ITトレンドがおすすめする製品・サービス
- ■構築の起点別
- ID基盤の統合から始める：Okta Workforce Identity、GMOトラスト・ログイン
- 端末の管理・保護から始める：NTTドコモソリューションズのゼロトラスト型セキュリティサービス、AppGuard、CYGIENE ECAP（サイジーン イーキャップ）
- リモートアクセスの置き換えから始める：IIJフレックスモビリティサービス/ZTNA、KAMOME SASE、Cloudflare One
- ■構築の支援範囲別
ゼロトラスト構築を始める前に決めること
構築を始める前に、何のためにゼロトラストを目指すのか、誰が推進するのかを決めておきます。ここが曖昧なままだと、製品選びが先行して全体の整合がとれなくなるおそれがあるためです。
目的と守る対象の整理
最初に決めるのは、構築の目的と、優先して守る対象です。目的には、在宅勤務でのVPN接続の混雑解消、クラウドサービス利用の安全性確保、取引先からの監査対応などが挙げられます。
守る対象は、顧客情報を扱う業務システムや設計データのファイルサーバーのように、漏えいや停止の影響が大きいものから順に並べます。目的と対象が決まると、後の段階で「どの部署から始めるか」「どの仕組みを先に入れるか」を判断しやすくなります。
推進体制と関係部署の巻き込み
ゼロトラスト構築は、情報システム部門だけで完結しにくいプロジェクトです。利用者のログイン方法や端末の使い方が変わるため、人事部門や各事業部の協力が欠かせません。
推進役となる責任者を決め、情報システム部門、人事部門、主要な事業部の担当者を加えた体制を作ると、意思決定が進みやすくなります。経営層には、目的と段階ごとの費用感を早めに共有しておくと、複数年度にわたる予算の確保につながります。
参考にできる公的な指針
構築の全体像をつかむには、公的機関が公表している指針を参考にできます。代表的なものに、米国国立標準技術研究所（NIST）が2020年8月に公表した「SP 800-207 Zero Trust Architecture」があります。
国内では、デジタル庁が2022年6月に「ゼロトラストアーキテクチャ適用方針」を公表しています。いずれも特定の製品を前提にしたものではないため、自社の構成を考える際の用語や考え方の整理に役立ちます。政府情報システム向けの文書である点は踏まえて読みましょう。
構築の土台となるIDと端末の整備
ゼロトラストでは、アクセスのたびに「誰が」「どの端末から」接続しているかを確かめます。そのため、IDの管理と端末の管理が整っていないと、ほかの仕組みを入れても判定の材料が不足します。
ID基盤の統合と多要素認証
土台づくりの1つ目は、利用者のIDを1つの基盤で管理できる状態にすることです。業務システムごとに別々のIDとパスワードを持たせている場合、退職者のIDの削除漏れや、パスワードの使い回しが起こりやすくなります。
IDaaSと呼ばれるクラウド型のID管理サービスを使い、シングルサインオンで各システムにログインできる形にまとめる方法があります。あわせて多要素認証を導入すると、パスワードが漏れた場合でも不正ログインのリスクを下げられます。
端末の把握と状態の確認
2つ目は、業務で使う端末を把握し、その状態を確認できるようにすることです。ゼロトラストでは、OSの更新が済んでいない端末や、ウイルス対策が止まっている端末からの接続を制限する判定を行います。
端末の一覧と設定を管理するMDMや、端末上の不審な動きを検知して対応するEDRが、判定に必要な情報を提供します。私物端末の業務利用を認めている場合は、会社の端末と区別してどこまでの接続を認めるかも決めておきましょう。
部署ごとのアクセス権限の整理
3つ目は、部署や役職ごとに、どのシステムやデータに接続してよいかを整理することです。ゼロトラストのアクセスルールは「誰に何を許可するか」の一覧をもとに作るため、整理が不十分なままでは設定作業を進められません。
現状の権限を書き出すと、退職者や異動者のIDに古い権限が残っているケースが見つかることもあります。人事システムの部署情報とIDを連動させ、異動のたびに権限が自動で切り替わる仕組みを検討すると、構築後の管理の手間を減らせます。
ゼロトラスト・セキュリティの構成要素を組み合わせる
IDと端末の管理が整ったら、社内外のシステムへの接続経路と、全体を見渡す監視の仕組みを組み合わせます。どの要素を自社に取り入れるかは、最初に整理した目的と守る対象から判断します。
