複数の仕組みにまたがって効かせる原則のため、まずは考え方として押さえておけば十分です。
出典・参考資料（2件）
一括ダウンロードする
ゼロトラストは自社に関係ある？何から始めればいいのか
考え方がつかめたところで、気になるのは「自社にも関係あるのか」「関係あるなら何から手をつけるのか」でしょう。順に整理します。
自社に関係あるのか
テレワークを取り入れている、クラウドサービス（グループウェアや業務システム）を使っている、複数の拠点やグループ会社がある。こうした状況に1つでも当てはまるなら、「社内は安全」という前提はすでに崩れており、ゼロトラストの考え方は自社に関わってきます。規模の大小を問わず、社外から社内の情報資産にアクセスする機会があれば検討の対象になります。
一方で、既存のセキュリティ対策が不十分なまま、あるいは何のために導入するのかが曖昧なまま一度に取り組もうとすると、費用や運用の負担だけが膨らみます。まずは自社の状況と目的を見極めることが出発点になります。
何から始めるか
ゼロトラストは、すべてを一度に入れ替える必要はありません。NISTもIPAも、既存の境界型防御を活かしながら段階的に移行していく進め方を前提にしています。考え方としては、まず「何を守るのか（重要な情報資産や、守るべき業務）」を洗い出し、優先度の高いところから着手するのが現実的です。
そのうえで、前の章で見た役割（本人確認・端末の保護・ネットワークの監視など）のうち、自社でいちばん手薄な部分から順に補っていきます。たとえば、クラウド利用が中心ならまず本人確認（ID基盤）の強化から、といった具合です。次の章では、各役割を担う具体的なサービスを紹介します。
出典・参考資料（2件）
ゼロトラストの各役割を担うサービス
ここでは、前の章で整理した役割のうち、まず押さえたい3つ（本人確認・端末の保護・ネットワークの監視）を、それぞれどんなサービスが担うのかを具体例で見ていきます。ゼロトラストは複数の役割の組み合わせで成り立つため、1つの製品ですべてをまかなうのではなく、役割ごとに適したサービスを重ねていくのが基本です。下の表で3つの役割と代表的なサービスを俯瞰し、続けて各サービスを紹介します。
| サービス名 | CloudGate UNO | Eye"247" Safety Zone | Network Blackbox |
|---|---|---|---|
| 担う役割 | 本人確認（ID基盤） | 端末の保護 | ネットワークの監視 |
| 製品の種類 | IDaaS（ID管理・シングルサインオン） | EPP＋EDR（エンドポイント保護） | NDR（ネットワークでの検知・対応） |
| 確かめる対象 | 「誰が」アクセスしているか（利用者・ID） | 「どんな状態の端末か」（PC・スマートフォン） | 「どんな通信が流れているか」（ネットワーク） |
| 主な特徴 | パスキー（FIDO2）によるパスワードレス認証 端末・場所・時間の3軸でアクセスを制限 国産・自社開発で日本語サポート | Bitdefenderと共同開発した検知エンジン ランサムウェアの疑いを監視しファイルを自動バックアップ・復元 フィッシングサイトの自動ブロック | 通信そのもの（フルパケット）を収集・保存 AIで異常な通信を検知 さかのぼって調べるフォレンジックに対応 |
| 費用 | 月額440〜660円/ユーザー（税込） 初期費用は要問い合わせ | 要問い合わせ | 要問い合わせ |
| 詳細情報 | 公式資料を見る | 公式資料を見る | 公式資料を見る |
※ 料金は2026年11月時点の各社公式情報にもとづきます。最新の金額は各公式サイトでご確認ください。
本人確認（ID基盤）：CloudGate UNO（株式会社インターナショナルシステムリサーチ）
CloudGate UNO（クラウドゲートウノ）は、ゼロトラストの考え方にもとづくシングルサインオン（一度の認証で複数のクラウドサービスにアクセスできる仕組み）を提供する国産のIDaaS（クラウド型のID管理サービス）です。本人確認というゼロトラストの出発点を担います。
特徴は、フィッシング攻撃に強いパスキー（FIDO2）によるパスワードレス認証に対応している点です。加えて、「端末・場所・時間」の3つの軸でアクセスを細かく制限でき、私用端末からの利用禁止や、特定の拠点・時間帯だけの許可といった設定もできます。1993年創業の国内企業が自社開発し、導入前から導入後まで日本語でサポートする体制を整えています。
本人確認をパスワードレス認証へ切り替えると、運用の現場ではどのような変化が起きるのか。提供元の株式会社インターナショナルシステムリサーチは、インタビューで具体的な事例を挙げています。
導入と同時にパスワードレス認証に切り替えた企業では、IT部門の業務の約20%を占めていたパスワード関連のヘルプデスク業務が「0%」になったという事例があります。
端末の保護：Eye"247" Safety Zone（株式会社フーバーブレイン）
端末そのものを守るのが、株式会社フーバーブレインが提供する Eye"247" Safety Zone（アイ247セーフティゾーン）です。ウイルス対策（EPP）と、不審な挙動を検知して対応するEDRを組み合わせた端末向けのセキュリティソフトで、「どんな状態の端末からアクセスしているか」を見張る役割を担います。
