ゼロトラストで端末を守る方法｜EDR・MDM・デバイス認証など打ち手の全体像と始め方

テレワークやクラウド利用が当たり前になり、社員の端末は社内ネットワークの外からも業務データに触れるようになりました。こうした環境で広がっているのが、「社内だから安全」という前提を置かずに、アクセスのたびに正当性を確かめるゼロトラストの考え方です。

方針としては理解していても、いざ自社で進めようとすると「ゼロトラストで端末（PC・スマートフォン）を守るとは、具体的に何をすればいいのか」で手が止まりがちです。EDR（端末の脅威を検知して対応する仕組み）を入れるのか、MDM（端末を一元管理する仕組み）で管理するのか、端末の状態を確かめてからアクセスを許すのか——打ち手が複数あり、それぞれ何を守るのかが見えにくいためです。

この記事を読むことで、ゼロトラストで端末を守る打ち手の全体像をつかみ、自社に合う打ち手と進め方を見極めて、資料請求や比較検討という次の一歩を判断できる状態を目指します。打ち手を最初に一覧で示したうえで、順に掘り下げていきます。

ゼロトラストで端末を守る打ち手の全体像

はじめに、ゼロトラストで端末を守る代表的な打ち手を一覧で示します。IPA（情報処理推進機構）の「ゼロトラスト導入指南書」も、デバイス（端末）対策をゼロトラストの構成要素の一つに位置づけており、端末が社外から利用される機会が増えるほど、端末ごとの対策が重要になるとしています。

打ち手	何を守るか	どんなときに選ぶか
EDR／EPP	端末へのマルウェア感染の防止（EPP）と、侵入された後の検知・対応（EDR）	端末そのものへの攻撃・感染に正面から備えたい
MDM／UEM＋デバイス制御	端末の設定・状態の管理、USB等の利用制御、紛失時の遠隔ロック・データ削除	多数の端末を統一ルールで管理したい、モバイル端末がある
デバイス認証・端末の状態確認（ポスチャ）	アクセスを許す前に、端末が管理下にあり基準を満たすかを確認	社外や私物からのアクセスを、条件を満たすときだけ許可したい
端末にデータを残さない（データレス／VDI）	端末本体に業務データを保存させず、紛失・盗難時の漏洩を抑える	持ち出しPCや私物PCからの情報漏洩を根本から防ぎたい
無害化	メール添付やダウンロードファイルから、不正な要素を除去	ファイルや通信に潜む脅威を、開く前に無効化したい

これらは排他的な選択肢ではなく、組み合わせて端末を多層で守るのが基本です。次の章からは、まず「なぜ端末がゼロトラストの起点になるのか」を押さえたうえで、各打ち手の役割と選び分けを掘り下げます。

出典・参考資料（1件）

• 参考資料：ゼロトラスト導入指南書｜情報処理推進機構（IPA）（https://www.ipa.go.jp/jinzai/ics/core_human_resource/final_project/2021/zero-trust.html）

なぜ端末がゼロトラストの起点なのか

ここでは、端末対策がゼロトラストの入り口になる理由を、従来の考え方との違いから確認します。端末そのものを信頼できるかどうかが、アクセスを許すかの判断に直結するためです。

境界型セキュリティとの違い

従来のセキュリティは、社内と社外の境界で守る「境界型防御」が主流でした。社内は信用できる領域とみなし、外からの接続を遮断する考え方です。しかし、社外から社内システムへ接続する働き方が広がり、この前提が崩れてきています。

現状のセキュリティ対策は，境界型防御が主流であり，社内を信用できる領域，社外を信用できない領域として外部からの接続を遮断している。しかし，上記の社会変化から，社内のシステム環境へ社外から接続するということが行われていることから，境界型防御で考えていたセキュリティモデルではサイバー攻撃の脅威を防ぎきれない状況になってきている。

出典：ゼロトラスト導入指南書｜情報処理推進機構（IPA）

標的型メールによる社内端末のウイルス感染も増え、社内にある端末だからといって安全とは言い切れません。ゼロトラストでは、端末がネットワークのどこにあるかで信頼を決めず、端末そのものの状態を見て判断します。米国の標準化機関NIST（米国国立標準技術研究所）が示すゼロトラストの原則でも、ネットワーク上の位置だけで信頼を与えないことが基本に置かれています。