アクセス経路を守る仕組み
社内システムへの接続には、アプリ単位で接続を許可するZTNA（ゼロトラスト・ネットワーク・アクセス）が使われます。インターネットやクラウドサービスへの接続には、Webアクセスを中継して検査するSWGや、クラウドサービスの利用状況を管理するCASBがあります。
これらのネットワークとセキュリティの機能をクラウド上でまとめて提供する考え方は、SASEと呼ばれます。個別の製品を組み合わせるか、まとめて提供するサービスを選ぶかで、管理画面の数や設定の手間が変わる点も比較の材料です。
ログを集めて監視する仕組み
複数の仕組みを組み合わせると、ID基盤、端末、接続経路のそれぞれがログを出します。これらをまとめて分析しないと、1つひとつは小さな異常でも、つなげると攻撃の兆候であるケースを見落とすおそれがあります。
ログをまとめて分析する仕組みとして、SIEMや、端末とネットワークの情報を横断的に分析するXDRがあります。社内で常時監視する人員を確保しにくい場合は、監視を外部に任せるサービスと組み合わせる方法も検討しましょう。
重要なデータを守る仕組み
接続経路を守るだけでなく、重要なデータそのものを守る仕組みも構成要素の1つです。正規の利用者が誤って社外へファイルを送ったり、個人のクラウドストレージへ保存したりするケースは、アクセス制御だけでは防ぎきれないためです。
データの重要度をあらかじめ分類し、DLP（情報漏えい対策）で持ち出しを検知・制限する方法があります。分類の基準は、社内の情報管理規程と整合させておきましょう。最初から全データを対象にせず、顧客情報など影響の大きいものから始めると進めやすくなります。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でゼロトラスト・セキュリティ製品の一括資料請求が可能です。浮いた時間で、じっくりと製品の比較検討を進めましょう。
ゼロトラスト構築を段階的に進める流れ
ゼロトラストの構築は、試験導入、一部部署での先行導入、全社展開の順に段階を踏むと、業務への影響を抑えながら進められます。各段階で確かめることを整理しておきましょう。
試験導入で確かめること
試験導入は、情報システム部門の中など限られた範囲で、候補の製品が自社の環境で動くかを確かめる段階です。PoC（概念実証）とも呼ばれます。
確かめる内容は、既存の業務システムに問題なく接続できるか、ログイン時の手間が増えすぎないか、管理画面でルールを設定・変更しやすいかなどです。確認項目と合格の基準を事前に決めておくと、複数の製品を同じ条件で比べられます。
先行部署での導入と全社展開
試験導入で問題がなければ、在宅勤務の多い部署や、クラウドサービスの利用が多い部署などで先行導入します。実際の業務で使ってもらい、問い合わせの内容や接続できなかった事例を集めて設定を調整します。
全社展開では、部署ごとに切り替えの日程を決め、利用者向けの手順書と問い合わせ窓口を用意します。既存のVPNは一度に止めず、新しい仕組みでの接続が安定したことを確かめてから、段階的に利用範囲を縮小していくと混乱を避けやすくなります。
構築後もゼロトラストを育てる運用
ゼロトラストは、構築した時点で完成するものではありません。組織や業務の変化にあわせてルールを見直し、守る範囲を少しずつ広げていくことで、目指す状態に近づけていきます。
アクセスルールの定期的な見直し
構築後は、アクセスルールを定期的に見直す運用を組み込みます。人事異動や組織変更のあとに古い権限が残っていると、本来は必要のないシステムに接続できる状態が続いてしまうためです。
見直しの際は、一定期間使われていない許可設定や、一時的に認めた例外がそのまま残っていないかを確認します。変更の理由と承認者を記録しておくと、監査への対応や担当者の引き継ぎがしやすくなります。
守る範囲を広げる次の段階の計画
最初の構築で守る範囲を絞った場合は、次に取り組む範囲を計画しておきます。例えば、社内システムへの接続を整えたあとに、サーバー同士の通信の制限や、取引先からのアクセス管理へ広げる流れです。
次の段階を決める際は、運用中に集まったログや問い合わせの傾向が判断材料となります。年度ごとに達成したい状態を整理し、予算と体制の計画に反映させると、取り組みが途中で止まりにくくなります。
構築の起点別に選ぶ製品の特徴一覧
