ゼロトラストとは、社内ネットワークにいることや会社の端末であることだけでは信用せず、接続のたびに利用者と端末を確かめて、必要な範囲だけ使えるようにする考え方です。
今日やることは、VPNの利用者と接続先を1枚に書き出すことです。誰が、どの社内システムに、週に何回つないでいるか。これが分かれば、VPNをやめるか続けるかの判断は半分終わります。
先に答えを言うと、社員数と拠点数だけでは決まりません。社内のサーバーにどれだけ依存しているかが、もう1つの決め手です。
ゼロトラストは製品の名前？
製品の名前ではありません。米国立標準技術研究所のSP 800-207は、ゼロトラストを防御の重点を固定された境界から利用者、機器、情報資源へ移す考え方の総称と説明しています。場所や持ち主だけを理由に信用しない、という前提も同じ文書に書かれています。
同じ文書は、製品を丸ごと入れ替えて達成できるものではないとも述べています。多くの組織は、ゼロトラストと従来の境界型の混在で、当面運用を続けるという見立てです。
日本では、デジタル庁のゼロトラストアーキテクチャ適用方針（2022年6月）が参考になります。これは政府の情報システム向けの参考文書で、ゼロトラストを境界型の考え方を拡張したものと位置づけています。境界の守りを捨てる話ではありません。
中小企業にとっての実務の問いは、理念の理解より先にあります。今のVPNを、いつまで、どの用途で使うのかです。
なぜVPNの見直しが話題になる？
理由は2つあります。入口として狙われやすいこと、一度つなぐと届く範囲が広くなりやすいことです。
警察庁の2026年上半期の資料では、ランサムウェア被害組織へのアンケートで、侵入経路の約5割がVPN機器でした。被害企業の約6割は中小企業、業種では製造業が約3割です。
米CISAなどの2024年6月の共同文書は、VPNに関して悪用が確認された脆弱性が22件を超えるとしています。従来のVPNでは備わっていない細かなアクセス制御を、新しい方式なら組み込めるとも指摘しています。
ただ、この文書は全部のVPNを否定していません。製品によって安全性に差があり、大きな事故の原因がいつもVPNとは限らないと書いたうえで、慎重な分析を促しています。組織ごとに事情が違うので、自社の状況を見てから決めるようにとの注記もあります。
VPNをやめるべき会社と続けてよい会社の違いは？
公的な基準はありません。下の表は、私たちが判断の順序を整理するために置いた目安です。人数の線はきっちり守るものではなく、社内サーバーへの依存度を優先して読んでください。
| 社員数・拠点数 |
社内サーバーの使い方 |
VPNの判断 |
次の一手 |
| 30人以下・1拠点 |
ほぼクラウドだけ |
やめる方向 |
ID管理と多要素認証に寄せる |
| 30人以下・1拠点 |
毎日社外から使う |
続けてよい |
条件を整え、機器更新時に再検討 |
| 30〜100人・2〜3拠点 |
クラウドと社内が半々 |
段階的に減らす |
用途ごとにZTNAへ移す |
| 100人以上か4拠点以上 |
拠点ごとに混在 |
全体で設計する |
SASEも含めて比較する |
やめる方向に傾く条件は、次のようなものです。
- メール、ファイル共有、会計などがすでにクラウドにある
- VPN機器の保守期限が近く、買い替えの判断が必要
- VPNを使う人が月に数人しかいない
続けてよいのは、社内のサーバーへの接続がまだ業務に欠かせず、後述の条件を守れる会社です。無理に移行して、接続が不安定になって現場が止まるほうが困る場合もあります。
ゼロトラストはどこまでやれば十分？
ここまでやれば完成、という線はありません。CISAの成熟度モデル第2.0版は、5つの柱ごとに従来、初期、高度、最適の4段階を示しています。ただ、これは米国の政府機関の移行を支える道しるべの1つで、中小企業に全段階を求めるものではありません。
CISAなどの2024年の文書は、ゼロトラストの原則はどの程度であれ取り入れれば情報を守る力を高めると書いています。全部をそろえるか何もしないかの二択ではない、と読めます。
中小企業の現実的な到達点として、私たちは次の3つを目安に置いています。どれも製品名より運用の話です。
- 誰がどのシステムを使えるかを一覧で説明できる
- 社外からの接続には多要素認証が必ず入る
- 退職や異動の当日に、IDを止められる
この3つが答えられるなら、取引先から社外接続の管理を聞かれたときにも、事実で説明できます。製品の導入を決めるのは、そのあとで構いません。
製造業でVPNを残しやすい場面は？
たとえば、図面を社内のファイルサーバーに置き、生産管理システムも工場の中にある会社を考えます。設計者が出張先から図面を見るためにVPNを使っている場合です。
図面や生産管理がクラウドへ移せないなら、VPNか、それに代わる接続手段が必要です。ここで大事なのは、VPNの有無より、つないだあとに届く範囲です。設計者の接続が工場の設備まで届くなら、接続方法を変える前に範囲を絞れます。
設備メーカーの遠隔保守も同じように洗い出してください。誰がいつ、どの設備に入れるのか。保守会社任せになっていることが多い項目です。
VPNを続けるならどんな条件をそろえる？
続けるのは問題ありません。ただし、次の5つがそろっていない状態で続けるのは避けてください。
- ファームウェアの更新を担当する人が決まっている
- メーカーの保守期限が切れていない
- 多要素認証が使える設定になっている
- 使う人を絞り、退職者のIDを消している
- 接続できる範囲を、用途に応じて絞っている
3つ目について、IPAの中小企業向けガイドライン第4.0版は、VPNや重要なシステムには強固なパスワードを設定し、可能なら多段階認証、多要素認証、パスキーなどの利用を求めています。
同じガイドラインには、VPN機器の入れ替えを約半年待つと決めた間にランサムウェアに感染した建設業の事案が、日本ネットワークセキュリティ協会の調査の引用として載っています。損失は約2.5億円以上です。保守の判断を先送りしない理由として読めます。
機器の種類ごとの更新の注意は、FortiGateの更新と保守切れの記事に具体例があります。入口の機器そのものの役割はUTMで守れる範囲の表で確かめてください。
やめると決めたらどの順で進める？
一度に切り替えない進め方が現実的です。NISTの文書も、段階的に進めるよう書いています。
1. IDを1か所にまとめる
社員のIDと多要素認証をまとめます。クラウドサービスのログインを1つのIDで扱うIDaaSの製品比較が、候補を探す入口になります。どの方式を選んでも、IDの棚卸しは先に必要です。
2. 端末の状態を把握する
会社の端末の一覧と、更新の状況をそろえます。ゼロトラストは利用者だけでなく端末も確かめる考え方なので、台帳がなければ判断の材料がありません。
3. 利用者の少ない用途から置き換える
ZTNAは、CISAなどの文書の説明では、定めた制御方針に沿って最小限の権限でアプリケーションなどへの接続を認める仕組みです。社内ネットワーク全体ではなく、用途ごとに開ける点がVPNとの違いです。
経理の1システムのように、利用者が少なく、影響が読める用途から試します。製品の違いはZTNAの製品比較で並べて見られます。
4. 接続がなくなったVPNを止める
最後の利用者が移ったら、機器を止めてインターネットとの接続を切ります。ここを忘れると、使わない入口が残ります。
拠点が増えてきた会社は、接続とセキュリティをまとめて考える段階です。SASEの製品比較と、UTMとVPNを置き換える順番の解説が判断の材料になります。社外とのつなぎ方の全体はネットワークの守り方のまとめで確かめられます。