アクセスを許す前に端末が信頼できるかを確かめる

社内・社外で区切れないなら、代わりに「アクセスしようとしている端末が信頼できるか」を、その都度確かめることになります。これがゼロトラストで端末が起点になる理由です。IPAの「ゼロトラスト移行のすゝめ」も、認証・認可の場面で端末の状態を確かめる重要性を示しています。

またゼロトラストの概念においては、組織の資産にアクセスするデバイスが組織の管理下にあること、適切な設定が行われていることを認証・認可の際にチェックすることが重要である。

出典：ゼロトラスト移行のすゝめ｜情報処理推進機構（IPA）

この考え方では、利用者が正しいか（ID）を確かめるだけでなく、その端末が管理下にあり、OSやパッチ、設定が基準を満たすかまで見てからアクセスを許します。この「端末の状態を確認してから許す」考え方が、以降で解説する各打ち手の土台になります。具体的な仕組みと製品の選び方は、次章のデバイス認証・ポスチャの項で扱います。

出典・参考資料（2件）

• 参考資料：ゼロトラスト移行のすゝめ｜情報処理推進機構（IPA）（https://www.ipa.go.jp/jinzai/ics/core_human_resource/final_project/2022/ngi93u0000002ko3-att/000099778.pdf）
• 参考資料：Zero Trust Architecture（NIST SP 800-207）｜NIST（https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-207.pdf）

各打ち手が何を守り、どう選ぶか

ここからは、全体像で示した打ち手を一つずつ掘り下げます。それぞれが守る範囲と、自社で採り入れるかを判断する際の着眼点をあわせて見ていきます。

EDR／EPP（端末上の脅威の検知・対応と予防）

端末そのものを守る中心が、EPPとEDRです。EPP（Endpoint Protection Platform）はいわゆるアンチウイルスソフトで、マルウェアに感染しないよう防ぐことを目的とします。EDR（Endpoint Detection and Response）は、端末の操作や動作を監視し、攻撃を受けたことを見つけ次第対処する仕組みです。

両者の役割の違いを、IPAは次のように整理しています。

マルウェアに感染しないようにする EPP に対し，EDR はマルウェア侵入を許してしまった後の被害を抑えることを主目的としたセキュリティ対策である。

出典：ゼロトラスト導入指南書｜情報処理推進機構（IPA）

選ぶときは、まず感染を防ぐEPPを基本に置き、侵入された後に素早く気づいて被害を抑えたい場合にEDRを組み合わせる、という考え方が目安になります。近年はEPPとEDRを一体で備えた製品も増えているため、両機能を単一の製品でまかなえるかも確認しておくと、運用の手間を抑えやすくなります。

出典・参考資料（1件）

• 出典：ゼロトラスト導入指南書｜情報処理推進機構（IPA）（https://www.ipa.go.jp/jinzai/ics/core_human_resource/final_project/2021/ngi93u0000002klo-att/000092243.pdf）

MDM／UEM＋デバイス制御（端末の構成管理）

多数の端末を統一したルールで管理する役割を担うのが、MDMやUEMです。MDM（Mobile Device Management）は、スマートフォンやタブレットなどを管理するソフトウェアで、紛失・盗難時の遠隔ロックやデータ削除、アプリの一括管理、OSのアップデートなどを行えます。

UEM（Unified Endpoint Management）は、モバイル端末に加えてPCも含めて一元管理する、より新しい統合管理の考え方です。

IPAはこうしたモバイル端末の総合管理をEMM（Enterprise Mobility Management、端末管理ソフトの機能をまとめた総称）と整理しています。守る対象は、セキュリティポリシーに沿った設定、不要な機能の制限、紛失時の遠隔ロックやデータ削除などまで広がります。

USBメモリやBluetoothの利用制限といったデバイス制御も、この一環として設定できる製品があります。外部媒体を経由した持ち出しやマルウェアの持ち込みという漏洩・感染の経路を塞ぐ対策で、端末からの情報流出を抑えるのに効きます。

端末の台数が多い、モバイル端末を業務で使う、端末ごとに設定がばらつきやすい——こうした状況では、個々の端末を手作業で管理するより、MDM／UEMで統一ルールを配る方が現実的です。

MDM／UEMは製品によって対応OSや紛失時のロック・キッティング機能、月額料金に幅があります。法人向けMDMを具体的に比較して選びたい場合は、以下の記事で製品ごとの違いを整理しています。

