ビジネスを加速させるゼロトラスト（Zero Trust）とは何か？

どんな企業でも、広告代理店や制作会社、フリーランスへの業務委託など、社外のメンバーと一緒に仕事を進めることは、今では珍しくありません。マーケティングやWeb制作の現場では、むしろ複数の外部パートナーが同時に関わることの方が多いでしょう。

しかし、そこで毎回のように時間を取られがちなのが、アクセス権限やセキュリティの設定です。VPNのアカウントを発行し、接続方法を説明し、うまくつながらなければIT担当者が個別対応する。さらに、プロジェクトが終われば権限を削除しなければなりません。

これらはすべて、社内資産を守りながら、仕事を進めるために必要な作業ですが、関わる人や会社が増えるほど、IT担当者の運用負担は増大し、本格的に仕事を始めるまでのタイムラグは長くなります。

このようなジレンマを根本から解消する考え方が「Zero Trust（ゼロトラスト）」であり、それを具体的なアクセス管理として実装する仕組みが「ZTNA（Zero Trust Network Access）」なのです。

この節では、Zero Trustが単なるセキュリティ対策にとどまらず、いかに企業のビジネススピードを加速させるか、その本質と導入アプローチについて解説します。

「社内ネットワーク＝安全」という前提は過去のもの

従来の企業ネットワークは、オフィスの外側（インターネット）と内側（イントラネット）を境界線（ファイアウォール）で区切り、「内側にいるユーザーや端末は安全である」とみなす、という「境界防御」の考え方が主流でした。社外から仕事をする場合は、VPN（Virtual Private Network）を使って社内ネットワークに入り、そこから社内システムにアクセスする、という仕組みです。

もちろん、VPN自体が悪い技術というわけではありませんが、現代の働き方と利用するシステム環境に対して、その設計思想が合わなくなってきているのは否めません。現在では、接続の主体が多様化するとともに、システムも分散化しているからです。

• 接続主体の多様化： 社員だけでなく、業務委託や外部パートナーなど多様な人材が外からアクセス
• システムの分散化： 社内サーバーだけでなく、SaaS、CMS、プレビュー環境、各種管理画面がクラウド上に分散

「社内ネットワーク全体への通行手形」を渡すVPN構成では、万一ユーザーのアカウントが乗っ取られてしまった場合など、被害が社内のシステム全体へ波及する危険性があります。また、たとえば特定のWebツールを使いたいだけなのに、わざわざ重いVPNを経由させるような設計は、ユーザー体験や通信スピードの面でも負荷が大きく、合理的ではありません。必要な人に、必要なシステムだけを使わせる方が、運用もしやすく、セキュリティ上の位置付けも明確にできるはずです。

Zero Trustは「どこにいるか」ではなく「誰が何を使うか」を毎回検証する

Zero Trustは、特定の製品名ではなく、「ネットワークの内側にいるからといって、暗黙の信頼を与えない」というセキュリティの基本方針です。米国国立標準技術研究所（NIST）が策定した「NIST SP 800-207」においても、Zero Trustの核は「ネットワーク上の物理的、論理的な場所だけでユーザーや端末を暗黙に信用しないこと」と定義されています。

アクセスを許可する際、Zero Trustが確認するのは「社内のネットワークにつながっているか」ではありません。主に以下の３つの条件を確認して、アクセスを許可します。

• ID、認証情報： アクセス要求者の身元確認
• セキュリティ状態、デバイス環境： 使用している端末の安全性確認
• 最小限の権限： 業務に必要な特定アプリケーションのみへのアクセス許可

たとえば、制作会社の担当者には「公開前のプレビュー環境」だけをアクセス可能にすればよく、当然ながら社内ネットワーク全体へ入れるようにする必要はありません。同様に、ライターには「CMSの記事投稿画面」だけ、広告代理店には「キャンペーン管理画面」だけを、ピンポイントで許可するといった運用が望まれます。

こうした、「ネットワーク全体」へ入れるのではなく、「必要な人に、必要なものだけを見せる」という考え方が、Zero Trustの根幹にあるシンプルな思考です。

出典： NIST SP 800-207 Zero Trust Architecture

出典： Cloudflare Docs: Zero Trust architecture

ZTNAによる「最小権限」のアクセス制御

Zero Trustの考え方を具体的なアクセス制御として実現するのが、Cloudflare独自の「ZTNA（Zero Trust Network Access）」です。

従来のVPNとZTNAの最大の違いは、以下に示すように、アクセスの接続順序と範囲にあります。

• 従来のVPN： ユーザー → 社内ネットワーク全体に接続 → 各システムにアクセス
• ZTNA： ユーザー → 本人確認、端末検証 → 特定のアプリ、システムだけに接続

業務上必要な最低限のアクセス権限だけを与えるこのアプローチを「最小権限の原則（Principle of Least Privilege）」と呼びます。

ユーザーを必要以上の領域に立ち入らせないことで、万が一アカウント情報が流出した場合でも、被害の範囲をそのアプリだけに限定し、社内全体への横展開（ラテラル・ムーブメント）を防止できます。

出典： Cloudflare Docs: Cloudflare Access / ZTNA

ZTNAによるセキュリティへの投資が生産性を引き上げる： DeNAの事例

ZTNA導入の効果が注目を集めている理由は、セキュリティの強化だけにあるのではありません。アクセス環境の使いにくさや接続トラブルを解消し、「従業員やパートナーの生産性を向上させる」という明確な事業メリットがあるからです。