ID基盤、端末、リモートアクセスのどこから構築を始めるか、導入支援を受けるかどうかといった観点で、各製品の特徴を一覧にしました。
| 製品名 | 特徴 |
|---|---|
| Okta Workforce Identity | SSOと多要素認証でID基盤を統合。ライフサイクル管理も提供 |
| GMOトラスト・ログイン | SSO・多要素認証・アクセス制限を備えたクラウド型IDaaS |
| NTTドコモソリューションズのゼロトラスト型セキュリティサービス | SWG・EDR・ZTNAなどの導入から運用までをワンストップで提供 |
| AppGuard | 定義ファイル不要のOS保護型で、端末の侵害を未然に防止 |
| IIJフレックスモビリティサービス/ZTNA | 私物端末を遮断し、感染端末の通信も自動で止めるリモートアクセス |
| KAMOME SASE | 既存VPNを活かして段階導入できる国産ゼロトラストSASE |
| Cloudflare One | ZTNAとSWGを統合したSASE。導入時の構築支援プランあり |
| CYGIENE ECAP（サイジーン イーキャップ） | アプリのインストールだけで稼働。通信は端末内で検査・制御 |
| Micro Segmentation | PoCから導入支援、運用まで専任チームが一貫して担当 |
| 日立製作所のゼロトラスト・セキュリティ | 認証・ID管理から可視化、ログ監視まで設計・運用を一括支援 |
| BizDriveゼロトラストセキュリティ | セキュリティ製品とネットワークを統合し、設計から運用までパッケージ化 |
ゼロトラスト構築の第一歩に選べる製品
最初に整える領域ごとに、段階的に導入しやすい製品と、設計から運用まで支援を受けられる製品を紹介します。
Okta Workforce Identity
- リソースへのアクセスに必要な認証と認可を実施
- エンドポイントやネットワークセキュリティなどとも連携が容易
- ユーザーライフサイクル管理、APIへのセキュアなアクセスを提供
Okta Japan株式会社が提供する「Okta Workforce Identity」は、ID基盤の統合からゼロトラストを始めたい企業向けのクラウド型ID管理サービスです。さまざまなIDソースと同期してユーザー・グループ・デバイスを一元管理でき、入退社や異動に伴うアカウントの作成・更新・停止も、人事システムと連携して自動化できます。SSOと多要素認証により、アプリやサーバーへのアクセスで認証と認可を行います。ID整理の入り口として検討しやすい製品です。
GMOトラスト・ログイン
- 多要素認証で不正アクセスを防止
- シングルサインオンで安全性と利便性を両立
- 条件付きアクセスで利用環境に応じた認証を実現
GMOグローバルサイン株式会社が提供する「GMOトラスト・ログイン」は、増え続けるIDを一元管理する構築の土台として使えるIDaaSです。1回のログインで複数のサービスに入れるシングルサインオンに加え、ワンタイムパスワードやIPアドレス制限、ステップアップ認証などの認証強化機能を備えます。ActiveDirectoryや人事マスタサービスと連携すれば、入社時のアカウント作成や退職時の削除も進められます。FIDOを使ったパスワードレス認証にも対応しています。
NTTドコモソリューションズのゼロトラスト型セキュリティサービス
- AIにより巧妙化するサイバー攻撃に備えたセキュアな環境を構築
- 経済産業省が推進するSCS評価制度の★取得に向けた対策をサポート
- VPNレスで安全なアクセス環境を実現
NTTドコモソリューションズ株式会社が提供する「NTTドコモソリューションズのゼロトラスト型セキュリティサービス」は、導入から運用までを一括で任せたい企業向けのサービスです。SWG・EDR・ZTNAなどに対応し、業務用PCにSWGとEDRを導入して、インターネット通信の制御と不審な振る舞いの検知を行います。オプションでZTNA、端末管理（Intune）、ユーザー認証（Microsoft Entra ID）なども組み合わせられます。運用支援はSOCが担うため、社内に専任者が少ない企業の構築に向きます。
AppGuard
- 定義ファイル不要の「OSプロテクト型」
- 未知・既知を問わず、高度なサイバー攻撃による侵害を未然に防止
- 端末に対して悪いコトをさせず、「攻撃の無効化」を実現
