ITトレンドがおすすめする製品・サービス
- ■製品の構成別
- SASEとして複数の機能を一括で提供：Cloudflare One、KAMOME SASE、PrismaAccess、iboss
- ZTNA（ゼロトラスト型のリモートアクセス）を単体で提供：IIJフレックスモビリティサービス/ZTNA、SophosZTNA、AppgateSDP
- SWG（Webアクセスの制御）を中心に提供：CYGIENE ECAP（サイジーン イーキャップ）、ZscalerInternetAccess
- ■ID基盤との連携別
- 既存のIdPとSAML・OIDCで連携：Cloudflare One
- 各種IDaaSとSSO連携：KAMOME SASE
- Microsoft Entra IDを含めて構成：NTTドコモソリューションズのゼロトラスト型セキュリティサービス
- ID基盤（IdP）もあわせて見直す：Okta Workforce Identity、GMOトラスト・ログイン
ゼロトラストセキュリティの乗り換え理由を整理する
乗り換えの目的があいまいなまま製品を選ぶと、移行後に同じ不満が残る場合があります。まずは現在の構成のどこに課題があるのかを整理し、乗り換え先に求める条件を明確にしましょう。
複数製品の個別導入による管理の分散
ゼロトラストの取り組みを段階的に進めた企業では、リモートアクセス、Web閲覧の制御、クラウドサービスの監視などを別々の製品で導入している場合があります。その結果、管理画面やポリシー、ログの保存先が分かれ、運用の手間が増えることがあります。
こうした課題がある場合は、複数の機能を一つのサービスで提供するSASE型への集約が検討対象です。一方で、各分野の製品を組み合わせる構成を続ける選択肢もあるため、どちらが自社の運用体制にあうかを比べましょう。
通信速度や接続の安定性に対する不満
Web会議が途切れる、ファイルの読み込みに時間がかかるといった不満が乗り換えのきっかけになる場合もあります。ただし、原因はゼロトラスト製品だけとは限らず、社内回線、端末の性能、通信の経路、利用しているクラウドサービス側の状況など複数の要因が関係します。
乗り換えを決める前に、どの拠点や時間帯で遅くなるのかを記録し、提供会社にも調査を依頼しましょう。原因が製品の接続拠点（PoP）の位置や処理能力にあるとわかれば、乗り換え先で確認すべき項目を具体的に絞り込めます。
契約更新とライセンス体系の見直し
契約更新のタイミングは、費用と機能のバランスを見直す機会です。ゼロトラストセキュリティ製品は、利用者数に応じた課金を採用する製品があり、機能の組み合わせによってプランや追加料金が分かれる場合もあります。
使っていない機能に費用を払っていないか、逆に必要な機能を別契約で追加していないかを確認しましょう。乗り換えには移行作業の工数もかかるため、更新日の数か月前から検討を始めると、比較や検証の時間を確保できます。
移行元のアクセスポリシーを書き出す
ゼロトラストセキュリティの乗り換えで手間がかかるのが、アクセスポリシーの移行です。製品の画面どおりに写すのではなく、ルールの意味を整理してから新しい製品で組み直す方法が確実です。
「誰が・どの端末で・何に」の表への整理
現在のポリシーを、利用者のグループ、端末の条件、接続先のアプリやWebサイト、許可か拒否かという項目で表に書き出します。製品固有の用語ではなく、業務の言葉で記録しておくと、乗り換え先の製品でも設定を組み立てやすくなります。
書き出しの際は、管理画面の設定をエクスポートできるかも確認します。エクスポートした設定は新製品にそのまま読み込めないこともありますが、項目の漏れを防ぐ照合用の資料として役立ちます。
製品ごとに異なる分類の置き換え
Webサイトの分類（URLカテゴリ）やアプリの識別方法は、製品によって区分の名前や細かさが異なります。例えば、移行元では一つだった分類が、移行先では複数に分かれている場合があります。
そのため、分類名の対応表を作り、同じ意味になる設定を一つずつ選び直す作業が必要です。判断が難しい分類は、移行先の提供会社に確認しましょう。移行直後に業務サイトが見られなくなる事態を防ぐため、主要な業務サイトの一覧を用意し、許可と拒否が想定どおりかをテストします。
例外ルールの棚卸し
運用を続けるなかで追加された例外ルールは、目的がわからなくなっていることがあります。特定の部署だけ許可したサイトや、検査の対象外にした通信などは、追加した理由と現在も必要かを確認しましょう。
不要な例外を移行先に持ち込まなければ、ポリシーが整理され、管理の負担を減らせます。必要な例外は、設定理由と見直し時期を記録して移行します。変更履歴を残す仕組みがあるかも、乗り換え先の確認項目に加えましょう。