デバイス認証・端末の状態確認（ポスチャ）

ゼロトラストの肝が、アクセスを許す前の端末の状態確認（ポスチャ）です。前章で触れたとおり、端末が管理下にあり適切に設定されているかを、認証・認可のたびに確かめます。デジタル庁の「ゼロトラストアーキテクチャ適用方針」も、リソースの状態確認を適用方針の一つに挙げ、その確認は常時行うことが望ましいとしています。

各種リソースは恒常的に安全とはいえない。適切に運用・保守されなければ、時間の経過とともに脆弱性が増え、攻撃可能な領域が広がる。また、設定ミス・構成の不備により脆弱性が生まれることも考えられる。そのため、各種リソースの状態や構成が安全か確認する必要がある。その確認作業はアクセス状態に関わらず常時実施されることが望ましい。

出典：ゼロトラストアーキテクチャ適用方針｜デジタル庁

確認する項目には、OSやミドルウェアのバージョン、端末の構成情報などが含まれます。これらを認証時にチェックし、基準を満たす端末だけにアクセスを許す、あるいは満たさない端末は制限する、といった制御につなげます。デバイス証明書で「会社が許可した端末かどうか」を確かめる仕組みも、この考え方の一部です。

選ぶときは、自社が使うID基盤やアクセス制御の仕組みが、端末の状態や証明書を認可の条件に組み込めるかが見きわめのポイントになります。社外や私物からのアクセスを、条件を満たすときだけ許したい場合に特に効いてくる打ち手です。

出典・参考資料（1件）

• 出典：ゼロトラストアーキテクチャ適用方針｜デジタル庁（https://www.digital.go.jp/resources/standard_guidelines/#ds210）

端末にデータを残さない（データレス／VDI）

端末を守るもう一つの発想が、そもそも端末に業務データを残さないことです。端末内にデータがなければ、紛失・盗難が起きても、その端末から情報が漏れるリスクを大きく下げられます。IPAも端末管理の機能の一つとして、端末からのデータ閲覧は可能にしつつ、端末内への保存を制限する考え方を挙げています。

これを実現する代表的な方式が、仮想デスクトップ（VDI）と、データレスクライアントです。VDIはサーバー側で動かすデスクトップ画面を端末に映すもので、データは手元の端末に残りません。データレスクライアントは、通常のPCの使い勝手を保ったまま、端末内のデータをクラウドなどへ退避し、本体にデータを置かない状態をつくります。

持ち出しPCや、後述する私物端末からの情報漏洩を根本から抑えたい場合に向く選択肢です。導入時は、既存のPC環境をどこまで変える必要があるか、オフラインでも作業できるかを確認しておくと、運用の負担を見積もりやすくなります。

無害化（ファイル・通信の無害化）

端末に届く前に脅威を取り除くのが、無害化（CDR、Content Disarm and Reconstruction）です。メールの添付ファイルやダウンロードしたファイル、Web経由の通信から、マクロやスクリプトといった不正に悪用され得る要素を除去し、安全な形に変換して渡します。

ここまでのEDR／EPPが「端末上で脅威に対処する」のに対し、無害化は「脅威を端末に届かせない」入口側の対策です。メール添付やファイルのやり取りが多く、未知の攻撃も含めて開く前に無効化したい場合に、ほかの打ち手と組み合わせて検討する価値があります。

無害化（CDR）がファイルから不正な要素をどう取り除くのか、その仕組みと自治体・企業向けの製品の選び方をより詳しく知りたい場合は、以下の記事をご覧ください。

ゼロトラスト端末対策は何から始めるか

打ち手が見えてくると、次に迷うのが「何から着手するか」です。すべてを一度に導入するのは現実的でないため、優先順位と段階的な進め方を押さえておきます。

着手はID統制から

ゼロトラスト全体の土台となるのがID管理で、IPAも最も重要な要素に位置づけています。信頼できるネットワークがない前提では、「誰が」アクセスしようとしているかを都度確かめることが欠かせないためです。

ゼロトラストの概念を実装するにあたり、最も重要と言えるのが ID 管理である。なぜなら「信頼できるネットワークが存在しない」というゼロトラストの概念において「誰が」リソースにアクセスしようとしているのか都度的確に識別し認証・認可を行うことが重要だからである。