DAIKO XTECH株式会社が提供する「AppGuard」は、端末の保護から構築を始める場合に検討できるOSプロテクト型の製品です。定義ファイルは使わず、OSに害を与える動きをブロックする仕組みです。マルウェアかどうかを判定せず、未知か既知かを問わない侵害の未然防止を目指します。アプリケーションの起動制御と保護ポリシーの自動継承により、最低限のポリシー設定で管理できる点も特徴です。Windows OSのクライアント版とWindows Serverのサーバ版があります。
IIJフレックスモビリティサービス/ZTNA
- 私物端末からのリモートアクセスを制御
- 端末のインターネットアクセスを制御してマルウエア感染を防御
- 感染端末からのアクセス通信をブロック
株式会社インターネットイニシアティブが提供する「IIJフレックスモビリティサービス/ZTNA」は、リモートアクセスの置き換えから着手したい企業向けのクラウド型サービスです。ゼロトラストモデルにもとづき、接続する時間、場所、端末、セキュリティパッチの状態などをリアルタイムで判断し、社内ドメインへの参加が許可された端末だけにアクセスを認めます。強制VPN接続でローカル接続を禁止でき、セキュリティ対策ソフトの脅威レベルを参照して、感染端末の通信を自動で遮断する運用も可能です。
KAMOME SASE
- 既存環境を活かして段階導入できる国産ゼロトラストSASE
- オンプレ・クラウド・SaaSを統一ポリシーでアクセス制御
- 閉域網や拠点間通信もゼロトラストで安全に制御
かもめエンジニアリング株式会社が提供する「KAMOME SASE」は、ネットワーク全体を作り替えずに構築を進めたい企業向けの国産ゼロトラストSASEです。既存のVPN環境を活かしたままゼロトラスト機能を追加でき、部門単位やサービス単位で段階的に導入できます。オンプレミス・クラウド・SaaSへのアクセスを統一ポリシーで制御し、中堅・中小企業でも運用しやすいよう、必要な機能に絞った構成にしています。保守は顧客側でも行えるセルフメンテナンス設計です。
Cloudflare One
- VPN不要のゼロトラスト(ZTNA)を既存環境と併用し段階的に導入
- SWG・CASB・DLP等の多層防御を単一画面で一元管理
- 世界125カ国330都市以上の拠点網が低遅延かつ高可用性を提供
TDI株式会社が提供する「Cloudflare One」は、ネットワークとセキュリティを一つのクラウドで構築できるSASEです。アプリ単位のアクセス制御（ZTNA）をVPNと併用しながら導入し、SWG、DLP、CASBなどを後から足すといった段階的な進め方に対応します。導入支援として、ヒアリング、設計、構築支援、動作試験を含むスタータープランの構築支援や、CASBやDLPを含むスタンダードプランの構築支援が用意されています。
Micro Segmentation
- APIレベルでマイクロサービスの露出を低減。
- マルウェアがユーザーシステムやワークステーション間で拡散防止
- ワークロードの場所を問わず、一つのコンソールから操作可能。
株式会社ピーエスシーが提供する「Micro Segmentation」は、専門チームの支援を受けながら構築を進めたい企業向けのマイクロセグメンテーションサービスです。事前検証のPoC、3か月から5か月のパッケージ型の導入支援、アラートの整理などの運用準備、24時間365日の運用までを一括して提供します。ネットワークを小さく分けて通信を制御し、侵入後の被害拡大を抑える考え方で、既存環境の設定変更とエージェントの配布が必要です。
日立製作所のゼロトラスト・セキュリティ （株式会社日立製作所）
- 認証基盤やアクセス管理で厳格に検証・管理。
- 多層防御でクラウド化・テレワークに対応。
- 設計から運用まで24時間365日のトータルサポート。
BizDriveゼロトラストセキュリティ （東日本電信電話株式会社）
- 必要な機能を柔軟に選択できる。
- テンプレート構成で手間いらずのソリューション組み合わせ。
- SOCによる運用代行でセキュリティ対策を提供し、運用負荷を軽減
まとめ
ゼロトラスト構築は、目的と守る対象を決め、IDと端末の管理という土台を整えてから、アクセス経路と監視の仕組みを組み合わせて進めます。試験導入、先行部署、全社展開と段階を踏み、構築後もルールの見直しと範囲の拡大を続けることが大切です。自社がどこから構築を始めるかを決めたうえで、ゼロトラスト・セキュリティ製品や導入支援サービスの資料請求をして比較してください。
