ゼロトラスト導入とは何か

従来の企業ネットワークでは、 社内LANを「信頼できる領域」、 インターネットを「信頼できない領域」と考える設計が多く使われてきました。

しかし現在は、クラウドサービス、リモートワーク、 SaaS、モバイル端末などの利用によって、 利用者やデータが必ずしも社内ネットワークだけに存在するとは限りません。

ゼロトラストは製品名ではない

「ゼロトラスト製品」という表現を見ることがありますが、 1つの装置やクラウドサービスを導入するだけで ゼロトラストが完成するわけではありません。

実際には、複数の仕組みを組み合わせます。

• Identity Provider（IdP）
• 多要素認証（MFA）
• 端末管理・MDM・EDR
• ZTNA
• ファイアウォール
• ネットワークセグメンテーション
• アプリケーションアクセス制御
• データ分類・アクセス制御
• SIEMなどのログ分析
• 自動化されたポリシー制御

従来型ネットワークとの違い

ゼロトラスト導入前に理解しておくこと

最初から完成形を目指さない

大規模な企業では、多数の利用者、端末、ネットワーク、 SaaS、オンプレミスシステム、クラウド環境が存在します。

これらを一度にゼロトラスト化しようとすると、 設計変更の範囲が大きくなり、 業務影響や運用負荷も増加します。

そのため、現状を評価して優先順位を付け、 小さな対象から段階的に進めることが重要です。

ゼロトラスト導入はネットワーク部門だけでは完結しない

ゼロトラスト導入の10ステップ

ここからは、既存環境からゼロトラストへ移行する場合の 実務的な流れを確認します。

1. 導入目的と対象範囲を決める 「ゼロトラストを導入する」こと自体を目的にしません。 リモートアクセスの安全性向上、 情報漏えいリスク低減、 ランサムウェア対策、 クラウド利用拡大など、 解決したい課題を明確にします。
2. 利用者・端末・アプリ・データを棚卸しする 誰が、どの端末から、どのシステムへアクセスし、 どのようなデータを扱っているかを把握します。
3. 現状の通信とアクセス権限を可視化する ネットワーク構成図、FWポリシー、VPN、 Active DirectoryやIdPのグループ、 アプリケーション権限などを確認します。
4. 重要な保護対象とリスクを整理する 顧客情報、管理システム、認証基盤、 ソースコードなど、 特に守るべきデータやシステムを整理します。
5. ID・認証基盤を整備する 共通ID、MFA、不要アカウント削除、 特権アカウント分離などを進めます。
6. 端末の信頼性を確認できるようにする 管理端末か、OSやパッチが適切か、 EDRが動作しているかなどをアクセス判断へ利用できる状態にします。
7. 最小権限とセグメンテーションを設計する 「社内端末ならどこでも通信可能」ではなく、 利用者・端末・業務ごとに必要なアクセスだけを許可します。
8. アクセス制御ポリシーを定義する 「営業部の管理端末からCRMへは許可」 「管理システムは管理者かつ管理端末のみ」 など、判断可能なルールへ落とし込みます。
9. 限定範囲でPoC・パイロット導入する 特定部署や特定アプリケーションなど、 影響範囲を限定して動作・運用・ユーザー影響を確認します。
10. ログを確認しながら段階展開・継続改善する 誤検知、拒否された正当通信、 不審なアクセスを確認し、 ポリシーを改善しながら対象を広げます。

STEP 1：導入目的を明確にする

「ゼロトラストを導入したい」という要望を そのまま設計要件にしてはいけません。

背景を確認します。

• リモートワーク利用者が増えた
• VPNへ接続すると社内ネットワークへ広く到達できる
• SaaS利用が増えて境界FWだけでは管理しにくい
• 私物端末・モバイル端末の管理が必要
• マルウェア侵入後の横展開を抑制したい
• 特権アカウントを厳格に管理したい