出典：ゼロトラスト移行のすゝめ｜情報処理推進機構（IPA）

端末対策は、このID管理という土台の上に重なります。記事の前半で述べた「端末が信頼できる状態かをアクセスのたびに確かめる」仕組み（ポスチャ）は、「誰が」を確かめる認証と組み合わさって初めて働くためです。実務上は、まず認証の強化とアクセス制御を固め、そのうえで端末の状態確認やEDRといったエンドポイント側の対策を重ねる順序が取り組みやすいでしょう。

この着手の順序を整理すると、次のようになります。

専任担当がいなくても回す段階的な進め方

一度にすべてを揃えようとすると、費用も運用負荷も重くなります。IPAの「ゼロトラスト移行のすゝめ」は、いきなり製品を入れるのではなく、現状の課題を洗い出すところから段階的に進める5つのフェーズを示しています。

• 現状分析（As-is分析）で、いま抱えている課題を可視化します
• 目指す姿（グランドデザイン）を描きます
• 投資判断を行います
• グランドデザインをもとに環境を構築します
• 利用者の声を受けて、より良い構成へ改善していきます

専任のセキュリティ担当を置けない場合は、まず「自社で何を守りたいか・どこが弱いか」をはっきりさせ、優先度の高い課題から一つずつ対策を重ねるのが現実的です。クラウド型で導入・運用の負担が軽いサービスや、導入から運用まで支援してくれる提供元を選ぶと、少人数でも進めやすくなります。

端末対策の優先度を考えるうえで、中小企業が攻撃の標的になっている実態は押さえておきたいところです。IDaaSを提供する株式会社インターナショナルシステムリサーチへの取材では、導入相談の現場で次のような変化が語られています。

出典・参考資料（1件）

• 参考資料：ゼロトラスト移行のすゝめ｜情報処理推進機構（IPA）（https://www.ipa.go.jp/jinzai/ics/core_human_resource/final_project/2022/ngi93u0000002ko3-att/000099778.pdf）

会社貸与端末と私物端末（BYOD）で変わる守り方

端末対策は、その端末を会社が所有しているか、社員の私物かで、取れる手段が変わります。ここでは、所有権の違いによる守り方の分かれ目を整理します。

会社が貸与する端末であれば、MDM／UEMで端末まるごとを管理下に置き、設定の強制や利用制限、紛失時の遠隔ロック・データ削除まで一貫して行えます。端末が会社の管理物なので、強い制御をかけやすいのが特徴です。

一方、社員の私物端末（BYOD）では、端末全体を会社が管理するのは、プライバシーの面でも現実的ではありません。そこで用いられるのが、端末ごとではなくアプリとデータの単位で管理する考え方です。

IPAもEMMの機能として、業務データと個人データを分離し、業務データを個人領域へ移すようなポリシー違反をブロックするMAM（Mobile Application Management）を挙げています。業務で使う部分だけを管理し、私物のデータには手を触れない形にできます。

加えて、端末にデータを残さないデータレスの方式を使えば、私物PCであっても業務データは端末本体に保存されず、紛失時の漏洩を抑えられます。デジタル庁の適用方針でも、業務利用を許された個人端末がゼロトラストの対象として想定されており、私物端末を無視するのではなく、所有権に応じた管理手段を選ぶことが前提になっています。

私物端末（BYOD）を業務で使う際に、MDM・リモートアクセス・仮想環境といった具体的な管理ツールをタイプ別に比較したい場合は、以下の記事が参考になります。

出典・参考資料（2件）

• 出典：ゼロトラスト導入指南書｜情報処理推進機構（IPA）（https://www.ipa.go.jp/jinzai/ics/core_human_resource/final_project/2021/ngi93u0000002klo-att/000092243.pdf）
• 出典：ゼロトラストアーキテクチャ適用方針｜デジタル庁（https://www.digital.go.jp/resources/standard_guidelines/#ds210）

端末対策に使えるサービス

ここからは、これまで見てきた打ち手に対応する具体的なサービスを紹介します。端末の状態に応じて認証を切り替えるID基盤、端末そのものを守るセキュリティソフト、端末にデータを残さないデータレスと、守る切り口の異なる3つを取り上げます。まずは全体を比較表で見比べてください。

1. CloudGate UNO（株式会社インターナショナルシステムリサーチ）

CloudGate UNOは、ゼロトラストの考え方にもとづくシングルサインオンを提供する、国産のクラウド型ID基盤（IDaaS）です。一度の認証で複数のクラウドサービスへアクセスできる利便性と、端末の状態に応じたアクセス制御を組み合わせている点が特徴になります。

