ITトレンドがおすすめする製品・サービス
- ■移行する範囲別
- VPNのリモートアクセスをゼロトラスト型に置き換える（ZTNA）：Cloudflare One、IIJフレックスモビリティサービス/ZTNA、NTTドコモソリューションズのゼロトラスト型セキュリティサービス、Akamai Enterprise Application Access、Zero Trust Secure Access、ZeroTrustNetworkAccess
- Web閲覧やクラウド利用の通信もまとめて制御する（SASE）：Cloudflare One、KAMOME SASE、PrismaAccess、マネージドサービス for SASE Plus
- 端末の状態確認から始める（デバイス管理・EDR連携）：Cloudflare One、IIJフレックスモビリティサービス/ZTNA、NTTドコモソリューションズのゼロトラスト型セキュリティサービス、SeciossLink（セシオスリンク）、ZeroTrustNetworkAccess
VPNからゼロトラストへの乗り換えで変わる接続の仕組み
ゼロトラストへの乗り換えでは、VPN装置を別の機器に替えるだけでなく、接続を許可する考え方そのものが変わります。まず境界型との違いと、乗り換えを検討するきっかけを整理しましょう。
境界型防御とゼロトラストの考え方の違い
境界型防御は、社内ネットワークの内側を信頼し、外との境界をファイアウォールやVPNで守る考え方です。VPNで接続すると、許可された範囲の社内ネットワークに広くつながる構成もあります。
一方、ゼロトラストは社内外を問わず通信を信頼せず、アクセスのたびに「誰が、どの端末から、どのアプリに」接続するかを確認します。ZTNA（ゼロトラストネットワークアクセス）では、ネットワーク全体ではなくアプリ単位で接続を許可するため、不正に侵入された場合の影響範囲を絞り込みやすくなります。
VPN装置の更新時期が見直しのきっかけになる理由
VPN装置の保守期限や買い替えの時期は、ゼロトラストへの乗り換えを検討するきっかけの一つです。同じ方式の機器を更新すると、ファームウェアの更新や脆弱性への対応を引き続き自社で行う必要があります。
また、クラウドサービスの利用が増えると、VPN経由で社内に戻ってからインターネットに出る通信が増え、回線や装置が混雑する場合があります。更新費用と運用負担を比べ、クラウド型のサービスへ移すかを判断する材料にしましょう。
一度にすべてを置き換えなくてよい理由
ゼロトラストへの乗り換えは、VPNを一気に廃止する方法だけではありません。業務アプリごとに対応状況が異なるため、移しやすいものから段階的に切り替える方法が選ばれる場合があります。
例えば、クラウドサービスへの接続を先にゼロトラスト型へ移し、古い社内システムだけ当面はVPNで残す構成も考えられます。段階的に進めれば、問題が起きた範囲を特定しやすく、利用者への影響も抑えられます。
ゼロトラストへの乗り換え前に行う棚卸し
移行の順番を決めるには、VPNで何に接続しているのか、誰が使っているのか、どの端末から使っているのかを把握する必要があります。この3つを表にまとめておくと、後の設定作業が進めやすくなります。
VPN経由で使っている業務アプリの洗い出し
最初に、VPN経由で接続している業務アプリやサーバを一覧にします。VPN装置の接続ログや、情報システム部門が管理する構成表を手がかりにすると洗い出しやすくなります。
一覧には、アプリ名、接続先、通信の種類（ブラウザで使うWebアプリか、専用ソフトやファイル共有か）、利用部署を記録しましょう。通信の種類によってゼロトラスト型サービスでの対応方法が変わるため、この情報は移行の順番を決める材料です。
利用者グループごとのアクセス範囲の整理
次に、部署や職種ごとに、どのアプリへのアクセスが必要かを整理します。VPNでは接続できる範囲が広く設定されている場合があり、実際の業務に必要な範囲より多く許可されていることもあります。
ゼロトラスト型のアクセス制御では、ID管理の仕組み（IdP）のグループ情報をもとにポリシーを設定する方式が使われます。社員、委託先、退職予定者などの区分も含めて整理しておくと、移行後のポリシー設計を進めやすくなります。
接続に使う端末の管理状態の確認
ゼロトラストでは、利用者だけでなく端末の状態もアクセス判断の材料にします。会社支給のパソコン、私物のスマートフォン、委託先の端末など、接続に使われている端末の種類を把握しましょう。