端末エージェントとID連携の入れ替え
ポリシーの準備ができたら、端末にインストールするエージェントと、IdP（利用者の認証を担うID基盤）との連携を切り替えます。順番を誤ると接続できない利用者が出るため、段取りを決めて進めましょう。
端末エージェントを入れ替える順番
ゼロトラストセキュリティ製品には、端末に専用のエージェントを入れて通信を制御するものがあります。新旧のエージェントを1台の端末で同時に動かすと、通信の経路が競合して接続が不安定になる場合があるため、同時稼働の可否を両社に確認しましょう。
配布は、資産管理ツールやデバイス管理ツールを使い、部署ごとに段階的に行う方法があります。先行部署で問題がないことを確かめてから全社に広げると、トラブル時の影響を限定できます。配布に失敗した端末を一覧で把握できるかも確認しておくと、取り残しを防げます。
IdPとの認証連携とグループ同期
乗り換え先の製品をIdPと連携させ、シングルサインオン（SAML連携など）と利用者・グループ情報の同期（SCIM連携など）を設定します。ポリシーはグループ単位で作ることが多いため、同期されるグループ名が移行元と一致しているかを確認しましょう。
あわせて、多要素認証や端末の条件をどちらの仕組みで確認するのかも整理します。IdPと新製品の両方で同じ確認を重ねると、利用者のログイン手順が増える場合があるためです。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でゼロトラスト・セキュリティ製品の一括資料請求が可能です。浮いた時間で、じっくりと製品の比較検討を進めましょう。
ゼロトラスト製品のログと監視の引き継ぎ
アクセスログは、不正アクセスの調査や監査対応に使う重要な記録です。乗り換えでログが途切れたり、監視の仕組みが止まったりしないよう、移行元の記録と転送設定の扱いを決めておきましょう。
移行元の過去ログの保存
契約終了後は、移行元の管理画面にログインできなくなる場合があります。社内規程や取引先との契約でログの保存期間が決まっている場合は、契約終了前に必要な期間分を書き出して保管しましょう。
書き出せる期間や形式は製品によって異なるため、事前に提供会社へ確認します。ログの保管は担当者1人に任せず、保管場所と閲覧手順を手順書に残しておきましょう。保存先のストレージ容量や、後から検索できる形式かどうかも確認しておくと、調査が必要になったときに対応しやすくなります。
SIEMへのログ転送と通知設定の切り替え
ログをSIEM（複数のログを集めて分析する仕組み）に送っている場合は、乗り換え先からの転送設定が必要です。ログの項目名や形式が変わるため、検知ルールや集計の設定も見直しましょう。
不審な通信を管理者に知らせる通知も、新製品で同じ条件を設定し直します。切り替え後にテスト用の通知を発生させ、担当者に届くかを確認しておくと、監視の空白を防げます。
乗り換え後に利用者の体験を確認する
ゼロトラストセキュリティの乗り換えが完了したら、設定どおりに動いているかに加え、業務が問題なく進められているかを確認します。利用者の声と数値の両方で状況を把握しましょう。
主要な業務アプリでの動作確認
Web会議、ファイル共有、基幹システムなど、利用頻度の高い業務アプリで、接続できるか、表示や操作に遅れがないかを確認します。拠点や在宅勤務など、利用場所ごとに確認すると問題を見つけやすくなります。
乗り換え前に記録した通信速度や応答時間と比べれば、改善したかを客観的に判断できます。問題が見つかった場合は、ポリシー、端末、回線のどこに原因があるかを切り分けて、提供会社と相談しましょう。
問い合わせ件数と利用者アンケート
切り替え後の数週間は、ヘルプデスクへの問い合わせ件数と内容を記録します。接続できない、ログインが増えたといった声が多い項目は、設定や案内の見直しが必要なサインです。
あわせて、利用者アンケートで使い勝手を確認すると、数値には表れにくい不満もわかります。結果は運用担当者の間で共有し、手順書やよくある質問に反映して、特定の担当者だけが対応方法を知っている状態を避けましょう。
乗り換え先候補のゼロトラスト製品の構成一覧
乗り換え先を選ぶときは、SASEとして複数機能をまとめて使うのか、ZTNAやSWGを個別に組み合わせるのかで候補が分かれます。この記事で紹介する製品の構成と主な特徴を一覧にまとめました。
| 製品名 | 特徴 |
|---|---|
| Cloudflare One | ZTNA・SWG・CASB・DLPなどを単一画面で管理するSASE。IdPとSAMLやOIDCで連携 |
| KAMOME SASE | オンプレ・クラウド・SaaSへの接続を統一ポリシーで制御する国産SASE。各種IDaaSとSSO連携 |