アクセス制限は、IPアドレス・デバイス証明書による端末制限・国や地域・曜日や時間帯など複数の軸で設定できます。

「セキュリティプロファイル」により、役職や利用環境、端末の状態に応じて認証方式を切り替えられるため、本記事で触れた端末の状態確認（ポスチャ）を認可の条件に組み込みたい場合の選択肢になります。パスキー（FIDO2）によるパスワードレス認証にも対応し、フィッシングに強い認証を全プランで利用できます。

オンプレミスからクラウドへ移行し、複数のSaaSを安全に使い分けたい企業に向いています。国産の自社開発で、導入前から導入後まで日本語でサポートを受けられる体制も整えられています。

2. Eye”247″ Safety Zone（株式会社フーバーブレイン）

感染を防ぐEPPと、侵入された後の検知・対応を担うEDRを単一の製品に束ねたのが、株式会社フーバーブレインのエンドポイントセキュリティソフト「Eye”247″ Safety Zone」です。端末そのものへの攻撃・感染に正面から備えたい場合に適しています。

検知エンジンにはBitdefenderが共同開発したものを採用し、アプリケーションの動作を常時監視する振る舞い検知を搭載しています。ランサムウェア対策として、ファイルを自動でバックアップし、直近のバックアップからリストアできる機能も標準で持ちます。フィッシングサイトの自動ブロックなど、Web経由の脅威への保護も備えています。

ブラウザベースの管理コンソールで各PCの状況を一元管理でき、専任のセキュリティ担当者を置きにくい中堅・中小企業での利用も想定されています。料金は導入台数や契約期間に応じた個別見積もりとなっており、詳細は資料で確認できます。

3. Shadow Desktop（アップデータ株式会社）

端末にデータを残さない「データレスクライアント」という方式をとるのが、アップデータ株式会社のShadow Desktopです。既存のWindows PCにインストールし、PC内のユーザーデータをクラウドなどの外部ストレージへ自動的に退避させることで、本体にデータが残らない状態をつくります。VDIと違ってOSやアプリ自体は仮想化しないため、通常のPCと同じ操作感で使える点が特徴です。

端末に一時的に残るキャッシュは暗号化され、ファイル名も変換されるため、PCの紛失・盗難時にディスクを取り出しても内容を読み取れない設計とされています。管理コンソールから、紛失した端末の利用停止やキャッシュ削除も行えます。

私物PC（BYOD）での利用も想定されており、オンデマンド起動を使えば、普段は私物のデスクトップのまま、業務が必要なときだけ仮想デスクトップに切り替えて使えます。私物PC上のローカルファイルは仮想化の対象に含まれず、業務データと私物データが混ざらない設計です。持ち出しPCや私物PCからの情報漏洩のリスクを下げたい場合の選択肢になります。

端末対策は、社内セキュリティ全体の中の一つの切り口です。端末だけでなく、ネットワークやデータなど守る対象ごとに、どんなタイプのソリューションがあり代表的なサービスは何かを俯瞰してから検討したい場合は、以下の記事もあわせてご覧ください。

まとめ

ゼロトラストで端末を守るとは、特定の一つの製品を入れることではなく、EDR／EPP・MDM／UEM・デバイス認証と端末の状態確認（ポスチャ）・端末にデータを残さないデータレス・無害化といった打ち手を、自社の課題に合わせて組み合わせることです。社内か社外かで区切るのではなく、端末が信頼できるかをアクセスのたびに確かめる、という考え方が土台になります。

進めるときは、ID統制を土台に、現状の課題を洗い出してから優先度の高いところに段階的に手を打つのが現実的です。会社貸与端末と私物端末では取れる手段が変わるため、所有権に応じて守り方を選びます。まずは自社の弱点に合う打ち手を見極め、対応するサービスの資料で機能や費用を具体的に比べてみてください。

よくある質問（FAQ）

Q. ゼロトラストの端末対策（ゼロトラスト端末）とは何ですか？

A. ゼロトラストの端末対策とは、社内か社外かという場所で信頼を決めず、端末が信頼できる状態かをアクセスのたびに確かめたうえで、EDR／EPP・MDM・端末の状態確認（ポスチャ）・端末にデータを残さない方式などを組み合わせて端末を多層で守ることです。