あわせて、OSの更新状況やウイルス対策ソフトの稼働を確認できるかも調べます。デバイス管理ツールやEDR（端末の不審な動きを検知する仕組み）を導入済みであれば、連携できる製品を選べば、端末の状態をポリシーに反映しやすくなります。
ゼロトラスト・セキュリティへ移す順番の決め方
棚卸しの結果をもとに、どの通信から移すかを決めます。影響範囲が小さく、ゼロトラスト型サービスで扱いやすい通信から始め、対応が難しい通信は後に回すと進めやすくなります。
クラウドサービスへの接続から切り替える
クラウドで提供される業務サービスへの接続は、比較的早い段階で移しやすい対象です。多くのクラウドサービスはインターネット経由で使う前提のため、VPNを経由しない構成に変えても業務の流れが大きく変わりにくいためです。
この段階では、IdPによるシングルサインオンや多要素認証と組み合わせ、ログインの確認を強化します。Web閲覧の通信もあわせて制御したい場合は、SWG（Webアクセスを制御する仕組み）を含むSASE型のサービスも検討対象です。
社内Webアプリはアプリ単位の接続に置き換える
社内のサーバで動いているWebアプリは、ZTNAを使ってアプリ単位で公開する方法があります。代表的な構成では、社内側にコネクタと呼ばれる中継ソフトを置き、外からの接続を受け付けずに通信を確立します。
移行時は、部署を限定して先行利用し、表示速度やログインの流れに問題がないかを確認します。アプリごとに許可するグループを設定できるため、棚卸しで整理したアクセス範囲をそのまま反映できます。
VPNでしか扱いにくい業務は最後に残す
独自の通信方式を使う古いシステムや、サーバ側から端末へ接続する仕組みの業務は、ゼロトラスト型サービスで扱えない場合があります。こうした業務は無理に移さず、最後に回すか、当面はVPNを残す判断も現実的です。
対応可否は通信の方式や製品によって異なるため、候補の製品で検証環境を用意してもらい、実際に動くかを確かめましょう。システム自体の更新時期にあわせて、クラウド化やWeb化を検討する方法もあります。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でゼロトラスト・セキュリティ製品の一括資料請求が可能です。浮いた時間で、じっくりと製品の比較検討を進めましょう。
VPNと新しい接続方式を並行させる期間の運用
移行期間中は、VPNとゼロトラスト型の接続が混在します。利用者が迷わないよう案内を整え、ログを使って想定どおりに動いているかを確かめながら進めることが大切です。
利用者への案内と問い合わせ窓口の準備
並行期間は、どの業務を新しい方式で使い、どの業務をVPNで使うのかを利用者へ明確に伝えます。部署ごとの切り替え日、端末へのソフトの入れ方、ログイン方法を手順書にまとめておきましょう。
問い合わせは特定の担当者に集中させず、窓口と対応手順を決めて複数人で共有します。よくある質問を手順書に追記していくと、後から切り替える部署の負担を減らせます。
接続ログを使ったアクセスポリシーの見直し
ゼロトラスト型サービスの管理画面では、誰がどのアプリに接続したか、拒否された通信があったかを確認できます。並行期間中はこのログを定期的に見て、業務に必要な接続が拒否されていないかを確かめましょう。
反対に、ほとんど使われていない許可設定があれば、範囲を狭める候補です。ポリシーの変更は履歴を残し、変更理由を記録しておくと、後から設定を見直すときの判断材料として役立ちます。
VPNを停止する前に確かめること
移行が進んだら、VPNの停止を計画します。停止後に業務が止まらないよう、残っている通信の有無と、障害時に戻す手段を事前に確認しておきましょう。
VPN経由の通信が残っていないかの確認
VPN装置の接続ログを一定期間確認し、まだVPNを使っている利用者や通信先がないかを調べます。月末処理や年1回の作業など、利用頻度が低い業務は見落としやすいため、確認期間は業務の周期を考慮して決めましょう。
残っている通信が見つかった場合は、利用部署に用途を確認し、移行先を決めてから停止日を設定します。委託先や海外拠点からの接続も確認対象に含めます。
停止後に障害が起きた場合の備え
VPNを停止した後に、ゼロトラスト型サービス側で障害や設定誤りが起きる可能性もあります。サービス提供会社の障害情報の確認方法や、問い合わせ窓口の受付時間を事前に把握しておきましょう。