| IIJフレックスモビリティサービス/ZTNA | ゼロトラストモデルのクラウド型リモートアクセス。許可した端末だけに接続を認められる |
| CYGIENE ECAP（サイジーン イーキャップ） | 端末内で通信を検査・制御するCASB＆SWG。アプリの導入だけで稼働し、回線の変更が不要 |
| NTTドコモソリューションズのゼロトラスト型セキュリティサービス | SWG・EDR・ZTNAの導入と運用を支援。Microsoft Entra IDによる認証もオプションで提供 |
| Okta Workforce Identity | SSOや多要素認証を備えたID基盤。人事システムと連携してアカウントの作成・停止を自動化 |
| GMOトラスト・ログイン | SSO・認証強化・アクセス制限を備えた国産IDaaS。ActiveDirectory連携やSCIM連携に対応 |
| PrismaAccess | ネットワークとセキュリティの機能をクラウドで統合したSASE。ユーザー・端末・アプリ単位で制御 |
| iboss | ネットワークとセキュリティを統合するクラウドネイティブなSASEプラットフォーム |
| SophosZTNA | 社内やクラウドのアプリへ最小権限で接続するゼロトラスト型アクセス。VPNの代替に利用できる |
| AppgateSDP | ユーザー・端末・環境をリアルタイムに評価し、接続先を隠して最小権限でアクセスを許可 |
| ZscalerInternetAccess | インターネットとSaaSへのアクセスを保護するクラウド型サービス。通信の可視化と制御に対応 |
ポリシーとID連携を移しやすいゼロトラスト製品
現在の構成を集約するのか、必要な機能だけを入れ替えるのかを決めたうえで、IdPとの連携方法や移行時の支援体制を比べてみてください。ここでは乗り換え先の候補となる製品を、構成の違いがわかるように紹介します。
Cloudflare One
- VPN不要のゼロトラスト(ZTNA)を既存環境と併用し段階的に導入
- SWG・CASB・DLP等の多層防御を単一画面で一元管理
- 世界125カ国330都市以上の拠点網が低遅延かつ高可用性を提供
TDI株式会社が提供する「Cloudflare One」は、ZTNAやSWG、CASB、DLPなどを一つの管理画面で扱えるSASEサービスです。リモートアクセスとWeb閲覧の制御を別々の製品で運用している場合に、ポリシーとログの管理先を集約する選択肢です。IdPとはSAMLやOIDCで連携でき、ライセンスはAccessやSWGの単体、両方をまとめたバンドルなどから選べます。世界の都市に広がる拠点網を経由する仕組みのため、通信の経路を見直したい場合にも比較しやすいでしょう。
KAMOME SASE
- 既存環境を活かして段階導入できる国産ゼロトラストSASE
- オンプレ・クラウド・SaaSを統一ポリシーでアクセス制御
- 閉域網や拠点間通信もゼロトラストで安全に制御
かもめエンジニアリング株式会社が提供する「KAMOME SASE」は、中堅・中小から大企業まで対応する国産のゼロトラストSASEです。社内システム、クラウド、SaaSへのアクセスを統一ポリシーで制御し、利用者通信と拠点間通信の両方を管理できます。構成要素は端末に入れるSASEアプリ、ポリシー管理クラウド、閉域網内に置くコネクターで、各種IDaaSとのSSO連携に対応しています。部門単位やサービス単位で切り替えられるため、移行元と並行させながら乗り換えを進めたい企業に向いています。
IIJフレックスモビリティサービス/ZTNA
- 私物端末からのリモートアクセスを制御
- 端末のインターネットアクセスを制御してマルウエア感染を防御
- 感染端末からのアクセス通信をブロック
株式会社インターネットイニシアティブが提供する「IIJフレックスモビリティサービス/ZTNA」は、リモートアクセスに絞ってゼロトラスト型へ切り替えたい場合の候補です。接続する時間や場所、端末、セキュリティパッチの状態などを判断材料にアクセスを制御します。社内ドメインへの参加を許可した端末だけに接続を認める設定や、強制VPN接続によるローカル接続の禁止にも対応しています。Web会議や仮想デスクトップなど、リアルタイム性が求められる用途を想定した設計です。
CYGIENE ECAP（サイジーン イーキャップ）
- 社内外問わず、インターネットアクセスを保護、不正な通信は遮断
- クラウドサービスやWebサイトへのアクセスをAIが自動識別＆分類
- 国産・自社開発だから提供できる、日本語・日本時間・日本円