Cloudflareが公開している株式会社ディー・エヌ・エー（DeNA）の事例は、その好例です。同社では、2023年ころからのリモートワークの拡大に伴い、従来のVPN接続に関する不具合や遅延が増加して、従業員が社内システムへスムーズにアクセスできないという問題が発生していました。これが業務効率を低下させただけでなく、ITヘルプデスクへの問い合わせ件数を跳ね上げる要因となっていたのです。

そうした状況を打開するため、DeNAは既存のVPNから、Cloudflareが提供するZTNA（Cloudflare Access等）へ段階的に移行を進めました。その結果、VPN関連のトラブル解決にかかる平均時間を82%短縮し、月平均400時間以上のITヘルプデスクの対応工数を削減できたと報告されています。

この事例からも分かるように、アクセス管理は単なるセキュリティ対策ではありません。接続できない、設定方法が分からない、IT担当者の対応を待つ、といった時間を削減することができれば、利用者は本来の仕事に集中でき、生産性の向上にも直結します。

出典： Cloudflare Case Study: DeNA

外部パートナーとの協業ほどZero Trustが活きる

プロジェクトごと、それに関わる社外のメンバーが頻繁に入れ替わるマーケティングやWeb制作の現場においてこそ、Zero Trust（ZTNA）の真価が発揮されます。

ZTNAなら、新しい制作会社や個人のメンバーが参加した際、わざわざVPN端末を手配したり、複雑なネットワーク設定を行ったりする必要はありません。クラウド上のIdP（Google WorkspaceやMicrosoft Entra IDなど）と連携し、その担当者のメールアドレスに対して特定の環境へのアクセス権を簡単に付与できます。そして、プロジェクトが終了した際には、IdP側で対象者のアカウントを無効化（またはグループから除外）するだけで、権限の削除が完了します。

ZTNAは、外部からのアクセスを、社内システムから遠ざけて排除するためのものではありません。むしろ、強固な安全性を確保しながら、社内外を問わず、必要なパートナーを瞬時にプロジェクトへ参加させることを促進するための仕組みと考えるべきでしょう。

VPNをすぐに廃止するのではなくアプリ単位で段階的に移行する

Zero TrustやZTNAの解説において、「従来のVPNはすべて廃止し、今すぐ全面移行すべきだ」という主張を目にすることもあるかもしれません。しかし、実際の企業のシステム運用は、それほど単純に割り切って移行できるものではありません。

拠点間の常時接続や、レガシーな特殊プロトコルを利用する基幹システムなど、従来のVPN構成を残した方が合理的なケースも存在します。重要なのは、VPNか、ZTNAか、という二者択一にとらわれないことです。まずは、誰が何にアクセスする必要があるのかを整理し、たとえば外部パートナーが使うプレビュー環境やCMS管理画面からZTNA化するという方法もあるでしょう。

既存のVPNをすぐに廃止するのではなく、必要なアプリからZTNAへ移行することから始め、徐々に対象のアプリを拡大していくのが現実的と考えられます。

DOMOの視点

Zero Trust導入を目的とせず、アクセス管理の「詰まり」の解消を目指す

DOMOとしてZero Trustの導入を検討するとき、最初からVPNの廃止を前提にして、大規模なシステム刷新を断行する必要はないと考えます。まず最初に確認したいのは、現在のアクセス管理において、どこで人の動きやプロジェクトの流れが滞っているか、ということです。

外部からのアクセスの管理に関して、具体的な課題が存在する場合、まずは導入効果が最も出やすい部分、たとえば「特定の管理画面」や「外部パートナーが使う環境」からZTNAへ切り替えることを推奨します。

Zero Trustは、単にセキュリティを厳しくするための仕組みではありません。安全性を保ちながら、社員や外部パートナーが仕事を始めやすくし、不要になったアクセスは確実に閉じる、といった総合的な運用をスムーズに進めるためのものです。目的は、あくまでビジネス上の価値を生み出しやすくすることにあります。

まとめ

Zero Trustは、「社内ネットワークだから安全」という従来の固定観念を捨て、ユーザー、端末、アプリごとにアクセスの安全性を毎回確認するセキュリティの考え方です。そのCloudflareによる実装＝ZTNAの導入には、以下のようなメリットとアプローチがあります。

• 最小権限によるセキュリティ強化： ネットワーク全体ではなく、必要なアプリへのアクセスだけを許可し、被害の拡大（ラテラル・ムーブメント）を防ぐ
• IT部門の負担軽減と生産性向上： VPNの接続トラブルやアカウント管理の手間をなくし、外部パートナーとのコラボレーションを加速させる
• 適材適所での段階的な移行： 既存のVPNを即座に全廃するのではなく、課題の大きいアプリや環境から徐々にZTNAへ切り替えていく

導入にあたっては、VPNからの完全な切り替えを目標にするのではなく、適材適所で、必要なところから徐々に採用を拡げていくのが得策でしょう。

覚えておきたい用語

• Zero Trust： 社内外を問わず、ユーザーや端末を最初から信用せず、アクセスごとに確認するセキュリティの考え方
• ZTNA： Zero Trustの考え方に基づき、許可されたアプリやシステムへのアクセスだけを提供する仕組み
• VPN： 離れた場所から社内ネットワークへ安全に接続する仕組み
• 最小権限： 仕事に必要な最低限のアクセス権限だけを与える考え方
• アクセス権限： ユーザーがどのシステムや情報を利用できるかを決める権利の設定