目的が違えば、優先して導入すべき仕組みも変わります。

STEP 2：資産とアクセスを棚卸しする

最低限、次の情報を整理します。

STEP 3：実際の通信を確認する

設計書だけでは、実際の通信を完全に把握できない場合があります。

FWログ、NetFlow、クラウドログ、 プロキシログ、認証ログなどを確認し、 実際にどの通信が行われているのかを調査します。

STEP 4：保護対象を決める

すべてのシステムを同じ強度で守る必要はありません。

たとえば、次のように優先順位を付けます。

STEP 5：ID・認証を整備する

「誰がアクセスしているのか」を正しく判断できなければ、 ゼロトラストのアクセス制御は成立しません。

• 利用者IDの一元管理
• MFA
• 不要アカウントの削除
• 退職・異動時の権限変更
• 一般アカウントと管理者アカウントの分離
• サービスアカウントの管理
• ロールベースの権限設計

この考え方は前回までに学んだ 認証・認可・アカウンティング と直接つながります。

STEP 6：端末状態を確認する

正しいユーザーIDでログインしていても、 端末がマルウェアに感染していれば安全とは限りません。

たとえば次の条件を利用します。

• 会社管理端末か
• OSがサポート対象か
• セキュリティ更新が適用されているか
• EDRが正常動作しているか
• ディスク暗号化が有効か
• 端末証明書が有効か

STEP 7：最小権限とセグメンテーション

認証後も、必要以上のネットワークへ到達できる状態を残さないようにします。

たとえば営業担当者がCRMを利用する場合、 「営業PCから社内ネットワーク全体へ許可」ではなく、 業務上必要なCRMへの通信だけを許可する方向へ改善します。

詳しくは 第48回「ネットワークセグメンテーション」 も確認してください。

STEP 8：ポリシーを明文化する

アクセス制御は「セキュリティを強化する」といった曖昧な文章ではなく、 判断できる条件にします。

STEP 9：PoC・パイロット導入

最初から全利用者を対象にせず、 小さな範囲で検証します。

• 情報システム部だけ
• 特定のリモートワーカーだけ
• 特定SaaSだけ
• 管理システムだけ
• 1拠点だけ

確認する内容は機能試験だけではありません。

• 利用者の操作性
• 認証にかかる時間
• 業務通信への影響
• ヘルプデスクへの問い合わせ
• ログの取得状況
• 障害発生時の切り分け方法
• 緊急時のアクセス方法

STEP 10：継続的に改善する

ゼロトラストは、本番稼働した日に完成するものではありません。

新しいSaaS、端末、利用者、攻撃手法、 組織変更などに合わせてポリシーを見直します。

技術領域ごとに何を変えるのか

ゼロトラストでは、 1つのセキュリティ機能だけを改善するのではなく、 複数領域を連携させます。

ネットワークエンジニアに特に重要な領域

• どの利用者がどのリソースへ通信するか
• どの経路で通信させるか
• どこでアクセスを制御するか
• どの単位でセグメントを分けるか
• 管理ネットワークをどう保護するか
• 通信ログをどこで取得するか
• クラウド・オンプレミス間をどう統合するか

既存環境から段階的に移行する

ゼロトラスト導入では、 現行環境と新しい仕組みが一定期間共存することがあります。

例：リモートアクセスから始める

現状が次の構成だとします。

最初の改善として、 重要なWebアプリケーションだけをZTNA経由に移行し、 ID・MFA・端末状態によってアクセスを判断する方法があります。

その後、対象アプリを増やしながら 従来VPNの利用範囲を縮小していきます。

ゼロトラスト導入の効果をどう測定するか

「ゼロトラスト製品を導入した」という事実だけでは、 セキュリティが改善したか判断できません。

導入前に測定指標を決めます。

ゼロトラスト導入でよくある失敗

顧客・上司へゼロトラスト導入をどう説明するか

技術に詳しくない相手へ 「ゼロトラストだからすべて信用しません」 と説明すると、誤解される可能性があります。

説明例

技術をビジネスリスクへ変換する

上級工程では、 技術名称を説明するだけでなく、 業務停止・情報漏えい・運用負荷・コストなどへ翻訳する力 が重要です。

ゼロトラスト導入で使われる英語表現

自分の言葉で説明する課題