従来の境界型防御が「社内は安全」という前提に立っていたのに対し、テレワークやクラウド利用で端末が社外から業務データに触れるようになったことを受けて、端末そのものの健全性を起点に守る考え方へ移った点がポイントです。

Q. ゼロトラストの端末対策におけるMDMとEDRの違いは何ですか？

A. MDMとEDRは守る対象が異なり、MDMは端末の設定・状態を統一ルールで「管理」する仕組み、EDRは端末が攻撃を受けたことを「検知して対応」する仕組みです。

MDM（Mobile Device Management）はスマートフォンやタブレットなどに設定を配り、紛失時の遠隔ロックやデータ削除、アプリの一括管理などを行います。一方EDRは端末の操作や動作を監視し、マルウェアの侵入を許した後に素早く気づいて被害を抑えることを目的とします。管理と脅威対応という役割の違う打ち手なので、どちらか一方で置き換えるものではなく、必要に応じて併用します。

Q. ゼロトラストの端末対策でEPPとEDRはどう使い分ければよいですか？

A. EPPとEDRは、感染を未然に防ぐのがEPP、感染・侵入された後の被害を抑えるのがEDRで、まずEPPを基本に置き、侵入される前提で備えたい場合にEDRを重ねます。

EPP（Endpoint Protection Platform）はいわゆるアンチウイルスソフトで、マルウェアに感染しないよう保護することを目的とします。

感染を未然に防ぐEPPと、侵入された後の被害を抑えるEDRは役割が異なるため、片方だけでなく両方をそろえる考え方が基本です。近年は両機能を一体で備えた製品も増えているため、単一の製品でまかなえるかを確認すると運用の手間を抑えやすくなります。

Q. ゼロトラストでいう端末の状態確認（ポスチャ）とは何ですか？

A. 端末の状態確認（ポスチャ）とは、アクセスを許す前に、その端末が会社の管理下にあり、OSやパッチ・設定が基準を満たしているかを認証・認可のたびに確かめる仕組みです。

利用者が正しいか（ID）だけでなく、「どの端末から」かまで見てアクセスの可否を判断する点がゼロトラストの肝にあたります。デジタル庁の「ゼロトラストアーキテクチャ適用方針」も、リソースの状態や構成が安全かの確認はアクセス状態に関わらず常時行うことが望ましいとしており、満たさない端末はアクセスを制限するといった制御につなげます。

Q. ゼロトラストの端末対策は何から始めればよいですか？

A. ゼロトラストの端末対策は、いきなり製品を導入するのではなく、自社で何を守りたいか・どこが弱いかという現状の課題を洗い出し、ID統制（誰がアクセスするかの認証）を土台に、優先度の高いところから段階的に進めるのが現実的です。

IPAは、ゼロトラストの実装で最も重要なのはID管理だとしており、「誰が」に加えて「どの端末から」を確かめる端末の状態確認を、認証の仕組みと合わせて設計すると入口が整います。そのうえで、端末の状態確認やEDRといったエンドポイント側の対策を重ねていく順序が取り組みやすいでしょう。

Q. 専任のセキュリティ担当がいない中小企業でも、ゼロトラストの端末対策は必要ですか？またできますか？

A. 専任担当がいない中小企業でも、テレワークやクラウド利用で端末が社外から業務データに触れるなら端末対策は必要であり、優先度の高い課題から一つずつ対策を重ねる形で進められます。

すべてを一度に揃えようとすると費用も運用負荷も重くなるため、まず「自社で何を守りたいか・どこが弱いか」をはっきりさせることが出発点です。クラウド型で導入・運用の負担が軽いサービスや、導入から運用まで支援してくれる提供元を選ぶと、少人数でも無理なく回しやすくなります。

Q. 私物端末（BYOD）を業務で使う場合、ゼロトラストの観点で何に注意すればよいですか？

A. 私物端末（BYOD）では、端末まるごとを会社が管理するのはプライバシーの面で現実的でないため、業務で使うアプリとデータの単位で管理したり、端末にデータを残さない方式を使ったりして、私物のデータに手を触れずに業務領域だけを守るのが基本です。

業務データと個人データを分離して管理するMAM（Mobile Application Management）や、端末本体に業務データを保存させないデータレスの方式が代表的な手段になります。会社貸与端末のように強い制御をかけにくい分、所有権に応じて管理手段を選ぶ点が注意どころです。