停止直後は装置をすぐに撤去せず、一定期間は再開できる状態で残す方法もあります。障害時の連絡体制と、一時的な代替手段を手順書にまとめておくと、万一の際に落ち着いて対応できます。
VPNから段階的に移しやすいゼロトラスト製品一覧
VPNと併用しながら移行を進められるか、端末の状態を接続の判断に使えるかという観点で、この記事で紹介するゼロトラスト・セキュリティ製品を一覧にしました。移行する範囲を決めるときの比較に役立ててください。
| 製品名 | 特徴 |
|---|---|
| Cloudflare One | ZTNAやSWGを単一クラウドで提供するSASE。既存環境と併用した段階的な導入に対応 |
| IIJフレックスモビリティサービス/ZTNA | クラウド型リモートアクセス。端末やセキュリティパッチの状態などをもとに接続を制御 |
| KAMOME SASE | 既存のVPN環境を活かして段階導入できる国産SASE。社内アプリやSaaSへの接続を共通ルールで制御 |
| NTTドコモソリューションズのゼロトラスト型セキュリティサービス | SWG・EDR・ZTNAなどの導入から運用までを一括で支援。VPN中心の環境の見直しに対応 |
| SeciossLink（セシオスリンク） | SSOや多要素認証を備えたIDaaS。UEMやEDR、SASEなどのセキュリティ製品と連携できる |
| Akamai Enterprise Application Access | アプリごとのリモートアクセスをVPNなしで提供。多要素認証やSSOでアクセス管理を一元化 |
| Zero Trust Secure Access | IDと端末を継続的に検証するゼロトラスト型サービス。SWGとZTNAを提供する |
| ZeroTrustNetworkAccess | ユーザーと端末の状態を確認し、アプリ単位で接続を許可。Sophos Centralで一元管理できる |
| PrismaAccess | ネットワーク機能とセキュリティ機能をクラウドで統合したSASE。拠点・モバイルの通信を一貫して保護 |
| マネージドサービス for SASE Plus | SASE環境の運用監視サービス。SOCや専門エンジニアがポリシー管理と運用を支援 |
移行の範囲にあわせて選べるゼロトラスト製品
リモートアクセスだけをアプリ単位の接続に置き換えるのか、Web閲覧の通信までまとめて制御するのか、端末の確認から始めるのかによって、候補となる製品は変わります。VPNとの並行期間を想定して比較してみてください。
Cloudflare One
- VPN不要のゼロトラスト(ZTNA)を既存環境と併用し段階的に導入
- SWG・CASB・DLP等の多層防御を単一画面で一元管理
- 世界125カ国330都市以上の拠点網が低遅延かつ高可用性を提供
TDI株式会社が提供する「Cloudflare One」は、ネットワーク機能とゼロトラストのセキュリティ機能を単一のクラウドで提供するSASEサービスです。アプリ単位でアクセスを制御するZTNAと、Web閲覧を守るSWG、CASB、DLPなどを一つの管理画面で扱えます。VPNを使わないZTNAを既存環境と併用しながら段階的に導入できるうえ、社内側のサーバーをコネクタ経由で接続する構成も可能です。EDRのリスクスコアやOSバージョンを用いたデバイスポスチャチェックにも対応しています。
IIJフレックスモビリティサービス/ZTNA
- 私物端末からのリモートアクセスを制御
- 端末のインターネットアクセスを制御してマルウエア感染を防御
- 感染端末からのアクセス通信をブロック
株式会社インターネットイニシアティブが提供する「IIJフレックスモビリティサービス/ZTNA」は、VPN装置を自社で持たずに、リモートアクセスをクラウド型のサービスへ切り替えたい企業が比較しやすいサービスです。接続する時間や場所、端末、セキュリティパッチの状態などをリアルタイムで判断し、ゼロトラストモデルにもとづいてアクセスを制御します。社内ドメインへの参加を許可した端末だけを接続させる設定や、セキュリティ対策ソフトが出力する脅威レベルを参照した通信の自動遮断にも対応しています。端末の管理状態を見極めながら移行したい企業の候補です。
KAMOME SASE
- 既存環境を活かして段階導入できる国産ゼロトラストSASE