スカイゲートテクノロジズ株式会社が提供する「CYGIENE ECAP（サイジーン イーキャップ）」は、端末内でセキュリティを完結させるCASB＆SWGです。端末から出る通信を端末内で検査・制御するため、クラウド上のゲートウェイを経由しません。アクセスログをもとにAIがクラウドサービスやWebサイトのカテゴリを自動で識別し、自社テナント以外でのログイン禁止といったポリシーも設定できます。端末へのアプリ導入だけで稼働し、ネットワーク機器や回線の変更は不要です。
NTTドコモソリューションズのゼロトラスト型セキュリティサービス
- SWG・EDR・ZTNA等のサービス導入から運用まで丸ごとお任せ
- VPNやオンプレ環境から脱却、セキュアなクラウドシフトを支援
- M365 やAIPといった周辺環境まで支援可能
NTTドコモソリューションズ株式会社が提供する「NTTドコモソリューションズのゼロトラスト型セキュリティサービス」は、複数のセキュリティ製品を組み合わせて提供するサービスです。Cisco UmbrellaによるSWGやMDEによるEDRを中心に、Entra Private AccessによるZTNA、Microsoft Entra IDによるユーザー認証、Microsoft Intuneによる端末管理をオプションで加えられるため、Microsoft 365を中心にした構成へ移る場合に検討しやすいでしょう。導入支援に加えてSOCによる運用支援も用意されています。
Okta Workforce Identity
- リソースへのアクセスに必要な認証と認可を実施
- エンドポイントやネットワークセキュリティなどとも連携が容易
- ユーザーライフサイクル管理、APIへのセキュアなアクセスを提供
Okta Japan株式会社が提供する「Okta Workforce Identity」は、シングルサインオンや多要素認証、ユーザーのライフサイクル管理を備えたアイデンティティ管理の基盤です。Universal Directoryでさまざまなソースのユーザー・グループ・デバイスを一元管理でき、人事システムと連携したアカウントの作成・停止も自動化できます。既存のネットワークセキュリティやエンドポイントセキュリティとの連携も想定されているため、ゼロトラスト製品の乗り換えにあわせてID基盤を整理したい場合の選択肢です。
GMOトラスト・ログイン
- 多要素認証で不正アクセスを防止
- シングルサインオンで安全性と利便性を両立
- 条件付きアクセスで利用環境に応じた認証を実現
GMOグローバルサイン株式会社が提供する「GMOトラスト・ログイン」は、シングルサインオン、ID管理、認証強化、アクセス制限を備えたクラウド型のIDaaSです。SAML認証、フォームベース認証、Basic認証の3種類のSSOに対応し、ActiveDirectory連携やSCIMによるユーザー作成・削除の自動化も行えます。デバイス制限やワンタイムパスワード、FIDOによるパスワードレス認証も備えているため、グループ同期と認証の仕組みをまとめて見直したい企業の候補です。
PrismaAccess （パロアルトネットワークス株式会社）
- 全通信経路に次世代FW同等の検査・制御機能を適用可能
- 100超の拠点負荷を軽減し通信をグローバル分散処理。
- 場所を問わずユーザー・端末・アプリ単位で同一の制御を実現。
iboss （iboss）
- SASEでNWとセキュリティを統合
- ゼロトラストで全アクセスを保護
- AIで高度な脅威をリアルタイム検知・防御
SophosZTNA （ソフォス株式会社）
- アプリ単位でのアクセス制御とユーザー分離。
- Sophos Centralで端末・ID・リスク情報を統合管理。
- ゲートウェイ等で既存アプリに導入可能。
AppgateSDP （AppGate,Inc.）
- 認証・認可と接続先隠蔽による不正侵入防止の動的制御。
- リアルタイム評価で最小権限アクセスとマイクロ制御を実施。
- オンプレ・クラウド・ハイブリッド対応で、安全にアクセス
ZscalerInternetAccess （ゼットスケーラー株式会社）
- 全トラフィックを検査し、高度な脅威を阻止します。
- クラウドで高速・場所を問わない一貫したセキュリティ
- 従来の機器を置き換え、ネットワーク構成と運用を簡素化
まとめ
ゼロトラストセキュリティの乗り換えでは、乗り換え理由を整理したうえで、アクセスポリシーを業務の言葉で書き出し、分類や例外ルールを選び直すことが大切です。端末エージェントとIdP連携は段階的に切り替え、過去ログの保存と監視設定の引き継ぎも忘れずに行いましょう。SASE型かZTNA単体か、どのID基盤と連携できるかで、適したゼロトラスト・セキュリティ製品は変わります。資料請求で各製品の構成と移行支援を比較してください。