Q. ゼロトラストの端末対策にはどれくらいのコストがかかりますか？

A. ゼロトラストの端末対策の費用は、導入する打ち手の種類・端末の台数・契約期間によって幅があり、多くの製品は端末台数などに応じた個別見積もりで決まります。

EDR／EPP・MDM・ID基盤・データレスなどを一度にすべて揃えれば費用はかさみますが、優先度の高い課題から段階的に導入すれば初期の負担を抑えられます。クラウド型（月額課金）のサービスは初期費用を抑えやすい傾向があるため、守りたい範囲を絞ったうえで複数社の資料を取り寄せ、台数ベースの料金を見比べると見積もりの精度が上がります。

Q. ゼロトラストの端末対策は一つの製品で実現できますか？

A. ゼロトラストの端末対策は、一つの製品だけで完結するものではなく、EDR／EPP・MDM／UEM・端末の状態確認（ポスチャ）・データレスなど役割の異なる打ち手を、自社の課題に合わせて組み合わせて実現するのが基本です。

これらは排他的な選択肢ではなく、組み合わせて端末を多層で守る考え方だからです。ただし、EPPとEDRを一体化した製品や、端末の状態に応じて認証を切り替えられるID基盤など、複数の役割を兼ねる製品もあるため、自社に必要な打ち手を整理したうえで、どこまで一製品でまとめられるかを確認すると運用を簡素にしやすくなります。

Q. EDRを導入すれば、ゼロトラストの端末対策は十分ですか？

A. EDRの導入だけでは不十分で、EDRは「侵入された後に素早く気づいて対処する」打ち手であり、感染を未然に防ぐEPP、端末の設定を管理するMDM、アクセス前の端末の状態確認（ポスチャ）など、入口や管理の対策と組み合わせて初めて端末を多層で守れます。

EDRは端末上で起きた脅威への対応に強みがある一方、そもそも端末にデータを残さない方式や、脅威を端末に届かせない入口側の対策までは担いません。自社が守りたい範囲を見極め、EDRを土台にしつつ足りない層を他の打ち手で補う発想が大切です。

Q. 端末にデータを残さない方式（データレス・VDI）は、どんなときに向いていますか？

A. 端末にデータを残さない方式は、持ち出しPCや私物PCからの情報漏洩を根本から抑えたい場合に向いており、端末内に業務データがなければ、紛失・盗難が起きてもその端末から情報が漏れるリスクを大きく下げられます。

サーバー側のデスクトップ画面を端末に映すVDI（仮想デスクトップ）と、通常のPCの使い勝手を保ったまま端末内のデータをクラウドなどへ退避させるデータレスクライアントが代表的な方式です。導入時は、既存のPC環境をどこまで変える必要があるか、オフラインでも作業できるかを確認しておくと、運用の負担を見積もりやすくなります。

Q. ゼロトラストの端末対策でいう「無害化」とは何ですか？

A. 無害化とは、メールの添付ファイルやダウンロードしたファイル、Web経由の通信から、マクロやスクリプトなど不正に悪用され得る要素を取り除き、安全な形に変換して端末に渡す入口側の対策です。

端末上で脅威に対処するEDR／EPPが「端末に届いた脅威に対応する」のに対し、無害化は「そもそも脅威を端末に届かせない」点が違いになります。メール添付やファイルのやり取りが多く、未知の攻撃も含めて開く前に無効化したい場合に、ほかの打ち手と組み合わせて検討する価値があります。

Q. VPNを使っていれば、ゼロトラストの端末対策は不要ですか？

A. VPNがあってもゼロトラストの端末対策は不要になりません。VPNは社外から社内へ安全に通信をつなぐ仕組みで、「接続してくる端末そのものが信頼できる状態か」までは保証しないからです。

ゼロトラストは、ネットワークのどこにあるかで信頼を決めず、端末の状態をアクセスのたびに確かめる考え方なので、VPNで接続した端末であってもマルウェアに感染していたり設定が基準を満たさなかったりすれば脅威になり得ます。VPNの有無にかかわらず、端末の状態確認やEDR／EPPといった端末側の対策が必要です。

端末セキュリティ・ゼロトラスト関連サービスの料金・資料を一括チェック

MCB FinTechカタログでは、EDR・ID基盤・データレスなど、ゼロトラストで端末を守るサービスの最新資料を無料で一括請求できます。守る打ち手や機能、料金を横並びで比較できます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。