- オンプレ・クラウド・SaaSを統一ポリシーでアクセス制御
- 閉域網や拠点間通信もゼロトラストで安全に制御
かもめエンジニアリング株式会社が提供する「KAMOME SASE」は、既存のVPN環境やネットワーク資産を活かしながら段階的にゼロトラストへ移行できる国産のSASEです。社内システムやクラウド、SaaSへのアクセスを共通のルールで制御でき、部門単位やサービス単位で導入範囲を広げられます。閉域網内に設置するコネクターとポリシー管理クラウドにより、拠点間の通信もゼロトラストで制御します。各種IDaaSとのSSO連携にも対応しています。
NTTドコモソリューションズのゼロトラスト型セキュリティサービス
- SWG・EDR・ZTNA等のサービス導入から運用まで丸ごとお任せ
- VPNやオンプレ環境から脱却、セキュアなクラウドシフトを支援
- M365 やAIPといった周辺環境まで支援可能
NTTドコモソリューションズ株式会社が提供する「NTTドコモソリューションズのゼロトラスト型セキュリティサービス」は、SWG・EDR・ZTNAなどのセキュリティサービスを導入から運用までまとめて提供するサービスです。VPN中心のアクセス環境の見直しやクラウドシフトを支援し、オプションでMicrosoft Intuneによる端末管理やMicrosoft Entra IDによるユーザー認証も組み合わせられます。SOCによる運用支援も用意されているため、移行後の運用体制に不安がある場合に検討しやすいでしょう。
SeciossLink（セシオスリンク）
- シングルサインオンであらゆるサービスに連携
- IDの一元管理で業務効率化
- FIDO認証や証明書認証などの多要素認証で認証を強化
株式会社セシオスが提供する「SeciossLink（セシオスリンク）」は、ADや人事マスタなどで分かれていたアカウントをまとめて管理しながら、クラウドサービスへのログインを強化できる国産のセキュリティプラットフォームです。シングルサインオンに加え、ワンタイムパスワードやFIDOを利用した多要素認証を備えています。Microsoft IntuneやLANSCOPE エンドポイントマネージャー クラウド版などのUEM、EDR、SASEといったセキュリティ製品との連携機能を備えています。クラウドサービスへの接続を先に切り替える段階で、ログインの確認と端末の状態をあわせて強化したい場合の選択肢です。
Akamai Enterprise Application Access （アカマイ・テクノロジーズ合同会社）
- 全ユーザー・デバイスを都度認証しアクセスを厳密に管理
- VPN不要でクラウドへ高速・安全に接続可能です。
- 多要素認証・SSOでアクセス管理を一元化
Zero Trust Secure Access （トレンドマイクロ株式会社）
- ID・端末評価と動的ポリシーでアクセス制御。
- SWGによるWeb/SaaS脅威検査、URLフィルタ、サンドボックスに対応
- VPN代替で社内アプリへ安全接続。
ZeroTrustNetworkAccess （ソフォス株式会社）
- ユーザー・端末の状態を確認しアプリ単位でアクセス制御。
- Sophos Centralでポリシー設定と可視化を一元管理。
- クラウド型GW/コネクタでVPNなし接続。
PrismaAccess （パロアルトネットワークス株式会社）
- 全通信経路に次世代FW同等の検査・制御機能を適用可能
- 100超の拠点負荷を軽減し通信をグローバル分散処理。
- 場所を問わずユーザー・端末・アプリ単位で同一の制御を実現。
マネージドサービス for SASE Plus （ＪＢＣＣ株式会社）
- クラウド型SASEにより柔軟な拡張性のあるネットワーク構築が可能
- セキュリティ&ネットワークを統合管理 一貫したセキュリティ運用
- SOCや専門エンジニアがセキュリティポリシー管理&運用をサポート
まとめ
VPNからゼロトラストへの乗り換えは、業務アプリ、利用者、端末を棚卸しし、クラウドサービス、社内Webアプリ、VPNでしか扱いにくい業務の順に段階的に移すと進めやすくなります。並行期間はログでポリシーを見直し、残った通信を確認してからVPNを停止しましょう。移行する範囲によって、ZTNAやSASEなど適したゼロトラスト・セキュリティ製品は異なります。資料請求で対応範囲や検証の方法を比較し、自社の移行計画にあう製品を選んでください。