Bitdefender社と共同開発した検知エンジンを採用し、アプリケーションの動きを常時監視する振る舞い検知で、未知の脅威にも対応します。ランサムウェアの疑いがある動作を監視してファイルを自動でバックアップし、直近の状態へ復元できる機能や、フィッシングサイトの自動ブロックなども備えます。フーバーブレインは東京証券取引所スタンダード市場に上場しています。
ネットワークの監視：Network Blackbox（株式会社クワッドマイナージャパン）
ネットワークを流れる通信そのものに着目するのが、株式会社クワッドマイナージャパンの Network Blackbox（ネットワークブラックボックス）です。通信を取り込んで保存・分析するNDRにあたり、ゼロトラストの中では、通信の監視を通じて不審な動きをとらえる役割を担います。
ネットワーク上を流れるパケット（通信データ）を収集・保存し、AIを用いて異常な通信を検知します。外部からの侵入や、内部での横移動（ラテラルムーブメント）、データの持ち出しなど、ネットワーク上に痕跡が残る事象の検知と、問題発生後にさかのぼって調べるフォレンジック（通信の事後調査）に対応します。
本人確認や端末の保護とは守備範囲が異なるため、ID基盤やエンドポイント対策と組み合わせて使うことが前提になります。
ここで取り上げた3つは、ゼロトラストの代表的な役割に対応するサービスの一例です。社内セキュリティのソリューションは、守る対象（ID・端末・ネットワーク・データなど）ごとに多様なタイプがあり、自社で手薄なところに合わせて選ぶ必要があります。守る対象別のタイプ分けと選び方の全体像から比較検討したい方は、次の記事もあわせてご覧ください。
社内セキュリティソリューション比較｜守る対象別のタイプ・代表サービスと選び方
社内のセキュリティを強化したいものの、端末の保護から不正アクセス対策、情報漏えいの防止まで課題が広く、何から手をつければよいか判断がつかないという声は少なくありません。テレワークやクラウド利用が定着し、社外に持ち出される端末やIDが増えたこ…
まとめ：ゼロトラストは「社内も疑い、毎回確かめる」考え方
ゼロトラストとは、「何も信頼せず、アクセスのたびに毎回確かめる」というセキュリティの考え方です。社内ネットワークの中なら安全とみなす境界型防御に対し、社内外を問わず安全な場所はないという前提に立ち、利用者・端末・通信を個別に検証します。
クラウドとテレワークの普及で「社内／社外」の境界が引けなくなったことが、この考え方が広まった背景です。実現にあたっては、本人確認（ID基盤）・端末の保護・ネットワークの監視といった役割を、既存の仕組みを活かしながら、手薄なところから段階的に補っていくのが現実的です。
「社内も疑い、毎回確かめる」。この一言を押さえておけば、ゼロトラストの話はもう上滑りしません。自社の役割の手薄な部分から、まずは資料を集めて比較するところから始めてみてください。
一括ダウンロードする
よくある質問（FAQ）
Q. ゼロトラストとVPNは何が違うのですか？
A. ゼロトラストとVPNの違いは、一度通した相手を信頼し続けるか、アクセスのたびに検証し直すか、という点にあります。VPNは社内と社外の境界を守る境界型防御の仕組みで、認証を通せばその後は内部を比較的自由に利用できます。そのため、万一その認証を突破されると、内部での横移動を止めにくくなります。
一方でゼロトラストは、ネットワークのどこから接続しているかでは信頼を判断せず、アクセスのつど利用者・端末・通信を検証します。ただし両者は対立するものではなく、既存のVPNを活かしながらゼロトラストの考え方を重ねていくのが現実的です。
Q. ゼロトラストの導入は何から始めればよいですか？
A. ゼロトラストの導入は、まず「何を守るのか（重要な情報資産や守るべき業務）」を洗い出し、優先度の高いところから段階的に着手するのが現実的です。すべてを一度に入れ替える必要はなく、NISTやIPAも、既存の境界型防御を活かしながら段階的に移行する進め方を前提にしています。
そのうえで、本人確認（ID基盤）・端末の保護・ネットワークの監視といった役割のうち、自社でいちばん手薄な部分から順に補っていくとよいでしょう。
Q. 中小企業でもゼロトラストは必要ですか？
A. ゼロトラストは、企業の規模にかかわらず、社外から社内の情報資産にアクセスする機会があれば検討の対象になります。テレワークを取り入れている、クラウドサービスを使っている、複数の拠点やグループ会社がある、といった状況に1つでも当てはまれば、「社内は安全」という前提はすでに崩れているためです。
ただし、目的が曖昧なまま一度に導入すると費用や運用の負担だけが膨らむため、自社の状況と守りたいものを見極めてから、手薄な部分に絞って始めるのがよいでしょう。
Q. ゼロトラストを導入すれば100%安全になりますか？
A. ゼロトラストを導入しても、攻撃を100%防げるようになるわけではありません。ゼロトラストは、アクセスのたびに検証し、権限を必要最小限に絞り、通信やログを監視することで、「侵入されない」ことだけに頼らず「侵入された後に被害を広げさせない」ことを重視する考え方です。
リスクを下げ、万一の際の影響範囲を小さく抑えるための備えであり、絶対的な安全を保証する特効薬ではない、という点を押さえておくとよいでしょう。
社内セキュリティソリューションの料金・資料を一括チェック
MCB FinTechカタログでは、ゼロトラストの実現を支えるID管理・エンドポイント保護・ネットワーク監視などのサービスの最新資料を無料で一括請求できます。役割ごとに対応範囲や提供形態を製品単位で比較できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
